.env 파일 노출은 데이터베이스 비밀번호·API 키·시크릿 토큰이 담긴 환경설정 파일이 웹에서 그대로 다운로드되는 상태를 말한다.
AI 도구로 빠르게 만든 웹서비스에서 특히 자주 발생하는데, 배포 설정을 손볼 겨를 없이 올린 사이트의 루트 경로에 .env가 그대로 열려 있으면 공격자는 단 한 줄의 요청으로 서비스의 열쇠를 통째로 가져간다.
이 글은 왜 이 실수가 반복되는지, 실제 공격이 어떻게 이어지는지, 표준 차단 방법과 30초 자가진단, 그리고 24시간 안에 처리할 패치 순서를 정리했다.
한눈에 보는 핵심
Q. .env 파일이 왜 웹에서 열리나요? A..env는 프로젝트 루트에 두는 설정 파일인데, 웹 서버의 문서 루트가 프로젝트 루트와 같거나 정적 파일 서빙 규칙이 느슨하면 https://내사이트/.env 요청에 그대로 응답한다. AI 도구가 생성한 기본 설정을 그대로 배포하면 이 방어가 빠져 있는 경우가 많다.
Q. 노출되면 뭐가 위험한가요?
A. .env 안에는 보통 DB 접속정보, 결제·메일·클라우드 API 키, 세션 시크릿이 들어 있다. 하나만 새도 데이터베이스 직접 접속, 관리자 세션 위조, 유료 API 무단 사용, 2차 침투로 이어진다.
Q. 얼마나 흔한가요?
A. 공격 봇은 신규 도메인이 뜨면 자동으로 /.env, /.git/config, /config.php.bak 같은 경로를 초 단위로 긁는다. 출시 직후부터 노출 여부가 스캔당한다고 봐야 한다.
왜 이 실수가 반복되나
세 가지 패턴이 대부분이다.
- 문서 루트 = 프로젝트 루트 — 정적 호스팅이나 간이 배포에서 프로젝트 폴더 전체를 그대로 서빙하면
.env·.git·백업 파일까지 URL로 접근된다. - 정적 파일 규칙 누락 — Nginx·Apache에서 점(
.)으로 시작하는 파일 접근 차단 규칙을 넣지 않은 채 배포. - 백업·임시 파일 방치 —
.env.bak,.env.save,config.php~처럼 에디터가 남긴 사본이 함께 노출.
실제 위험 시나리오
공격은 대개 이렇게 이어진다.
- 봇이
GET /.env로 파일을 수집한다. DB_HOST,DB_USER,DB_PASSWORD로 데이터베이스에 직접 접속해 회원 정보를 통째로 내려받는다. 개인정보가 포함되면 개인정보 보호법상 매출액 기반 과징금 대상이 된다.- 결제·메일 API 키로 유료 서비스를 무단 사용하거나 고객에게 스팸·피싱 메일을 발송한다.
- 세션 시크릿(
SECRET_KEY)으로 관리자 세션을 위조해 관리 페이지를 장악한다.
핵심은 파일 한 개가 서비스 전체의 마스터 키라는 점이다. 방화벽·WAF를 아무리 세워도 열쇠를 대문 앞에 두면 소용이 없다.
표준 방어 — 3분 차단
플랫폼별로 점으로 시작하는 파일과 민감 파일의 외부 접근을 막는다.
Nginx
location ~ /\.(?!well-known).* { deny all; return 404; }
location ~* \.(env|bak|sql|save|swp|git)$ { deny all; return 404; }Apache (.htaccess)
<FilesMatch "^\.|\.(env|bak|sql|save|swp)$">
Require all denied
</FilesMatch>그리고 근본 대책은 문서 루트를 프로젝트 루트와 분리하는 것이다. 공개 폴더(public/, web/)만 웹에 노출하고 .env는 그 바깥 상위 폴더에 둔다. 프레임워크(Laravel·Django·Next 등)는 이 구조를 기본 제공하므로, AI 도구가 만든 배포 설정을 그대로 쓰지 말고 공개 폴더 지정을 반드시 확인한다.
30초 자가진단
브라우저나 터미널에서 아래를 직접 확인한다.
curl -I https://내사이트.com/.env
curl -I https://내사이트.com/.git/config
curl -I https://내사이트.com/.env.bak200 OK가 뜨면 즉시 노출 상태다. 403이나 404가 정상이다. 파일 내용이 조금이라도 보이면 그 안의 모든 키를 이미 유출된 것으로 간주하고 재발급해야 한다.
노출됐다면 — 24시간 패치 순서
- 즉시 접근 차단 — 위 서버 규칙을 적용하거나 파일을 문서 루트 밖으로 옮긴다.
- 노출된 키 전량 폐기·재발급 — DB 비밀번호, API 키,
SECRET_KEY를 새로 발급한다. 차단만 하고 키를 그대로 두면 이미 수집한 공격자에게는 무의미하다. - 접근 로그 점검 —
/.env에 대한 과거 요청 기록과 그 IP의 후속 요청을 확인해 실제 유출 여부를 판단한다. - 개인정보 유출 여부 확인 — DB 접속 흔적이 있으면 개인정보 침해 신고·통지 의무를 검토한다.
정리
.env 노출은 고난도 해킹이 아니라 배포 설정 한 줄에서 갈린다. 그래서 더 위험하다 — 누구나 당하고, 봇은 출시 즉시 긁어간다. AI 도구로 빠르게 만든 서비스일수록 배포 직후 이 한 가지부터 확인해야 한다.
보안 전문 기업 SENTRIX는 이런 외부 노출을 공격자 시점에서 자동 점검하는 무료 스캔을 제공한다. .env·백업 파일·.git 노출부터 인증서·헤더·포트까지 21개 항목을 30초에 확인할 수 있다.