# Discourse가 18,000통 이상의 이메일을 보냈나요? 아니면 서버가 해킹당한 걸까요?
**URL:** https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407
**Category:** Support
**Created:** [4월 18, 2020, 12:35오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407 "2020-04-18T00:35:44Z")
**Posts on this page:** 20
**Page:** 1
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:35오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/1 "2020-04-18T00:35:44Z")
솔직히 말씀드릴게요. 이 스레드를 어떻게 표현해야 할지, 도움을 받기 위해 어떤 정보를 제공해야 할지 전혀 감이 잡히지 않습니다. 제가 아는 것은 Discourse가 18,000통 이상의 이메일을 보내고 7,000통 이상의 이메일 전송에 실패했다는 사실뿐입니다(높은 바운스율(약 20%)로 인해 Amazon SES가 동결된 후 발생). 또한 여전히 500통 이상의 이메일을 전송하려는 것으로 보입니다.
수정: 제 포럼에는 회원이 단 8명뿐입니다.
결론: 네임서버를 설치한 적이 없는데도 포트 53이 열려 있었습니다. 해킹당했나 봅니다(Sidekiq가 모든 프로세스를 나열하더라도 여전히 해킹당한 것으로 알고 있습니다)
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 12:39오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/2 "2020-04-18T00:39:56Z")
제 추측으로는 이메일이나 Redis가 오랫동안 깨져 있다가 오늘 복구되면서 큐에 쌓여 있던 메일들이 한꺼번에 발송된 것 같습니다.
관리자 화면의 이메일 항목을 확인해 보면 어떤 메일들이 발송되었는지 볼 수 있습니다.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:41오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/3 "2020-04-18T00:41:12Z")
거기 가면 지금까지 발송된 이메일이 23통뿐이라고 합니다.
수정: 이런 일이 일어난 날은 4월 10일이었습니다(방금 그 이메일들을 discourse가 보낸 것이라는 걸 알아냈습니다). 그런데 10일에 발송된 이메일은 하나도 없습니다.
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 12:42오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/4 "2020-04-18T00:42:23Z")
그 다음에 다른 것이 이메일을 보냈습니다.
그것이 가장 좋은 설명입니다.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:43오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/5 "2020-04-18T00:43:12Z")
뭐가 문제였는지 모르겠는데, 서버에는 discourse만 돌리고 있어요. 해킹을 당했거나 그런 일이 있었을까요?
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:47오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/6 "2020-04-18T00:47:04Z")
또한 이것도 발견했는데, Sidekiq 대시보드의 재시도(retries) 탭에서 인자(argument)가 모두 다음과 같은 형태입니다:
`{"type"=>"digest", "user_id"=>11, "current_site_id"=>"default"}`
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 12:47오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/7 "2020-04-18T00:47:27Z")
누군가 당신의 SMTP 비밀번호를 탈취해서 다른 곳에서 메일을 보낸 것일까요? 아니면 서버가 해킹당한 것일까요 (비밀번호로 보호되고 있으며 fail2ban이 설치되어 있지 않나요?)? 그런 종류의 문제일 수 있습니다.
Discourse와 관련이 있을 가능성은 거의 없습니다.
새 서버를 설정하고 Discourse를 그곳으로 마이그레이션하는 것이 좋습니다.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:48오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/8 "2020-04-18T00:48:02Z")
> [@pfaffman](#):
>
> 아마도 서버가 해킹당한 것일 수 있습니다.
저도 그렇게 생각해서最后登录 기록을 확인해 봤는데, 3월에 제가 로그인한 것이 마지막이었습니다.
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 12:53오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/9 "2020-04-18T00:53:15Z")
놀라울 수 있지만, 로그를 편집하는 것은 어렵지 않습니다. 또는 그렇게 해주는 루트킷을 설치하는 것도 마찬가지입니다. 보내고 있는 주소는 discourse에 존재하지 않나요? 그렇다면 메시지가 전송되지 않았을 것입니다.
해킹을 당했을 가능성이 매우 높습니다.
비밀번호로 로그인하나요? fail2ban을 사용하나요?
어떤 포트가 열려 있는지 확인하는 방법을 검색해 보고, 22, 80, 443 포트 외에 다른 포트가 열려 있는지 확인해 보세요.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 12:55오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/10 "2020-04-18T00:55:40Z")
22, 80, 443 포트 외에 열려 있는 포트는 53번뿐입니다. fail2ban이 무엇인지는 모르지만, 조사해서 보안을 강화해 보겠습니다. 53번 포트를 닫아야 할 것 같습니다.
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 1:01오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/11 "2020-04-18T01:01:05Z")
무엇이 포트를 열어 두었는지 확인할 수 있습니다. 네임서버를 설치하지 않으셨으므로, 원인은 아마도 그것일 가능성이 높습니다.
새로운 서버를 구동하고 그곳으로 이전해야 합니다. 서버에 무엇이 있는지 알 수 없습니다. 모든 것이 의심스럽습니다.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 1:04오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/12 "2020-04-18T01:04:38Z")
백업 파일은 해당 위치에 가져와도 괜찮을까요?
---
### Author:  [@pfaffman](https://meta.discourse.org/u/pfaffman)
#### Post date: [4월 18, 2020, 1:05오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/13 "2020-04-18T01:05:36Z")
디스코ourse 백업 파일은 안전하게 보관되어 있을 것입니다. 모든 데이터가 제대로 백업되었는지 확인하려면 지금 바로 새로운 백업을 만들어 보세요.
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 1:06오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/14 "2020-04-18T01:06:29Z")
좋아요, 도움 주셔서 감사합니다!
---
### Author:  [@Stephen](https://meta.discourse.org/u/Stephen)
#### Post date: [4월 18, 2020, 1:12오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/15 "2020-04-18T01:12:43Z")
app.yml 파일을 어디에 게시하거나, 문제 해결을 위해 스크린샷을 공유해 본 적이 있나요?
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 1:14오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/16 "2020-04-18T01:14:00Z")
아니요, 제 app.yml 파일이나 스크린샷을 어디에도 올린 적이 없습니다.
---
### Author:  [@jomaxro](https://meta.discourse.org/u/jomaxro)
#### Post date: [4월 18, 2020, 1:14오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/17 "2020-04-18T01:14:09Z")
첫 번째 게시물의 스크린샷은 이메일 외에도 다양한 작업을 처리하는 Sidekiq와 매우 비슷해 보입니다. 18,000건의 이메일 수치가 나오는 곳이 바로 그 스크린샷의 위치인가요?
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 18, 2020, 1:14오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/18 "2020-04-18T01:14:54Z")
그랬지만, Amazon SES에서 전송된 것으로 표시된 이메일 수와 정확히 일치합니다.
---
### Author:  [@supermathie](https://meta.discourse.org/u/supermathie)
#### Post date: [4월 18, 2020, 2:02오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/19 "2020-04-18T02:02:53Z")
해킹을 당했다면, 해커가 자격 증명을 탈취한 후 Sidekiq를 통해 이메일을 보냈을 가능성은 매우 낮습니다.
`/admin/email/sent`의 발신 이메일 로그를 확인해 보면, 그렇게 많은 양의 이메일이 발송된 이유에 대한 단서를 찾을 수 있을까요?
---
### Author:  [@BobHill74](https://meta.discourse.org/u/BobHill74)
#### Post date: [4월 19, 2020, 5:24오전 UTC](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407/21 "2020-04-19T05:24:13Z")
서버는 이미 종료했지만, 말씀하시는 것이 discourse에서 보낸 이메일이라면,
> [@pfaffman](#):
>
> 제 추측으로는 이메일이나 redis가 오랫동안 고장 나 있다가 오늘 수리되면서 큐에 쌓여 있던 이메일이 한꺼번에 발송된 것 같습니다.
>
> admin \> email 항목에서 어떤 이메일이 발송되었는지 확인할 수 있습니다.
> [@BobHill74](#):
>
> 거기서 확인해 보면 지금까지 발송된 이메일은 23통뿐입니다.
>
> 수정: 이 일이 발생한 날은 4월 10일이었습니다(방금 discourse에서 이메일을 보낸 것임을 파악했네요). 그런데 10일에 발송된 이메일은 하나도 없습니다.
[다음 페이지](https://meta.discourse.org/t/discourse-sent-18k-emails-or-my-server-got-hacked/148407.md?page=2)