.env 파일 노출이 검색 순위까지 무너뜨리는 경로

.env 파일이 웹 루트에 노출되는 사고는 너무 흔하지만, 보통은 "비밀키 유출" 정도로 마무리됩니다. 실제로는 그게 끝이 아닙니다. 노출된 한 줄이 검색 결과 0으로 이어지기까지의 평균 경로는 다음과 같습니다.

0분 — 자동 스캐너가 발견

공격용 봇은 인터넷 전체 도메인을 대상으로 /.env,/.git/config, /wp-config.php.bak 같은 경로를 매일 스캔합니다. 새 도메인이 노출되면 평균 30분 안에 첫 번째 다운로드가 들어옵니다. Stripe·SendGrid 같은 곳도 자체적으로 GitHub·Pastebin을 모니터링 하고 자기네 키 형식이 보이면 자동 폐기합니다.

10-60분 — 키가 무기화

다운로드된 키는 즉시 분류·테스트됩니다.

• AKIA로 시작하는 AWS 키: IAM 권한 enumerate → 가능한 모든 서비스에 접근 시도 (S3 다운로드, EC2 인스턴스 부팅으로 코인 마이닝)
• sk_live_ Stripe 키: 본인 카드로 환불 발급, 또는 테스트 카드로 무한 결제 시도 → 카드사 페널티
• SG. SendGrid 키: 사용자 도메인에서 피싱·스팸 메일 대량 발송
• DB credential: 직접 접속 → 데이터 덤프 또는 wipe-and-ransom

1-24시간 — 사이트가 변조되기 시작

AWS·DB 접근 권한을 얻은 공격자는 보통 웹쉘을 심어 영구 접근을 확보하고, 그 다음 SEO 스팸 페이지를 사이트에 대량으로 추가합니다. 도박·약품·대출 키워드의 페이지를 도메인 아래에 만들어 자기네 사이트로 가는 백링크를 깔거나, 검색에서 들어온 사용자만 다른 사이트로 보내는 cloaking 리디렉트를 심습니다.

24-72시간 — Google이 알아차림

Googlebot이 다음 크롤링에서 새로 추가된 스팸 페이지·인젝션 스크립트를 발견합니다. 이 시점에서 두 가지 일이 동시에 일어납니다.

• 스팸 페이지가 도메인 아래에 인덱싱됩니다. 본래의 메인 페이지는 하위로 밀립니다.
• 인젝션 스크립트가 알려진 멀웨어 시그니처에 일치하면 Safe Browsing에 등재됩니다. 검색 결과에서 사라지고 브라우저가 빨간 경고로 막습니다.

그 다음 — 매출 0으로 수렴

실제 사례에서 트래픽 손실은 등재 후 24시간 안에 거의 100%입니다. 평균 복구 기간은 7-14일이며, 그 사이의 매출 손실 + 인프라 청구 폭탄(공격자가 EC2를 켜놓고 마이닝) + 카드사 페널티 + 침해 신고 의무가 전부 동시에 옵니다.

전부 끊는 단 하나의 단계

위 도미노는 0분 단계에서만 막을 수 있습니다. 한 번 키가 새면 회수가 불가능하기 때문입니다.

점검 항목은 단순합니다:

• nginx: location ~ /\. { deny all; } 추가
• Apache: .htaccess에 <FilesMatch "^\.">Require all denied</FilesMatch>
• 정적 호스팅 (Vercel·Netlify): .env가 빌드 산출물에 포함되지 않게 .vercelignore·netlify.toml 점검
• 공통: .gitignore에 .env* + 모든 백업 확장자 (.bak, .swp, .orig)

Security:Lab의 무료 진단은 100여 개 위험 경로를 자동으로 훑어 위 모든 파일이 외부에서 접근 가능한지 5초 안에 알려줍니다.