무슨 일이 있었는지 — 침해가 아니라 '정상 로그인'이었습니다

공지의 핵심은 사고의 경로입니다. 누군가 아임웹 서버를 뚫은 것이 아니라, 특정 사이트의 관리자 계정 정보(아이디·비밀번호)가 밖으로 새어 나갔고, 그 정보로 평소처럼 로그인한 뒤 문자 발송 기능을 써서 광고 스팸을 대량으로 보냈습니다. 시스템 입장에서는 정상 사용자와 구분이 되지 않는 접근입니다. 그래서 아임웹이 할 수 있는 조치는 두 가지뿐이었습니다. 발송 기능 자체를 잠시 잠그는 것, 그리고 사이트 운영자에게 계정을 점검해 달라고 요청하는 것입니다. 불법스팸 신고가 접수되면 그 사이트의 발신번호가 차단되어 문자 발송이 아예 불가능해지고, 광고성 스팸 발송에 대한 과태료가 부과될 수 있다고 아임웹은 경고했습니다. 스팸을 보낸 사람이 아니라 계정을 관리한 사이트 운영자가 책임을 지는 구조입니다.

지금 막힌 것과 안 막힌 것을 나눠 봅니다

제한 대상은 관리자 페이지 [메시지 > 문자, 푸시알림 > SMS]에서 운영자가 직접 보내는 문자입니다. 프로모션 안내, 재입고 알림처럼 운영자가 대상을 골라 수동으로 보내던 문자가 여기에 해당합니다. 반면 주문 접수·배송 시작 같은 자동 발송 메시지와 카카오 알림톡은 종전대로 나갑니다. 쇼핑몰의 기본 거래 흐름은 끊기지 않는다는 뜻입니다. 재개 일정은 아직 없습니다. 아임웹은 문자 발송 시 보안 절차를 추가로 강화하는 개발을 진행 중이며, 일정이 확정되면 별도로 안내하겠다고 했습니다. 추석 전 문자 프로모션을 계획해 둔 쇼핑몰이라면 알림톡이나 온사이트 팝업 같은 다른 채널로 바꿔 두는 편이 안전합니다.

아임웹이 요청한 네 가지, 순서대로 하면 30분입니다

공지에 적힌 요청 사항은 네 줄입니다. 첫째, 관리자 계정 비밀번호를 즉시 바꿀 것. 둘째, 로그인 2차 인증을 설정할 것. 셋째, 관리자로 접속하는 PC의 보안을 점검할 것. 넷째, 쓰지 않는 운영자 계정과 권한을 정리할 것. 네 가지 중 가장 자주 빠지는 것이 넷째입니다. 비밀번호는 바꾸면서도, 제작 과정에서 임시로 만들어 둔 운영진 계정이나 퇴사한 담당자의 권한은 그대로 남아 있는 경우가 많습니다. 아임웹 운영진 가이드는 하나의 사이트를 여러 명이 관리할 때 관리의 투명성을 위해 개별 운영진 계정을 쓰라고 권장하고, 권한에 따라 중요한 데이터를 바꾸거나 지울 수 있으니 신뢰할 수 있는 사용자에게만 권한을 주라고 적어 두었습니다. 지금 점검해야 할 화면은 [고객 > 운영진]과 [고객 > 고객 목록]의 그룹 지정입니다.

제작 대행 현장에서 계정이 새는 자리

아임웹 홈페이지 제작이나 쇼핑몰 제작을 외주로 맡기면 대개 이런 일이 벌어집니다. 의뢰인이 대표 계정의 아이디와 비밀번호를 카톡으로 보내고, 제작자는 그 계정으로 몇 주 동안 작업하고, 납품이 끝나도 비밀번호는 그대로입니다. 그 카톡 대화, 제작자의 메모, 제작자 PC 어딘가에 대표 계정 정보가 남습니다. 이번 사고가 말하는 것은 그 남은 정보 하나가 사이트의 발신번호를 차단시키고 과태료로 이어질 수 있다는 점입니다. 누끼토끼는 제작 기간 동안 의뢰인 사이트에 제작용 운영진 그룹을 따로 만들어 그 계정으로만 작업하고, 납품 시점에 의뢰인이 그 그룹을 삭제하는 방식을 씁니다. 대표 계정 비밀번호는 처음부터 받지 않습니다. 운영진 기능은 Starter 이상 요금제에서 쓸 수 있으므로, 무료 버전으로 제작을 시작하는 경우라면 납품 직후 대표 계정 비밀번호 변경을 인수인계 항목에 넣어 두는 것이 최소한의 장치입니다.

문자 발송 제한은 아임웹의 문제가 아니라 계정 관리의 문제에서 시작됐습니다. 자동 발송과 알림톡은 살아 있고, 직접 발송은 재개 일정이 정해질 때까지 다른 채널로 대체하면 됩니다. 오늘 할 일은 비밀번호 변경, 2차 인증, PC 점검, 그리고 제작 과정에서 남긴 운영자 계정 정리 네 가지입니다. 제작 대행을 맡기거나 맡는 쪽이라면 대표 계정을 공유하지 않는 구조를 계약 단계에서 정해 두는 것이 가장 싼 보험입니다.

누끼토끼가 운영하는 아임웹·식스샵 강의와 칼럼에서는 제작 단계의 운영진 계정 설계와 납품 체크리스트를 실무 순서대로 다룹니다. 외주로 제작한 사이트를 넘겨받은 상태라면 인수인계 문서에 계정 항목이 있었는지부터 확인해 보시기 바랍니다.