2017년 낫페트야(NotPetya) 사태, 랜섬웨어로 위장한 사이버 무기가 세계 물류를 멈춘 날

[핵심요약] 2017년 우크라이나 회계 프로그램 업데이트에 숨어든 낫페트야가 랜섬웨어를 가장한 채 머스크·머크 등 글로벌 기업을 마비시키고 100억 달러 피해를 남긴 사건과, 지금도 유효한 교훈을 정리했어요.

2017년 6월 27일, 우크라이나에서 시작된 악성코드 하나가 채 몇 시간도 안 돼 전 세계 기업 네트워크를 마비시켰어요. 이름은 낫페트야(NotPetya) — 과거 랜섬웨어 '페트야(Petya)'와 비슷해 보이지만, 실제로는 돈을 받을 생각이 전혀 없는 파괴형 악성코드였어요. 세계 최대 해운사 머스크는 PC 4만5,000대와 서버 4,000대를 통째로 초기화해야 했고, 제약사 머크와 물류기업 페덱스(TNT익스프레스)까지 도미노처럼 무너졌어요. 전 세계 피해액은 100억 달러(약 13조 원)를 넘는 것으로 추산되면서, 낫페트야는 지금까지도 '역사상 가장 비싼 사이버공격'으로 불려요.

그날 무슨 일이 있었나?

낫페트야는 처음부터 전 세계를 노린 게 아니었어요. 공격자들은 우크라이나 기업 대부분이 쓰던 세무회계 프로그램 'M.E.Doc'의 자동 업데이트 서버에 몰래 침투해서, 정상 업데이트 파일 안에 악성코드를 심어놨어요. 이 프로그램을 쓰던 기업이라면 평소처럼 업데이트 버튼만 눌러도 감염되는 구조였던 거예요.

일단 한 대라도 감염되면 확산 속도가 무서웠어요. 낫페트야는 마이크로소프트의 SMB 취약점 '이터널블루(EternalBlue)'와 자격증명 탈취 도구 '미미카츠(Mimikatz)'를 동시에 활용해서, 패치가 안 된 PC는 취약점으로, 패치가 된 PC는 훔친 관리자 계정으로 뚫고 들어갔어요. 두 가지 경로를 같이 쓴 덕분에 사내 네트워크 하나를 완전히 장악하는 데 걸린 시간이 단 90분 남짓이었다고 알려져 있어요.

머스크 코펜하겐 본사에서는 직원들이 모니터에 뜬 몸값 요구 화면을 보고 나서야 심각성을 깨달았어요. 초기 점검 결과 도메인 컨트롤러(회사 인증 시스템의 핵심 서버) 약 150대가 전부 감염된 것으로 파악됐고, 복구할 방법이 없어 보였어요. 그런데 마침 정전으로 네트워크에서 끊겨 있던 가나(Ghana) 지사의 도메인 컨트롤러 한 대가 유일하게 살아남아 있었어요. 인터넷 대역폭이 부족해 파일을 온라인으로 옮길 수도 없었던 직원들은 하드디스크를 직접 들고 가나에서 나이지리아를 거쳐 영국 본사까지 날아갔고, 이렇게 실낱같은 복구가 시작됐어요.

왜 지금도 회자되는가?

낫페트야가 유독 오래 회자되는 이유는 '돈이 목적이 아니었다'는 사실 때문이에요. 보안 연구자들이 코드를 분석해보니, 몸값을 내도 복구할 수 있는 키 생성 구조 자체가 없었어요. 화면에는 분명 비트코인 지갑 주소와 복호화 안내가 떴지만, 애초에 파일을 되돌릴 방법이 설계돼 있지 않았던 거예요. 즉 낫페트야는 랜섬웨어로 위장한 '와이퍼(wiper, 파괴형 악성코드)'였고, 미국과 영국 정부는 이 공격의 배후로 러시아군 정보기관 산하 해킹조직 '샌드웜(Sandworm)'을 지목했어요. 우크라이나를 겨냥한 사이버 무기가 통제 범위를 벗어나 전 세계로 번진 사건이라는 거예요.

이 사건은 보험 업계에도 오랫동안 논쟁거리를 남겼어요. 머크는 보험사에 8억 달러대 피해 보상을 청구했지만, 보험사는 '전쟁 행위 면책 조항'을 내세워 지급을 거부했고 결국 수년간 법정 다툼 끝에야 합의로 마무리됐어요. 국가 배후 사이버공격을 전통적인 '전쟁'과 '평시 범죄' 중 어느 쪽으로 봐야 하느냐는 질문이 이때부터 본격적으로 제기됐어요.

무엇보다 이 사건의 수법은 지금도 살아있어요. 2026년에도 이란 배후로 지목된 '기가와이퍼(GigaWiper)'라는 악성코드가 디스크 파괴 기능과 가짜 랜섬웨어 화면을 한 몸에 결합해 등장했어요. 피해자 입장에서는 처음엔 '몸값을 내면 살릴 수 있는 랜섬웨어 사고'로 보이지만 실제로는 복구가 불가능한 완전한 데이터 파괴라는 점에서, 낫페트야가 만든 공격 각본이 9년이 지난 지금도 그대로 재사용되고 있는 셈이에요.

오늘날 조직이 배울 점

낫페트야가 남긴 교훈은 세 가지로 요약할 수 있어요.

첫째, 공급망 신뢰가 곧 보안 경계선이라는 점이에요. 낫페트야는 방화벽이나 백신을 뚫은 게 아니라, 매일 아무 의심 없이 누르던 '업데이트' 버튼을 통해 들어왔어요. 회계·ERP·원격지원 도구처럼 회사 안에서 광범위한 권한을 가진 소프트웨어일수록, 그 공급업체의 보안 수준이 곧 우리 회사의 보안 수준이 된다는 뜻이에요.

둘째, 네트워크 전체가 하나의 인증 체계로 묶여 있으면 한 곳의 침해가 곧 전사 침해로 번져요. 이터널블루와 미미카츠 조합이 90분 만에 회사 전체를 장악할 수 있었던 건, 한 번 관리자 권한을 얻으면 그 권한으로 갈 수 있는 곳이 사실상 무제한이었기 때문이에요. 망 분리와 권한 최소화가 확산 속도 자체를 늦추는 가장 확실한 방법이에요.

셋째, 복구는 결국 '평소에 얼마나 떨어뜨려 놨는가'로 결정돼요. 머스크를 살린 건 뛰어난 침해 대응팀이 아니라, 정전 때문에 우연히 네트워크에서 끊겨 있던 가나 지사의 백업 서버 한 대였어요. 이걸 운으로 넘기지 않으려면, 평소에 최소 하나의 백업만큼은 의도적으로 물리적·네트워크적으로 분리해 둬야 해요.

체크리스트: 우리 조직은 낫페트야 같은 공격에서 안전할까요?

• 회계·ERP·원격관리 도구 같은 업무용 소프트웨어의 자동 업데이트 서버가 다중인증 없이 열려 있는지 확인해 보세요.
• 사내 전체가 관리자 계정 하나로 연결된 단일 AD(Active Directory) 도메인 구조는 아닌지 점검해 보세요.
• 백업 서버가 평소에도 상시 네트워크에 연결돼 있어 랜섬웨어와 함께 감염될 위험은 없는지 살펴보세요.
• SMB 관련 보안 패치를 몇 달째 미루고 있는 서버가 남아있지 않은지 확인해 보세요.
• 자격증명 탈취 도구(미미카츠류)로 관리자 계정이 한 번에 털릴 경우, 대응 매뉴얼이 마련돼 있는지 점검해 보세요.
• 사이버보험 약관에 '국가 배후 공격' 면책 조항이 포함돼 있는지 확인해 보세요.

낫페트야는 왜 몸값을 내도 복구가 안 됐나요?

코드 안에 애초에 복호화 키를 만들어내는 절차가 없었기 때문이에요. 화면에 뜬 비트코인 요구는 사실 사람들이 '랜섬웨어 사고'라고 착각하게 만들어 대응을 늦추려는 위장이었을 뿐, 실제로는 파일을 원상복구할 방법 자체가 존재하지 않았어요.

머스크는 어떻게 열흘 만에 복구할 수 있었나요?

정전으로 우연히 네트워크에서 끊겨 있던 가나 지사의 도메인 컨트롤러 한 대가 유일하게 감염을 피했어요. 이 서버 데이터를 하드디스크에 담아 가나→나이지리아→영국으로 릴레이하듯 옮기며 복구를 시작했고, 완전 정상화까지는 약 10일이 걸렸어요.

국내 기업도 낫페트야 같은 공급망 공격의 대상이 될 수 있나요?

네, 오히려 지금이 더 위험해요. 이 블로그에서 다룬 PTC 윈드칠, N-able 같은 업무용 소프트웨어 취약점 사고들처럼, 매일 쓰는 회계·ERP·원격관리 도구의 업데이트 경로 자체가 여전히 공격 표면으로 남아 있거든요.

낫페트야 사태는 발생한 지 9년이 지났지만, 여전히 보안 담당자들 사이에서 회자되는 사건이에요. 랜섬웨어처럼 보이는 화면 뒤에 훨씬 무서운 파괴 의도가 숨어있을 수 있다는 것, 그리고 복구는 결국 얼마나 평소에 대비해 놨는지에 달렸다는 두 가지 교훈은 지금도 유효해요. 언젠가 우리 회사 모니터에도 비슷한 화면이 뜬다면, 그때 믿을 건 그날의 운이 아니라 오늘 만들어둔 백업이어야 해요.

이런 사고를 막으려면 관리자 권한 하나가 뚫려도 백업 서버까지는 절대 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 바로 그 역할을 해줘요. 관리자 계정이 통째로 털려도 왜 백업만큼은 안전하게 남는지 궁금하다면 여기서 확인해보세요.