검색창이 스팸 통로가 됐던 날 : SEO 인젝션 어뷰징 케이스

 

안녕하세요! 다들 잘 지내시나요? 요즘 날씨가 애매하게 덥고 애매하게 시원한 5월이네요.

오늘은 제가 업무 중에 마주쳤던 흥미로운 케이스를 공유하려고 합니다. 솔직히 처음엔 원인을 잘못 파악했고, 가설을 바꿔보면서 시도한 끝에 답에 도달했던 사례입니다. QA 관점에서 "이런 것도 있구나" 싶어서 기록해보려 합니다. 그럼 피드백은 언제나 감사합니다!

---

🔎 어느 날 Google Search Console에서 이상한 걸 발견했습니다

 

팀원분이 GSC(Google Search Console)를 보다가 이상한 URL들을 발견했습니다.

우리 서비스의 검색 페이지 URL인데, 검색어 자리에 전혀 본 적 없는 키워드들이 잔뜩 들어가 있는 거예요. 다수의 광고성·스팸성 키워드들이 "크롤링됨 - 색인 생성되지 않음" 상태로 잡혀 있었습니다. "누가 이런 걸 올린 거야...?" 저의 첫 번째 가설은 이거였어요.

 

누군가가 댓글이나 게시글에 스팸 링크를 올렸을 것으로 판단하고 해당 글과 작성자를 차단하려 했습니다.

근데 이게 생각대로 잘 진행되지 않았습니다. 어드민에서 해당 키워드를 검색해도 결과가 나오지 않았고, 건수가 너무 많기도 해서 추적하기가 어려운 구조였어요.

그래서 가설 자체를 버리고 다른 방향으로 가봤습니다. (당시 백엔드 엔지니어는 바로 대응할 수 없는 상황이었습니다 🙇‍♂️)

---

💡 진짜 원인은 전혀 다른 데 있었습니다

게시글이 없는데 구글에 나오고 있다는 게 살짝 이상하다고 생각했고, 막혀있던 상황에서 Claude에게 원인 추적 방법을 물어봤어요.

site:[우리 도메인]으로 구글에서 직접 색인 상태를 확인하는 방법을 알게 됐고,

실제로 검색해 봤더니 우리 검색 페이지들이 구글 검색결과에 뜨는데 클릭해 들어가면 "검색 결과가 없어요"로 나오고 있었습니다.

 

즉, DB에는 아무 게시글도 없었어요. 진짜 원인은 이거였어요.

외부 봇이 우리 검색 페이지 URL 형식에 스팸 키워드를 넣어서 대량으로 만들어 뿌리고 있었던 것이었습니다.

 

우리 검색 페이지가 "결과 없음" 화면에 사용자 입력값을 그대로 출력하는 구조였는데, Googlebot이 그 페이지를 따라가 색인하면서 우리 도메인 + 스팸 키워드가 함께 구글에 노출될 수 있는 상황이 만들어진 거였어요.

어뷰징 구조를 정리하면 이렇습니다.

 

 

봇이 우리 검색 URL에 스팸 키워드를 넣어 뿌림
    ↓
Googlebot이 따라 들어옴
    ↓
"검색 결과 없음" 화면에 스팸 키워드가 그대로 노출
    ↓
구글이 그 페이지를 색인
    ↓
구글 검색에 우리 도메인 + 스팸 키워드가 함께 노출

우리 사이트에 직접 피해가 생긴 건 아니었지만, 도메인 평판이 야금야금 깎일 수 있는 구조였어요.

---

🤷‍♂️ AI가 준 답을 그대로 쓰지 않은 게 포인트였어요

원인을 파악한 뒤 Claude에게 대응 방법도 물어봤어요. 돌아온 답변은 명쾌했어요. "검색 페이지 전체에 noindex를 걸면 됩니다."

틀린 말이 아닌 것 같았습니다. 기술적으로는 맞지만.. 여기서 한 가지 질문이 생겼어요.

"우리 검색 페이지 전체를 noindex 해버리면... SEO는 괜찮나?"

아직 SEO를 잘 몰라서 걱정인 제 모습과 비슷해서ㅎㅎ

 

우리 서비스의 정상적인 사용자들이 검색한 페이지들, 즉 실제 콘텐츠가 있고 구글에 잘 노출되고 있던 검색 결과 페이지들까지 한꺼번에 색인에서 빠져버리는 것이니. 스팸을 막겠다고 정상적인 SEO 자산까지 날려버리는 셈이었죠.

 

그래서 방향을 바꿨어요. "어떻게 하면 스팸 URL만 골라서 막을 수 있을까?"

정상 URL과 봇이 만든 URL을 비교해 봤어요. 그랬더니 차이가 하나 있었습니다!ㅎㅎ 정상적인 사용자가 검색하면 URL에 세션 관련 파라미터가 자동으로 붙는 구조인데, 봇이 직접 조합해서 만든 URL에는 그게 없었던 것이었습니다.

이걸 신호로 삼아서 세션 파라미터가 없는 URL에만 noindex를 반환하도록 처리했어요. 결과적으로 스팸 URL은 색인에서 제외되고, 진짜 사용자의 검색 페이지는 그대로 살아있는 구조가 됐어요.

---

🛒 이번에 챙겨가는 것들

1. AI 답변은 출발점이지 종착점이 아니다

이번 케이스에서 가장 크게 느낀 부분입니다. Claude가 준 "검색 페이지 전체 noindex" 답변은 기술적으로 맞아요.

하지만 그걸 그대로 적용했으면 스팸은 막았겠지만 정상적인 SEO 자산도 같이 날아갔을 거예요.

 

AI는 맥락을 100% 이해하지 못한 상태에서 답을 주는 것 같습니다(제 탓일 수도..ㅋㅋ) 우리 서비스가 검색 SEO에 얼마나 의존하고 있는지, 어떤 페이지가 실제로 트래픽을 만들고 있는지는 우리가 더 잘 알죠.

그래서 AI의 답을 받은 다음 "이게 우리 비즈니스에 맞는 방식인가?"를 한 번 더 고민하는 게 필요하다는 걸 새삼 실감했어요.

 

2. 막히면 가설을 의심하기

"댓글에서 찾자 → 안 됨 → 막힘"에서 멈췄다면 영영 못 찾았을 거예요. 사실 찾을 게 없었거든요.

막혔을 때 도구 탓 하지 말고 가설 자체를 바꿔보는 게 디버깅 기본기인데, 막상 닥치면 잊기 쉽더라고요.

 

3. "사이트에 없으면 구글에도 없다"는 착각

DB에 없는 내용도 구글 검색결과에 뜰 수 있어요. 사용자 입력이 곧 페이지가 되는 구조에서는, 우리 콘텐츠가 아닌데 우리 도메인으로 보이는 상황이 가능합니다.

 

4. noindex와 nofollow는 다르다 (이건 AI가 잘했다!)

태그의미비유

noindex	이 페이지를 검색결과에 안 보여주기	"이 방은 비공개"
nofollow	이 페이지의 링크를 따라가지 않기	"이 방에서 나가는 문도 잠금"

비슷해 보이지만 효과가 완전히 달라요. 이번에 전체 noindex + nofollow 조합 대신 noindex만 쓴 것도, 검색 페이지 안의 게시글 링크는 크롤러가 계속 따라가 줘야 내부 콘텐츠 발견 경로가 살아있기 때문이에요.

 

5. GSC는 주기적으로 들어가 보는 게 좋다

이번에 우연히 들어갔다가 발견한 건데, 진작 들어가 봤다면 더 빨리 잡을 수 있었을 것 같아요. 월 1회 정도 정기 점검 습관을 들이는 게 좋겠다 싶었어요.

---

요즘 AI 도구를 쓰는 일이 많아지면서 "AI가 이렇게 하라니까 그렇게 해야지"가 되는 순간이 생기는 것 같아요.

근데 이번 케이스를 겪으면서, AI는 내가 모르는 방향을 알려주는 데 쓰고 그 방향이 우리 서비스에 맞는지는 내가 판단해야 한다는 걸 다시 한번 느꼈습니다. 당연한 말인데 막상 실무에서는 그 선이 흐릿해질 때가 있더라고요 ㅎㅎ

그럼 이렇게 저의 경험담을 기록해 봅니다. 긴 글 읽어주셔서 감사합니다 ㅎㅎ