낫페트야 사건
2017년 6월 낫페트야는 우크라이나 회계 소프트웨어 업데이트 경로를 통해 시작되어 웜처럼 확산되고 복구 불가능한 데이터 파괴를 일으킨 세계적 공급망 공격입니다.
낫페트야 사건
NotPetya는 2017년 6월 27일 우크라이나에서 시작해 다국적 기업과 정부·금융·물류 시스템으로 확산된 파괴형 악성코드입니다. 화면과 지불 요구는 랜섬웨어처럼 보였으나 암호화 구조와 복구 채널이 실질적 복호화를 어렵게 만들어 와이퍼로 평가됩니다.
초기 배포에는 우크라이나에서 널리 사용된 M.E.Doc 회계 소프트웨어의 업데이트 체계가 악용되었습니다. 내부망에서는 SMB 취약점, 자격증명 절취와 정상 관리기능을 조합해 빠르게 이동했습니다.
사건 개요
진행 경과
악성 업데이트를 받은 조직에서 코드가 실행된 뒤 EternalBlue·EternalRomance 계열 기술과 탈취한 관리자 자격증명, PsExec·WMI를 이용해 내부 시스템에 확산되었습니다. 글로벌 기업의 우크라이나 지사가 감염되면서 사설망과 도메인 신뢰를 통해 다른 국가의 시스템까지 영향을 받았습니다.
피해와 영향
Maersk, Merck, FedEx TNT, Mondelez 등 글로벌 기업의 물류·제조·업무 시스템이 장기간 중단되었습니다. 항만 운영과 배송, 생산, 재무업무가 영향을 받았고 총 경제손실은 여러 추정에서 수십억 달러 규모로 평가됩니다. 일부 기업은 수천 대 서버와 수만 대 PC를 재구축했습니다.
원인과 확산 요인
신뢰된 소프트웨어 업데이트, 평면적 글로벌 네트워크, 재사용된 관리자 자격증명, 패치되지 않은 SMB, 도메인 권한 집중이 결합했습니다. 패치가 적용된 시스템도 유효한 자격증명과 관리도구를 통한 확산에 노출될 수 있었습니다.
대응과 수습
피해기업은 네트워크를 분리하고 대규모 재설치와 백업 복구를 수행했습니다. 미국·영국 등 정부는 러시아 군 정보기관의 활동으로 attribution했습니다. 보험금 지급을 둘러싼 전쟁면책 조항 소송도 발생해 사이버보험 계약 문구에 영향을 주었습니다.
남긴 교훈
공급망 업데이트는 서명 검증과 별도로 빌드·배포 환경의 무결성을 감시해야 합니다. 관리자 자격증명은 계층별로 분리하고 한 지사의 감염이 글로벌 도메인으로 확산되지 않도록 경계를 설계합니다. 파괴형 공격을 전제로 오프라인·불변 백업과 전체 재구축 계획을 준비합니다.
사실 확인 시 주의점
Petya, GoldenEye, ExPetr 등 여러 이름이 사용됩니다. 초기 화면이 랜섬웨어처럼 보였다는 사실과 실제 금전 목적을 구분해야 합니다. 기업별 손실 추정과 전체 글로벌 손실은 계산 기준이 다릅니다.