로그인·조회 화면이 검색에 노출됐다면, 금융사 색인 점검 순서

먼저 읽어 둘 세 줄

• 은행 해킹에서 뚫린 곳은 대출모집인 조회처럼 메인 화면 밖의 기능 화면이었고, 같은 유형의 화면이 검색에 색인돼 있다면 누구나 검색으로 찾아 들어올 수 있습니다.

• robots.txt는 페이지를 검색에서 빼는 장치가 아니므로, 로그인·조회 화면은 인증으로 막고 공개할 필요가 없는 페이지에는 noindex를 거는 편이 맞습니다.

• Search Console 페이지 색인 보고서로 자기 도메인의 색인 목록을 뽑아 화면 유형별로 나누면, 무엇을 숨기고 무엇을 닫을지 하루 안에 정리할 수 있습니다.

신한은행 해킹 소식이 나온 뒤 "우리 홈페이지에도 저런 조회 화면이 있지 않나" 하고 사이트맵을 다시 열어 본 웹 담당자가 적지 않을 겁니다.

보도된 경로는 고객용 메인 화면이 아니었습니다. 헤럴드경제에 따르면 신한은행 사고는 모바일 홈페이지에 있던 대출모집인 전용 조회 서비스에서 시작됐고, 정상적인 본인확인 없이 고객 정보에 접근할 수 있는 틈이 있었습니다. 은행은 외부 IP 접속을 막고 그 서비스를 중단했습니다.

그 화면이 검색에 노출돼 있었는지는 보도로 확인된 바가 없습니다. 다만 우리 사이트에 같은 유형의 화면이 있고 그 화면이 검색 결과에 걸려 있다면 사정이 다릅니다. 아래에서는 가상의 저축은행 example-bank.co.kr을 예시로 들어 금융사 색인 점검 순서를 정리했습니다. 실제 고객 사례가 아닌 설명용 예시입니다.

은행 해킹에서 노출된 조회·업무 화면, 우리 사이트에도 있나요?

대부분의 금융사 사이트에는 이번에 문제가 된 것과 같은 유형의 화면이 있으며, 먼저 할 일은 그 화면들이 검색엔진에 색인돼 있는지 확인하는 것입니다.

이번 금융권 해킹에서 거론된 화면은 대출모집인 조회, 직원용 모바일 업무 시스템, 영업지원 시스템, 대출 신청과 한도 조회 페이지였습니다. 예시의 A저축은행에도 대출 한도 조회 화면, 모집인용 진행 조회 화면, 지난해 끝난 금리 이벤트 페이지가 남아 있다고 해 보겠습니다.

이런 화면이 검색 결과에 보인다고 해서 바로 해킹으로 이어지는 것은 아닙니다. 하지만 외부에서 찾기 쉬운 진입점이 늘어나는 것은 분명하고, 사고 뒤 당국이 외부 접점을 다시 점검하라고 한 흐름과도 맞지 않습니다.

검색에 노출되면 안 되는 금융사 화면은 유형별로 처리가 다릅니다

금융사 SEO에서 색인 관리의 기준은 "검색으로 찾아올 이유가 있는 화면인가"이고, 그 답에 따라 인증, noindex, 삭제 중 하나를 고르면 됩니다.

표에서 업무 화면에 noindex를 먼저 적지 않은 이유가 있습니다. 외부에서 열리면 안 되는 화면은 검색에서 숨기는 것보다 열리지 않게 하는 것이 먼저이고, 검색 노출 관리는 그다음 단계입니다.

robots.txt로 막으면 안전한가요?

robots.txt로 막는 것만으로는 안전하지 않습니다. Google의 robots.txt 소개 문서는 robots.txt가 페이지를 Google에서 빼는 수단이 아니며, robots.txt로 막은 페이지도 다른 사이트에서 링크되면 색인될 수 있다고 설명합니다.

문제가 하나 더 있습니다. robots.txt는 누구나 열어 볼 수 있는 공개 파일이라서, 숨기고 싶은 관리 화면 경로를 적어 두면 오히려 그 경로를 알리는 셈이 됩니다.

noindex와 함께 쓸 때도 주의할 점이 있습니다. Google의 noindex 안내에 따르면 robots.txt로 크롤링을 막은 페이지는 크롤러가 noindex 태그를 볼 수 없어서 검색 결과에 계속 나올 수 있습니다.

💡 robots.txt와 noindex를 같이 걸면 더 안전한가요? 한 페이지에 둘을 같이 걸면 noindex가 읽히지 않습니다. 검색에서 빼려는 페이지는 크롤링을 허용한 상태로 noindex를 걸고, 외부에서 열리면 안 되는 페이지는 인증으로 막으세요.

AI 검색도 같은 문제를 안고 있습니다. GEO와 AEO(답변 엔진 최적화)에서 공개 정보 페이지는 크롤러에 열어 두는 것이 원칙인데, 공개 정보 페이지와 기능 화면의 경계가 흐리면 열어 둔 범위에 기능 화면이 섞입니다.

어떤 페이지를 공개 정보로 둘지부터 정하고 싶다면 리드젠랩 GEO·AEO 서비스 구성에서 사이트 구조 진단 범위를 확인해 보세요.

Search Console로 색인된 화면을 찾는 5단계

자기 도메인의 색인 상태는 Search Console 페이지 색인 보고서와 URL 검사로 확인할 수 있고, 아래 순서대로 하면 A저축은행 규모의 사이트는 하루 안에 끝납니다.

1. 도메인 속성을 확인합니다. 서브도메인까지 함께 보려면 Search Console에 도메인 속성이 등록돼 있어야 합니다.

2. 색인된 URL 목록을 내려받습니다. 페이지 색인 보고서에서 '색인 생성됨' 목록을 내보내고 사이트맵 URL과 합칩니다.

3. 경로로 화면 유형을 나눕니다. /login, /loan/inquiry, /partner, /test 같은 경로 단위로 묶어 위 표의 다섯 유형에 배정합니다.

4. 유형별 조치를 적용합니다. 인증이 필요한 화면은 개발팀에 넘기고, noindex 대상은 메타 태그나 HTTP 헤더로 적용합니다.

5. URL 검사로 결과를 확인합니다. 조치한 주소를 URL 검사로 다시 확인하고, 4주 뒤 색인 목록을 다시 내려받아 줄었는지 봅니다.

급하게 검색 결과에서 지워야 하는 페이지라면 Search Console 삭제 도구를 함께 씁니다. 다만 삭제 도구 도움말에 따르면 이 도구의 효과는 약 6개월 동안만 유지되므로, 그 기간 안에 404·410 응답이나 비밀번호 보호, noindex 같은 근본 조치를 마쳐야 합니다.

중단한 서비스 페이지는 404·410·안내 페이지 중 무엇으로 둘까

사고 뒤 서비스를 중단한 화면은 고객이 대체 경로를 알아야 하는지에 따라 처리 방식이 갈립니다.

신한은행처럼 문제가 된 서비스를 중단한 경우, 그 주소를 북마크해 둔 모집인이나 고객이 오류 화면만 보게 되면 문의가 몰리고 출처가 불분명한 안내 글이 그 빈자리를 채우기 쉽습니다. 대체 서비스가 있다면 짧은 안내 페이지를 두고 noindex를 거는 편이 낫습니다.

대체할 화면이 아예 없고 다시 열 계획도 없다면 404나 410으로 응답해 검색에서 빠지게 합니다. 같은 기능이 다른 주소로 옮겨 갔다면 301 리디렉션으로 새 주소에 연결합니다. 어느 쪽이든 사이트맵과 내부 링크에서 옛 주소를 지우는 작업을 함께 해야 합니다.

색인 정리 이후 AI 답변이 어떤 페이지를 출처로 쓰는지까지 이어서 점검하는 방식은 GEO·AEO 용어 사전에서 지표별로 정리해 두었습니다.

자주 묻는 질문

로그인 페이지가 구글 검색에 나오는 것 자체가 문제인가요?

대표 로그인 페이지 하나가 검색에 나오는 것은 문제가 아닙니다. 고객이 공식 로그인 주소를 찾을 수 있어야 사칭 사이트로 빠질 위험이 줄어듭니다. 세션 값이나 파라미터가 붙은 로그인 주소가 여러 개 색인돼 있다면 그쪽을 정리하세요.

noindex를 걸면 외부에서 그 페이지에 접근할 수 없나요?

noindex는 검색 결과에서 빼는 표시일 뿐이라 주소를 아는 사람은 여전히 그 페이지를 열 수 있습니다. 외부 접근을 막아야 하는 화면은 인증이나 접근 통제로 막고, noindex는 검색 노출 관리용으로만 쓰세요.

네이버 검색에도 같은 방법이 통하나요?

noindex 메타 태그와 robots.txt는 네이버 검색로봇도 따르는 표준이지만, 확인과 삭제 요청은 네이버 서치어드바이저에서 따로 해야 합니다. Search Console에서 점검한 목록을 그대로 가져가 네이버 쪽 수집 현황과 대조해 보세요.

색인 점검은 얼마나 자주 해야 하나요?

새 서비스나 이벤트 페이지를 열거나 닫을 때마다 확인하는 것이 기본입니다. 정기 점검 주기를 따로 정한다면 웹사이트 취약점 점검 일정과 맞춰 두면 보안팀과 한 번에 목록을 맞춰 볼 수 있습니다.

금융사 색인 점검, 오늘 Search Console부터 열어 보세요

로그인·조회 화면의 검색 노출은 인증과 noindex로 관리하고, 자기 도메인의 색인 목록을 화면 유형별로 나누는 데서 점검을 시작하면 됩니다.

리드젠랩은 noindex 헤더, HTTP 상태 코드, 리디렉션 같은 설정을 워드프레스와 서버 코드에서 직접 수정해 왔기 때문에 점검 목록을 실제 조치까지 같은 팀에서 이어서 처리합니다. 조치가 끝난 뒤에는 자체 개발한 SOHA로 AI 답변이 우리 사이트의 어떤 주소를 출처로 쓰는지 질문별로 확인해, 숨긴 화면이 출처에 다시 섞이지 않는지 살핍니다.

우리 사이트에서 검색에 걸려 있는 화면이 몇 개인지 궁금하다면 도메인 주소만 보내 주세요. 화면 유형별 색인 현황과 우선 조치할 주소를 정리해 드립니다.

• 리드젠랩에 금융사 색인 상태 점검 문의하기

• SOHA로 AI 답변 속 우리 사이트 출처 확인하기

함께 보면 좋은 글

• AI가 읽기 좋은 웹사이트 구조 체크리스트 17

• 로펌 블로그 대량 발행, AI 자동화의 색인 리스크

• Search Console 생성형 AI 실적 읽는 법, 3개월 250% 데이터 공개