2026년 11월 1일, 우리가 운영하는 서비스가 공격을 받아 서버 여러 대의 비밀과 운영 지갑의 자금 일부가 빠져나갔습니다. 원인은 고급 기술이 아니라 AI 로 앱을 만들 때 누구나 하는 기본기 부족이었습니다. 같은 일이 당신의 앱에도 일어날 수 있어 공개합니다. 사고 직후 원인을 고치고 모든 비밀을 교체했습니다.
관리 화면의 플러그인·어댑터·패키지 설치 기능이 일반 로그인 사용자에게 열려 있었고, 설치 때 스크립트 실행이 허용되었으며, 앱은 root 로 돌고 있었습니다. 공격자는 가입 후 악성 패키지를 수백 번 «설치»했고, 그때마다 서버에서 명령이 실행됐습니다. 결과는 오류 응답에 실어 가져갔습니다.
AI 에게 이렇게 요청하세요: 「외부 패키지·URL·파일을 설치하거나 실행하는 기능은 관리자만 쓰게 하고, 설치 스크립트 실행은 끄고, 앱은 root 가 아닌 전용 계정으로 실행해 줘.」
한 서버에 있던 SSH 개인키가 외부로 나갔고, 그 키가 다른 서버 5대에 모두 등록돼 있어 공격자가 같은 키로 차례로 root 로그인했습니다. 서버 간 접속이 「편해서」 만든 신뢰가 피해 범위를 키웠습니다.
서버마다 다른 키를 쓰고, 키 등록에 접속 허용 IP(from=)를 걸고, 접속 가능한 서버 목록을 줄이세요.
.env 만이 아닙니다. 백업 폴더, 셸 명령 이력, 에디터 편집 기록, AI 코딩 도구의 허용 규칙 파일, 예제 파일에까지 비밀번호가 적혀 있었습니다. AI 도구는 편의를 위해 사본을 계속 만듭니다. 한 곳을 바꿔도 다른 사본이 남습니다.
비밀 값으로 «전체 검색» 해서 남은 사본을 찾고, 교체한 뒤 다시 검색해 0건인지 확인하세요.
데이터베이스 슈퍼유저 하나를 앱 9개가 같이 쓰고 있었습니다. 앱 하나만 뚫려도 모든 데이터가 열립니다. 비밀번호가 약하거나 서비스 이름과 같은 경우도 있었습니다.
앱마다 DB 계정을 따로 만들고 필요한 권한만 주세요. 비밀번호는 무작위 32자 이상으로 하세요.
서버에서 복호화된 지갑 키가 있으면 서버가 뚫린 순간 자금이 움직입니다. 앱이 정한 한도는 키를 가진 공격자에게 아무 소용이 없었습니다. 알림도 «가스 부족» 같은 평범한 경고에 섞여 무시됐습니다.
거래소 키는 출금 권한 끄기 + 접속 IP 허용 목록. 지갑은 운영에 필요한 최소 금액만 두고, 자금 이동 알림은 따로 눈에 띄게 만드세요.
아래는 값을 바꾸지 않는 점검입니다. 결과가 이상하면 먼저 비밀을 교체하고, 그다음에 원인을 찾으세요.
서버가 인터넷에 열어 둔 포트
ss -tlnp # 0.0.0.0 으로 열린 것 중 모르는 것이 있으면 의심모르는 SSH 키가 등록돼 있나
cat ~/.ssh/authorized_keys # 내가 등록하지 않은 줄이 있으면 즉시 조사최근 로그인 출처
last -i | head -30 # 낯선 IP 가 있나앱이 root 로 도나
ps -eo user,comm | grep -E 'node|python|java' | sort | uniq -c코드·설정에 비밀이 박혀 있나
grep -rIlE 'BEGIN (RSA|OPENSSH|EC) PRIVATE KEY|AKIA[0-9A-Z]{16}|sk-[A-Za-z0-9]{20,}' --exclude-dir=node_modules --exclude-dir=.git .아래 공격 출발지가 내 로그에 있나
grep -hE '23\.95\.130\.140|107\.174\.144\.145|31\.58\.136\.212' /var/log/nginx/access.log* /var/log/auth.log* 2>/dev/null | head이 IP 들은 «우리 서버에서 위 행위가 관측된 출발지»입니다. 임대 서버·VPN·이미 뚫린 남의 서버일 수 있어 소유자나 범인을 특정하지 않으며, IP 는 시간이 지나면 다른 사람에게 배정될 수 있습니다. 차단은 각자 판단하세요.
| 출발지 IP | 관측 시간(UTC) | 관측된 행위 |
|---|---|---|
23.95.130.140 | 2026-11-01 05:50 UTC ~ 2026-11-01 22:20 UTC | 서버에서 빼낸 SSH 개인키를 HTTP 로 받아 간 수신처(포트 9999). 같은 IP 가 그 키로 여러 서버에 root 로그인. 이후 설치 기능 재시도와 파일 읽기·내부주소 접근 시도. |
107.174.144.145 | 2026-11-01 01:34 UTC ~ 2026-11-01 08:40 UTC | 회원 사이트에 가입·로그인·비밀번호 찾기를 자동화 도구로 약 200회 반복. 그리고 공격자가 심은 SSH 키로 본사 서버에 36회 로그인(뒷문). |
31.58.136.212 | 2026-11-01 01:34 UTC ~ 2026-11-01 02:12 UTC | 같은 시간대에 같은 방식(python-requests·curl)으로 가입·로그인 자동 반복(약 40회). /scim/Users 같은 스캐너 경로 병행. |
내 로그에서 발견했다면: ① 차단만 하지 말고 ② 해당 시각 전후의 로그인·설치·파일 변경을 확인하고 ③ 서버의 SSH 키와 비밀번호·API 키를 교체하세요. 차단은 공격자가 이미 가져간 것을 되돌리지 못합니다.
AI로 만든 앱이 털린 경험을 이야기로 적어 주세요. 같은 실수를 하는 사람을 줄입니다. 구체적인 IP 주소, 개인정보(이름·이메일·전화), 링크, 키·비밀번호, 지갑 주소는 받지 않습니다 — 들어 있으면 접수가 거절됩니다(가려서 올리지 않습니다). 이용자가 제출한 글이며 우리가 검증하지 않았습니다.
아직 제출된 사례가 없습니다. 첫 사례를 남겨 주세요.
이 글은 우리 한 건의 사고에서 얻은 교훈이며 모든 위협을 다루지 않습니다. 수사와 재발 방지를 위해 우리 서버 주소·취약 제품명·피해 규모는 적지 않았습니다. 점검 결과의 «이상 없음»은 «안전함»의 증명이 아닙니다.
내 사이트 무료 점검 요청 무료 크레딧 알림으로