작은 회사는 안 노린다? 자동 공격은 회사 크기를 보지 않는다
해킹은 큰 회사 이야기라고 느끼는 사장님을 위해, 공격 프로그램이 회사가 아니라 주소의 틈을 보고 움직인 실제 기록과 한국·일본의 공식 숫자, 그 숫자의 한계, 오늘 1분이면 되는 첫 확인을 정리했습니다.
글쓴이 Jeensuk Yang
PHPFree · 웹 보안 · 칼럼
?이런 분께 권합니다
- 해킹은 이름난 큰 회사의 이야기라고 느끼는 분
- "우리 홈페이지에는 훔쳐 갈 것도 없는데"라고 생각해 온 분
- PHP 취약점 소식을 들었지만 우리 회사와 이어지지 않는 분
!이 글에서 알 수 있는 것
- 자동 공격이 회사를 고르는 방식과 실제 기록
- 한국·일본의 공식 숫자가 말하는 것과 말하지 않는 것
- "우리는 아니겠지"라는 마음이 드는 이유와, 1분이면 되는 첫 확인
비는 집의 크기를 보지 않습니다. 틈을 봅니다.
장마철에 물이 새는 집은 큰 집이 아니라 틈이 있는 집입니다. 대궐 같은 집도 지붕이 성하면 마르고, 작은 집도 기와 한 장이 깨지면 젖습니다.
"우리 같은 작은 회사를 누가 노리겠어?" 저도 회사를 하며 같은 생각을 했습니다. 그 마음은 잘못이 아닙니다. 다만 오늘의 공격은 사람이 회사를 골라서 오는 일이 드물다는 것, 그 이야기를 사실과 숫자로 말씀드리겠습니다.
작은 회사는 정말 노리지 않을까?
작아서 빠진다는 근거는 찾기 어렵습니다. 오늘의 공격은 대부분 회사의 이름이 아니라 인터넷 주소와 그 주소의 틈을 보고 옵니다.
옛날 도둑은 집을 골랐습니다. 담이 높은지, 부잣집인지 살펴보고 밤을 기다렸습니다. 지금의 공격 프로그램은 다릅니다. 골목에 늘어선 모든 집의 문고리를 하나씩 당겨 보는 기계와 같습니다. 문패에 적힌 이름은 읽지 않습니다. 문이 열리는지만 봅니다.
그래서 물어야 할 질문이 바뀝니다. "우리 회사가 노릴 만한가?"가 아니라 "우리 문은 잠겨 있는가?"입니다.
- 공격자는 회사를 고른다
- 큰 회사, 돈 많은 회사가 먼저다
- 우리는 작아서 눈에 띄지 않는다
- 프로그램이 주소를 차례로 훑는다
- 먼저 열리는 문부터 들어온다
- 작아도 틈이 있으면 대상이 된다
공격자에게 회사의 크기는 나중 문제입니다. 먼저 보는 것은 틈입니다.
진석 대표의 정리"누가 우리를 노리겠어?"라는 물음은 답이 없습니다. "우리 문은 잠겼나?"라는 물음에는 답이 있습니다.
자동 공격은 실제로 어떻게 움직였을까?
이번 PHP 취약점이 알려진 첫날부터, 공격 프로그램은 회사를 가리지 않고 여러 서버에 같은 요청을 보냈습니다. 미국 보안 기업과 Cloudflare가 그 기록을 남겼습니다.
- 미국 보안 기업 VulnCheck는 공격을 관찰하려고 인터넷에 미끼 서버를 둡니다. PHP가 취약점을 공개한 10월 21일, 한 주소에서 온 요청이 이 미끼 서버 188곳에, 다른 주소는 26곳에 닿았습니다. 요청은 여러 클라우드 회사와 지역의 서버로 퍼져 있었습니다.1
- Cloudflare는 공식 공개 전에 정보가 먼저 새어 나가, 이미 자사 고객을 향한 공격을 관찰했다고 밝혔습니다.2
- 일본 경찰청이 감시용으로 둔 주소에는 2026년 상반기에 취약점을 찾는 수상한 접속이 주소 하나당 하루 13,687건 들어왔습니다. 1년 전보다 50.7% 늘었습니다.3
미끼 서버에는 회사 이름도, 매출도 없습니다. 그래도 공격은 그곳에 닿았습니다.
미끼 서버는 이름 없는 빈집입니다. 그런데도 문고리가 당겨졌다는 것은, 공격 프로그램이 주인을 보지 않는다는 뜻입니다. 같은 날 VulnCheck는 공개된 공격 코드로 인한 시도가 앞으로도 널리 이어질 것으로 본다고 적었습니다.1
진석 대표의 정리공격 프로그램에게 우리 홈페이지는 "작은 회사"가 아니라 "주소 하나"입니다. 주소는 누구나 하나씩 가지고 있습니다.
숫자는 무엇을 말하고, 무엇을 말하지 않을까?
한국과 일본의 공식 숫자를 보면 피해 신고의 다수가 중소기업입니다. 다만 이것이 "중소기업을 골라서 노린다"는 뜻은 아닙니다. "작아서 빠진다"는 근거가 없다는 뜻입니다.
| 나라 | 공식 숫자 |
|---|---|
| 한국 | 2025년 한국인터넷진흥원(KISA)에 접수된 침해사고 신고 2,383건. 가장 많은 것은 서버 해킹 1,053건(44.2%)4 |
| 한국 | 그 2,383건 가운데 중소기업 신고가 1,913건(80.3%). 2026년 상반기도 80.7%5 |
| 일본 | 2026년 상반기 랜섬웨어 피해 보고 123건. 피해 기업의 약 60%가 중소기업3 |
| 미국 등 | 2026년 침해의 31%가 소프트웨어 취약점에서 시작. 처음으로 도난 비밀번호를 제치고 1위6 |
그리고 한 가지 숫자가 더 있습니다. 한국에서 서버 쪽 언어를 알 수 있는 .kr 사이트의 75.2%가 PHP를 씁니다.7 이번 취약점은 큰 회사만의 이야기가 아니라, 많은 회사 홈페이지의 바닥 아래에 있던 이야기입니다.
진석 대표의 정리숫자를 부풀리지 않겠습니다. 다만 "작으니까 괜찮다"는 말을 받쳐 주는 숫자도 없습니다.
왜 "우리는 아니겠지"라고 느낄까?
사람에게는 나쁜 일이 남에게 더 잘 일어난다고 믿는 버릇이 있습니다. 심리학에서는 이를 낙관 편향이라고 부릅니다. 부끄러운 일이 아니라 누구에게나 있는 마음입니다.
미국의 심리학자 와인스타인은 1980년 연구에서, 사람들이 나쁜 일은 남보다 자기에게 덜 일어나리라 여기는 경향을 보여 주었습니다.8 게다가 뉴스에 나오는 해킹 피해는 늘 이름난 큰 회사입니다. 작은 회사의 피해는 기사가 되지 않으니, 머릿속에 그림이 그려지지 않습니다.
일본 손해보험협회가 2019년 중소기업 경영자·임원 825명에게 물었을 때, 자기 회사가 사이버 공격의 대상이 될 수 있다고 본 사람은 10명 중 1명이 되지 않았습니다. 약 절반은 피해 모습을 떠올리지 못했습니다. 그런데 약 20%는 이미 공격 피해를 겪은 적이 있었습니다.9
마음이 먼 곳에 있는 위험은, 몸이 가까운 곳에서 겪고 있을 때가 많습니다.
진석 대표의 정리"우리는 아니겠지"라는 마음을 탓할 필요는 없습니다. 그 마음을 확인 한 번으로 바꾸면 됩니다.
그럼 오늘 무엇부터 확인하면 될까?
우리 사이트가 이번 취약점에 해당되는지부터 봅니다. 1분이면 됩니다. 결정은 그다음입니다.
문고리를 당겨 보는 기계를 막는 첫걸음은 무서워하는 것이 아니라, 우리 집 문이 어떤 자물쇠인지 아는 것입니다.
- 해당 여부 보기: 질문 다섯 개로 「해당 없음·확인 필요·조치 필요」를 가르는 1분 판정표를 해 봅니다.
- 서버 회사 공지 읽기: 공유 렌탈 서버라면 서버 회사가 이번 수정을 대신 적용한 경우가 많습니다. 공지 한 장으로 끝나는 회사도 있습니다.
- 한 줄 묻기: 제작사나 관리 담당자에게 "우리 사이트 PHP 버전과 이번 수정 적용 여부"를 물어봅니다.
- 흔적 보기: 수정 전에 누가 다녀가지 않았을까 걱정된다면 웹셸·침입 흔적 셀프 체크를 봅니다.
모두 살펴본 결과 "해당 없음"이라면, 그것도 훌륭한 결론입니다. 확인했기 때문에 얻은 안심은, 짐작으로 얻은 안심과 무게가 다릅니다.
진석 대표의 정리작은 회사의 힘은 빨리 확인하고 빨리 정할 수 있다는 데 있습니다. 오늘 1분이면 됩니다.
작은 회사와 자동 공격에 관해 자주 묻는 질문
우리 홈페이지에는 훔쳐 갈 정보가 없는데도 위험한가요?
그럴 수 있습니다. 자동 공격은 안에 무엇이 있는지보다 먼저 열리는 문을 찾습니다. 훔쳐 갈 것이 있는지보다, 우리 사이트가 해당되는지부터 확인하세요.
중소기업이 공격을 더 많이 당한다는 뜻인가요?
그렇게까지 말할 수는 없습니다. 신고의 다수가 중소기업인 것은 기업 수가 많기 때문일 수도 있고, 이 글은 작다고 빠진다는 근거가 없다는 데까지만 말합니다.
공유 렌탈 서버를 쓰면 괜찮지 않나요?
이번 PHP 수정은 많은 서버 회사가 대신 적용했습니다. 다만 직접 관리하는 서버이거나 지원이 끝난 옛 버전이면 다르니, 서버 회사 공지와 1분 판정표로 확인하세요.
SOURCES
- VulnCheck 「PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619」(2026년 10월 21일) vulncheck.com
- Cloudflare Blog 「Cloudflare deploys protections against php2shell vulnerability」(2026년 10월 21일, 10월 23일 추가) blog.cloudflare.com
- 警察庁 「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」(일본어, 2026년 9월 10일, 14·20쪽) npa.go.jp
- 바이라인네트워크 「작년 침해사고 2383건…과기정통부, 2026년 "AI 악용 공격 늘 것" 전망」(2026년 1월 27일) byline.network
- 산업일보 「사이버 위협 급증하는데… 침해사고 80% 달하는 중소기업 지원은 '뚝'」(2026년 10월 16일, KISA 국정감사 자료 인용) kidd.co.kr
- Verizon 「2026 Data Breach Investigations Report」(2024년 11월~2025년 10월 사고 분석) verizon.com
- W3Techs 「Distribution of server-side programming languages among .kr websites」(2026년 10월 24일 확인) w3techs.com
- Weinstein, N. D. 「Unrealistic optimism about future life events」, Journal of Personality and Social Psychology 39(5), 806–820 (1980) doi.org
- 日本損害保険協会 「「中小企業の経営者のサイバーリスク意識調査2019」を発表」(일본어, 2020년 1월 28일) sonpo.or.jp
우리 회사의 이야기인지 확인했다면, 다음 순서는 아래 글에서 이어집니다.
- 작은 회사는 안 노린다? 자동 공격은 회사 크기를 보지 않는다 (이 글)
- 우리 회사 홈페이지도 해당될까? 1분 판정표
- PHP2Shell이란? 중소기업 홈페이지에 무슨 일이 있었나
- PHP 취약점 대처 가이드: 확인부터 PHP 탈피까지
우리 문이 잠겨 있는지, 30초면 봅니다.
사이트 주소만 넣으면 PHP 사용 여부와 서버 회사의 대응 상황을 바로 알려 드립니다. 해당되지 않는다면 "지금은 옮기지 않아도 됩니다"라고 그대로 알려 드립니다.
무료로 30초 체크하기결과를 보고 상담이 필요하시면 따뜻한기술에 문의하기
최종 수정 2026년 10월 25일
