'손상된 사이트' 비승인 — 해킹 흔적 정리부터 재심사까지

구글애즈에서 광고가 갑자기 '손상된 사이트' 사유로 비승인되면 대부분 처음 보는 표현이라 당황합니다. 랜딩페이지를 아무리 봐도 멀쩡한데 왜 승인이 안 되느냐는 문의가 실제로 많습니다. 이 판정이 무엇을 뜻하는지, 어디를 확인하고 무엇을 정리해야 하는지, 재검토는 어떻게 넣고 그동안 광고는 어떻게 이어갈지를 실무 순서대로 정리합니다.

'손상된 사이트' 판정이 뜻하는 것

구글의 '손상된 사이트(Compromised site)' 정책은 광고주가 의도적으로 잘못한 경우보다, 사이트가 제3자에게 침해당해 사용자에게 해를 끼칠 수 있다고 판단될 때 적용됩니다. 과거 해킹으로 삽입된 멀웨어, 검색엔진에만 보이는 스팸 페이지, 외부 사이트로 몰래 넘기는 리다이렉트, 피싱 형태의 폼 등이 근거가 됩니다.

중요한 점은 '지금' 문제가 있느냐보다 '흔적'이 남아 있느냐입니다. 몇 달 전 해킹을 복구했더라도 당시 생성된 스팸 URL이 아직 색인되어 있거나, 웹 루트 구석에 웹셸 파일이 그대로 있다면 구글 입장에서는 여전히 손상된 사이트입니다. 메인 페이지만 확인하고 재심사를 넣었다가 반복 거절되는 이유가 여기에 있습니다.

서브도메인까지 번지는 도메인 평판

많이 놓치는 부분이 도메인 단위 평판입니다. 루트 도메인이 손상 판정을 받으면 blog.example.com, event.example.com 같은 서브도메인이나 새로 만든 하위 경로도 함께 묶여 심사에서 밀리는 경우가 흔합니다. 새 랜딩페이지를 깨끗하게 만들어 서브도메인에 올렸는데도 같은 사유로 거절된다면, 페이지 문제가 아니라 도메인 평판 문제라고 보는 것이 맞습니다.

이 경우 '페이지를 고치는 일'과 '도메인 신뢰를 회복하는 일'을 분리해서 생각해야 합니다. 후자는 시간이 걸리기 때문에 뒤에서 설명할 대체 도메인 전략이 필요해집니다.

Search Console에서 보안 문제부터 확인

어디가 문제인지 추측하지 말고 먼저 Search Console의 '보안 및 수동 조치 > 보안 문제' 메뉴를 확인하세요. 해킹된 콘텐츠, 멀웨어, 사회공학적 공격 등 구글이 감지한 유형과 샘플 URL이 표시됩니다. 다만 여기에 아무것도 없다고 안심하면 안 됩니다. 구글애즈 심사 기준은 Search Console 보안 경고와 완전히 같지 않아서, 경고가 없어도 광고 심사에서는 걸릴 수 있습니다.

도메인 속성을 아직 등록하지 않았다면 이번 기회에 반드시 등록하세요. 등록과 활용 방법은 서치콘솔 등록과 기본 활용법 글에 정리해 두었습니다. 함께 '페이지 색인 생성' 보고서에서 내가 만든 적 없는 URL이 대량으로 색인되어 있는지도 확인해야 합니다. 일본어·중국어 키워드, 약품·도박 관련 경로가 보인다면 전형적인 해킹 스팸 흔적입니다.

해킹 잔재 정리 체크리스트

정리는 서버 담당자나 개발사와 함께 진행하는 것이 좋지만, 최소한 무엇을 확인해야 하는지는 광고 담당자도 알고 있어야 합니다.

• 웹셸·백도어 파일: 업로드 폴더, 테마·플러그인 폴더에 최근 수정된 낯선 PHP 파일이 있는지 확인합니다. 정상 파일과 비슷한 이름으로 위장된 경우가 많습니다.
• 숨은 페이지와 스팸 URL: 삭제 후 404 또는 410으로 응답하게 하고, Search Console의 '삭제' 도구로 제거 요청을 넣습니다.
• 스팸 회원과 관리자 계정: 대량 가입된 이상 계정, 특히 관리자 권한을 가진 낯선 계정을 삭제하고 모든 관리자 비밀번호를 바꿉니다.
• 이상 리다이렉트: .htaccess, index 파일, 데이터베이스 옵션 테이블에 삽입된 리다이렉트 코드를 찾습니다. 모바일이나 검색 유입에서만 작동하도록 조건이 걸린 경우가 있어 PC 브라우저에서는 재현이 안 될 수 있습니다.
• 취약점 원인 차단: CMS·플러그인 업데이트, 미사용 플러그인 삭제, 파일 권한 정리까지 해야 재감염을 막을 수 있습니다.

정리 후에는 색인 상태를 다시 확인해야 합니다. 스팸 URL이 계속 색인에 남아 있으면 정리를 마쳤다고 보기 어렵습니다. 색인 관련 진단은 색인 문제 진단과 해결 글을 참고하세요.

재검토 요청 절차와 소요 기간

정리가 끝나면 두 곳에 요청을 넣습니다. 첫째, Search Console에 보안 문제가 표시되어 있었다면 해당 화면에서 '검토 요청'을 제출합니다. 무엇을 어떻게 조치했는지 구체적으로 적을수록 좋습니다. 둘째, 구글애즈에서 비승인된 광고를 선택해 '이의신청'을 제출합니다. 같은 사유로 묶인 광고를 함께 제출하는 것이 효율적입니다.

소요 기간은 정해져 있지 않습니다. 경험상 며칠 안에 풀리는 경우도 있지만, 도메인 평판이 깊게 손상된 경우 몇 주가 지나도 같은 사유로 거절되기도 합니다. 반복 거절 시에는 같은 내용으로 다시 제출하기보다 남은 흔적을 다시 찾는 것이 우선입니다. 비승인 대응의 일반 절차는 구글애즈 비승인 해결 가이드에서 확인할 수 있습니다.

그동안 광고는 어떻게 할까: 대체 도메인 운영

재심사를 기다리는 동안 광고를 멈출 수 없는 사업이 대부분입니다. 현실적인 선택은 해킹 이력이 없는 별도 도메인에 광고 전용 랜딩페이지를 두는 것입니다. 몇 가지 원칙을 지켜야 합니다.

1. 기존 도메인의 서브도메인이 아니라 완전히 다른 도메인을 사용합니다.
2. 랜딩페이지 안에 기존 도메인으로 가는 링크, 이미지 경로, 스크립트 참조를 남기지 않습니다. 브라우저에서 기존 도메인이 호출되면 심사에서 다시 연결될 수 있습니다.
3. 상담 문의 데이터는 서버 내부에서 기존 시스템으로 넘기고, 사용자 화면에서는 새 도메인만 노출되게 합니다.
4. 새 도메인은 광고 목적에 맞게 단순하게 구성하고, 사업자 정보와 개인정보 처리방침을 정상적으로 갖춥니다.

이 방식은 임시방편이 아니라 오히려 광고 운영을 안정화하는 구조가 되는 경우가 많습니다. 본 사이트는 검색 유입과 브랜드용으로, 광고 랜딩은 별도 도메인으로 분리하면 한쪽에 문제가 생겨도 다른 쪽이 멈추지 않기 때문입니다.

손상된 사이트 판정은 '지금 고쳤다'가 아니라 '흔적까지 지웠다'를 증명해야 풀립니다. 정리, 색인 확인, 재검토, 대체 도메인 운영을 동시에 진행하는 것이 손실을 가장 줄이는 방법입니다.

내 사이트는 지금 어떤 상태일까? 무료 SEO 점검 도구로 구글·네이버 최적화 상태를 1분 만에 확인해 보세요. 전문가 진단이 필요하면 무료 상담으로 문의하실 수 있습니다.