사이버 공격이 잇따르는 지금, 중소기업 홈페이지에서 확인해야 할 10가지

최근 몇 주 동안 일본의 기업과 단체에서 부정 접근으로 인한 정보 유출 발표가 이어지고 있습니다. 거래처로부터 “귀사 사이트는 괜찮습니까?”라는 질문을 받은 분도 계실지 모릅니다. 하지만 홈페이지는 공개한 뒤 몇 년 동안 손대지 않는 경우가 적지 않습니다. 이 글에서는 전담 담당자가 없는 회사도 확인할 수 있는 포인트를 일본 정부와 공공기관의 자료를 바탕으로 정리합니다.

1. 지금 무슨 일이 일어나고 있는가

정부와 IPA가 점검과 재검토를 촉구

일본 내각관방 국가사이버통괄실은 2026년 10월 9일, 부정 접근으로 인한 유출 사안에 대한 대응 문서를 공표했습니다. 웹 시스템의 약점 악용, 위탁처 등을 통한 침입, 데이터 관리 미비로 대량의 개인정보가 도난당한 사안이 여러 건 확인되었다며, 특히 대량의 개인정보나 민감한 정보를 다루는 사업자에게 대책을 철저히 하도록 요구하고 있습니다. 대책은 크게 다음 세 가지입니다.

• 웹 시스템 등의 적절한 관리: 업데이트를 신속히 적용하고, 지원이 끝난 제품을 사용하지 않으며, 다요소 인증(2단계 인증 등)을 도입하고, 퇴직자나 사용하지 않는 계정을 중지한다
• 공급망(위탁처 등)을 통한 침해 대책: 위탁처와 함께 관리한다는 생각으로 위탁처의 대책 상황을 확인하고, 계약에서 보안 요건을 명확히 한다
• 데이터의 적절한 관리: 보유 정보를 최소한으로 하고, 불필요해진 정보는 삭제한다. 접근 기록(로그)을 수집하고 확인한다

문서의 끝부분에서는 사이버 공격의 피해가 “더 이상 정보시스템 부문만의 문제가 아니다”라고 하며, 경영 과제로 대응하도록 경영진에게 요구하고 있습니다.

같은 날 정보처리추진기구(IPA)도 신속히 실시해야 할 대책을 공표했습니다. 외부에 공개하고 있는 시스템의 파악과 기록 확인, 이용 중인 외부 서비스의 파악, 보유 데이터의 재점검을 서둘러 실시하도록 촉구하고 있습니다.

중소기업도 피해의 중심에 있다

일본 경찰청의 2025년 사이버 공간 위협 정세 보고서(2026년 3월 공표)에 따르면, 2025년 랜섬웨어 피해 보고는 226건이었으며, 조직 규모별로는 전년과 마찬가지로 중소기업이 약 60%를 차지했습니다. 피해 조직을 대상으로 한 설문에서는 복구에 총 1,000만 엔 이상이 든 조직이 절반을 넘었고, 1개월 이내에 복구한 조직은 절반을 조금 넘는 데 그쳤습니다.

또한 같은 설문에서 랜섬웨어 침입 경로의 60% 이상이 VPN 기기였습니다. 홈페이지뿐 아니라 외부에서 사내로 연결하는 기기도 포함해 업데이트가 멈춰 있지 않은지 확인하는 것이 중요합니다.

IPA의 ‘정보보안 10대 위협 2026’(조직용)에서는 1위가 ‘랜섬 공격에 의한 피해’, 2위가 ‘공급망이나 위탁처를 노린 공격’, 4위가 ‘시스템 취약점을 악용한 공격’이었습니다. 자사뿐 아니라 거래처와 위탁처까지 함께 지킨다는 생각이 요구되고 있습니다. 중소기업이 대책을 추진하는 것은 거래처를 지키는 일로도 이어집니다.

2. 홈페이지에서 확인해야 할 10가지

다음은 자사 홈페이지에 대해 확인해야 할 점입니다. 제작 회사나 유지보수 회사에 맡기고 있다면, 이 목록을 그대로 보여 주고 답을 받아 보는 것도 좋은 방법입니다.

2와 3에 대해서는 정부의 주의 환기에서도 사용하지 않는 시스템이나 기능을 중지하거나 삭제할 것, 지원이 끝난 제품이나 버전을 사용하지 않을 것을 요구하고 있습니다. 4와 5는 다요소 인증 도입과 불필요한 계정의 비활성화로, 10은 사고 발생 시 대응 체제 정비로 같은 문서에 포함되어 있습니다.

특히 놓치기 쉬운 것이 9입니다. 서버는 이전 담당자, 도메인은 다른 회사, 사이트 업데이트는 제작 회사처럼 나뉘어 있어 “아무도 업데이트하지 않았다”는 상태가 가장 위험합니다. 먼저 담당자를 적어 보는 것부터 시작해 주십시오.

3. 모든 것을 자사에서 하려고 하지 않아도 됩니다

10가지 중 1, 5, 9, 10은 사내에서도 확인할 수 있습니다. 2~4와 6~8은 서버나 CMS 설정과 관련되어 전문 지식이 필요할 수 있습니다.

IPA는 중소기업용 정보보안 대책 가이드라인(제4.0판)을 공개하고 있으며, 25개 질문에 답해 자사 상황을 확인하는 무료 자가 진단도 제공하고 있습니다. 먼저 이러한 공공 자료로 전체 그림을 파악하고, 손이 미치지 않는 부분은 전문가와 상담하는 것이 현실적입니다.

4. LEONIA의 무료 보안 진단

LEONIA는 홈페이지의 안전성을 외부에서 확인하는 무료 진단을 실시하고 있습니다. 공개된 정보를 바탕으로 다음 사항을 확인하고 결과를 알려 드립니다.

• https(암호화)와 인증서 상태
• 로그인에 쓰는 이름이나 버전 정보가 노출되어 있지 않은가
• 관리 화면 로그인이 보호되어 있는가
• 부정 로그인에 대한 대비
• 보여서는 안 되는 파일이나 설정이 외부에 보이지 않는가
• 알려진 약점이나 설정 누락

진단 후 대책이 필요한 경우에는 내용을 설명한 뒤 견적을 드립니다. 이후 정기적인 확인과 업데이트 등의 유지보수도 맡겨 주실 수 있습니다.

LEONIA는 홈페이지를 만드는 회사입니다. 만들고 끝나는 것이 아니라, 공개 후에도 계속 지키는 것까지를 하나의 일로 생각합니다. “우리 사이트는 괜찮을까?” 하고 생각되신다면 문의 폼에서 ‘보안 진단 희망’이라고 연락해 주십시오.

이 글은 공공기관의 공표 자료를 바탕으로 한 일반적인 정보입니다(2026년 10월 14일 기준). 개별 상황에 맞는 대책은 전문가와 상담해 주십시오.

출처(일본어): 내각관방 국가사이버통괄실(2026년 10월 9일) / IPA 주의 환기(2026년 10월 9일) / 경찰청, 2025년 사이버 공간 위협 정세(2026년 3월) / IPA 정보보안 10대 위협 2026 / IPA 중소기업 정보보안 대책 가이드라인 제4.0판