admin/admin123으로 운영하던 병원 워드프레스, 이 로그를 보고 바로 바꿨습니다

병원 홈페이지 3곳을 운영하면서, 그중 한 곳이 아직도 기본 관리자 계정에 간단한 비밀번호를 그대로 쓰고 있다는 걸 뒤늦게 확인했습니다. 웹서버 로그를 열어보니 [외부IP]가 새벽마다 wp-login.php에 수십 번씩 접근하고 있었습니다.

계정명이 admin이면 절반은 뚫린 것입니다

워드프레스 기본 설치 후 계정명을 바꾸지 않으면 공격자는 ID를 이미 알고 있는 상태에서 비밀번호만 시도하면 됩니다. 아래 명령으로 현재 관리자 계정 목록을 먼저 확인하세요.

wp user list --role=administrator \
  --fields=ID,user_login,display_name

admin 계정이 남아 있다면 새 계정으로 콘텐츠 소유권을 이전하고 기존 admin은 삭제하세요.

12자리 비밀번호 정책과 IP 제한을 함께 적용하세요

비밀번호를 강화해도 wp-admin 경로를 열어두면 자동화 공격이 계속됩니다. [병원] 고정 IP만 접근을 허용하면 외부 시도를 차단 단계에서 막을 수 있습니다.

# .htaccess에 추가 — [고정IP] 자리에 실제 IP 입력
<Files "wp-login.php">
    Order Deny,Allow
    Deny from all
    Allow from [고정IP]
</Files>

계정 권한 분리가 핵심입니다

원장님과 직원이 같은 관리자 계정을 공유하면, 한쪽에서 비밀번호가 노출됐을 때 전체가 위험해집니다. 역할별 계정을 나누고 실제 관리 업무가 없는 관리자 권한 계정은 제거하세요. 점검 당시 불필요한 관리자 계정 2개를 삭제하고 나서 로그인 시도 자체가 눈에 띄게 줄었습니다.

☐ admin 계정명 변경 또는 삭제 여부 확인 ☐ 관리자 비밀번호 12자리 이상 적용 여부 ☐ wp-admin / wp-login.php 접근 IP 제한 설정 ☐ 관리자 권한 계정 수 최소화 ☐ 원장·직원 계정 역할 분리 ☐ 비밀번호 변경 주기(3~6개월) 관리 ☐ 로그인 실패 잠금 플러그인 설치 및 설정

처음엔 비밀번호만 바꾸면 된다고 생각했는데, 계정명·접근 IP·권한 분리까지 함께 잡아야 실질적인 효과가 났습니다. 같은 고민을 하고 계신 분들, 어떤 방식으로 관리하고 계신지 댓글로 알려주세요!