2017년 워너크라이 랜섬웨어 사태, 하루 만에 150개국을 멈춰 세운 그날

[핵심요약] 2017년 5월, NSA발 해킹 도구를 타고 퍼진 워너크라이 랜섬웨어가 하루 만에 150개국 23만 대 이상을 감염시켰어요. 한 연구원이 우연히 찾은 킬 스위치로 확산은 멈췄지만, 원인이 된 취약점은 지금도 여전히 살아있어요.

2017년 5월 12일 금요일, 랜섬웨어 워너크라이(WannaCry)가 전 세계 컴퓨터를 동시에 덮쳤어요. 하루 만에 150개국 이상, 23만 대가 넘는 컴퓨터가 감염됐고, 영국 국민보건서비스(NHS) 산하 병원들은 수술을 취소하고 응급실 환자를 다른 병원으로 돌려보내야 했어요. 스페인 통신사 텔레포니카, 독일 철도 도이체반, 페덱스 같은 글로벌 기업도 시스템이 멈췄어요. 공격 도구의 뿌리는 미국 국가안보국(NSA)이 개발했다가 해킹 그룹 섀도우 브로커스에 의해 유출된 이터널블루(EternalBlue)라는 윈도우 취약점 공격 코드였어요.

그날 무슨 일이 있었나

워너크라이는 파일을 암호화하고 몸값을 요구하는 여느 랜섬웨어와 크게 다르지 않았지만, 확산 방식이 달랐어요. 이메일 클릭 한 번으로 끝나는 게 아니라, 감염된 PC가 같은 네트워크 안의 다른 취약한 PC를 자동으로 찾아 스스로 옮겨 다니는 웜(worm) 방식이었어요. 이터널블루는 윈도우의 파일 공유 프로토콜(SMBv1)에 있던 결함을 이용했는데, 패치가 이미 두 달 전인 3월에 나와 있었는데도 전 세계 수십만 대가 여전히 무방비 상태였어요. 확산이 걷잡을 수 없이 커지던 그날 오후, 영국의 22살 보안 연구원 마커스 허친스가 악성코드 샘플을 분석하다가 이상한 점을 발견했어요. 코드 안에 등록되지 않은 긴 도메인 주소가 하나 박혀 있었던 거예요. 혹시나 하는 마음에 몇 달러를 주고 그 도메인을 등록했더니, 놀랍게도 확산 속도가 뚝 떨어졌어요. 공격자가 만들어둔 일종의 안전장치, 즉 킬 스위치를 우연히 작동시킨 거였어요. 이 도메인에 연결되면 암호화를 멈추도록 짜여 있었던 코드 덕분에, 단 몇 시간 만에 전 세계적 확산이 사실상 멈췄어요.

왜 지금도 회자되는가

워너크라이가 유독 오래 회자되는 이유는 피해 규모 때문만이 아니에요. 패치가 이미 존재했는데도 막지 못했다는 점, 그리고 확산을 멈춘 게 정교한 방어 시스템이 아니라 한 개인의 우연한 발견이었다는 점이 지금 봐도 아찔해요. 게다가 마커스 허친스는 영웅 대접을 받은 지 몇 달 만에 과거 다른 악성코드 제작에 연루된 혐의로 미국에서 체포됐고, 결국 집행유예로 마무리됐어요. 세상을 구한 사람과 세상을 위협한 사람이 한 사람 안에 겹쳐 있었던 이 반전도 워너크라이를 단순한 기술 사건이 아니라 지금까지 두고두고 이야기되는 사건으로 만든 이유예요. 무엇보다 이터널블루는 지금도 죽지 않았어요. SMB 프로토콜을 노리는 공격 시도의 상당수가 여전히 이 취약점을 겨냥하고 있고, 패치되지 않은 채 인터넷에 노출된 윈도우 시스템이 지금도 수백만 대 단위로 남아있다는 보고가 이어지고 있어요.

오늘날 조직이 배울 점

워너크라이가 남긴 가장 뼈아픈 교훈은 패치 하나 미루는 습관이 몇 달러짜리 사고가 아니라 국가급 인프라를 멈추는 사고로 번질 수 있다는 거예요. 당시 피해가 컸던 조직 상당수는 예산이나 인력 부족으로 오래된 윈도우 서버를 그대로 쓰거나, 업데이트가 업무에 영향을 줄까 봐 계속 미뤄온 곳들이었어요. 지금도 다르지 않아요. 전산 인력이 소수인 중견기업일수록 패치 우선순위가 뒤로 밀리기 쉽고, 그 틈을 노리는 자동화된 스캔은 24시간 쉬지 않고 인터넷을 훑고 있어요.

또 하나는 확산 속도예요. 워너크라이는 감염된 PC 한 대가 같은 네트워크 안의 다른 PC로 스스로 옮겨가는 구조였기 때문에, 망 분리가 안 돼 있던 조직일수록 피해가 기하급수적으로 커졌어요. 관리자 PC 한 대가 뚫리면 옆 부서, 옆 공장, 심지어 협력사 시스템까지 순식간에 번질 수 있다는 걸 보여준 사례예요. 백업이 있었던 조직 중에서도 백업 서버가 같은 네트워크에 물려 있어서 함께 암호화된 경우가 적지 않았다는 점도 곱씹을 만해요.

이런 증상이 보이면 이미 위험 신호예요

• 사내 서버·PC에서 SMBv1 프로토콜이 아직 켜져 있는지 확인이 안 되고 있어요
• 윈도우 보안 업데이트가 몇 달째 밀려 있는 PC나 서버가 있어요
• 외부 인터넷에서 445번 포트로 접근 가능한 서버가 있는지 파악이 안 돼 있어요
• 운영망에 윈도우 서버 2008, 2003처럼 지원이 끝난 구형 서버가 아직 남아있어요
• 평소보다 여러 대의 PC에서 동시에 파일 확장자가 이상하게 바뀌는 증상이 보였어요
• 백업 서버가 업무망과 물리적·논리적으로 분리돼 있지 않아요

Q. 워너크라이 같은 오래된 취약점이 2026년에도 정말 위험한가요?

네, 그래요. 이터널블루를 노리는 스캔과 공격 시도는 지금도 SMB 프로토콜 대상 공격 중 상당한 비중을 차지하고 있어요. 새 취약점만 위험한 게 아니라, 아무도 신경 쓰지 않는 오래된 구멍이 여전히 가장 손쉬운 침입로예요.

Q. 전산 인력이 1~2명뿐인 중견기업도 이런 사고를 겪을 수 있나요?

오히려 더 취약해요. 패치 관리를 전담할 인력이 없으면 업데이트가 후순위로 밀리기 쉽고, 공격자는 정확히 그런 조직을 자동 스캔으로 골라내요. 워너크라이 피해 기관 중에도 대기업 못지않게 중소 규모 조직이 많았어요.

Q. 킬 스위치 같은 행운을 다시 기대할 수 있나요?

없다고 봐야 해요. 워너크라이의 킬 스위치는 공격자의 실수에 가까운 우연이었지, 방어 전략이 아니었어요. 실제로 이후 등장한 랜섬웨어들은 이런 허점을 남기지 않도록 훨씬 정교해졌어요.

워너크라이는 이미 존재하던 패치 하나, 그리고 우연히 발견된 도메인 하나가 전 세계 시스템의 운명을 갈랐던 사건이에요. 9년이 지난 지금도 같은 구조의 위험— 미뤄진 패치, 분리되지 않은 네트워크, 함께 뚫리는 백업 — 은 그대로 남아있어요. 다음번엔 킬 스위치 같은 행운이 없을 수도 있다는 걸 기억할 필요가 있어요.

이런 사고를 막으려면 패치 한두 개를 놓쳐도, 심지어 내부망이 뚫려도 백업만큼은 손댈 수 없는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 바로 그 마지막 방어선 역할을 해줘요.