낫페트야 사이버공격, 머스크·머크 강타한 사상 최악의 피해

2017년 6월 27일 낫페트야로 명명된 악성코드가 우크라이나에서 널리 쓰이던 회계 소프트웨어 'M.E.Doc'의 자동 업데이트 서버를 통해 최초로 유포됐다. 공격자는 정상적인 소프트웨어 업데이트 경로를 오염시켜 악성코드를 심는 이른바 공급망 공격 수법을 사용했다. 낫페트야는 유포 직후 몇 시간 만에 우크라이나 정부 기관, 은행, 전력회사 등 주요 기반시설 네트워크로 빠르게 확산됐다. 이 악성코드는 외형상 랜섬웨어처럼 몸값을 요구하는 화면을 띄웠지만 실제로는 복호화가 불가능하도록 설계된 데이터 파괴형 '와이퍼' 성격이 짙다는 분석이 이후 제기됐다. 이날의 초기 감염은 이후 전 세계로 번지는 대규모 사이버공격의 출발점이 됐다.

낫페트야는 우크라이나 국경을 넘어 불과 하루이틀 사이 러시아, 미국, 영국, 독일, 프랑스 등 여러 국가의 기업과 기관으로 확산됐다. 우크라이나에 현지 법인이나 협력사를 둔 다국적 기업들이 특히 큰 타격을 입었는데, 이는 감염된 회계 소프트웨어가 국경을 넘어 사용되는 기업 네트워크와 연결돼 있었기 때문이다. 러시아 국영 석유기업 로스네프트를 비롯해 다수의 글로벌 대기업이 시스템 마비를 겪었다는 보도가 잇따랐다. 확산 속도와 파급력이 예상을 뛰어넘으면서 각국 사이버보안 당국은 6월 28~29일경 잇달아 경보를 발령했다. 이 사건은 특정 지역을 겨냥한 공격이 얼마나 빠르게 글로벌 공급망 전체로 번질 수 있는지를 보여준 사례로 남았다.

세계 최대 해운사 중 하나인 머스크는 우크라이나 내 사업장을 통해 낫페트야에 감염되며 전 세계 물류 운영에 직격탄을 맞았다. 이 공격으로 전 세계 17개 컨테이너 터미널의 운영이 영향을 받았고 76개 항만에서 하역 작업이 전면 중단되는 초유의 사태가 벌어졌다. 머스크의 선박용 컨테이너 예약·통관 시스템이 마비되면서 항구마다 수천 개의 컨테이너가 오도 가도 못한 채 쌓이는 혼란이 빚어졌다. 회사는 긴급 복구를 위해 수동 운영 체제로 전환해야 했으며 일부 지역에서는 도착한 화물의 소유주조차 파악하기 어려운 상황이 발생했다. 이 사건은 한 기업의 IT 시스템 마비가 글로벌 물류망 전체에 미치는 파급력을 실감케 한 대표 사례로 꼽힌다.

머스크는 낫페트야 피해 복구를 위해 서버 4000대와 PC 4만5000대, 애플리케이션 2500개를 처음부터 다시 설치하는 대규모 복구 작업을 벌였다. 이 작업은 약 10일에 걸쳐 진행됐으며, 일부 도메인 컨트롤러가 정전으로 오프라인 상태였던 가나 지사에 우연히 남아 있어 복구의 실마리가 됐다는 후일담도 알려졌다. 머스크는 2017년 8월 이 사건으로 인한 손실이 최대 3억 달러에 이를 수 있다고 공식 밝혔다. 회사 경영진은 이번 사태를 계기로 IT 인프라 이중화와 백업 체계를 전면 재정비했다고 밝혔다. 이 복구 사례는 이후 기업 재해복구(DR) 전략을 다루는 업계 세미나에서 자주 인용되는 교과서적 사례가 됐다.

글로벌 제약사 머크(MSD) 역시 낫페트야 공격으로 심각한 타격을 입어, 공격 발생 한 달이 지난 뒤에도 면역항암제 키트루다, 당뇨병 치료제 자누비아, C형간염 치료제 제파티어 등 일부 핵심 의약품의 벌크 생산 라인을 정상 가동하지 못했다. 회사의 생산관리·물류 시스템이 광범위하게 감염되면서 제조 공정 전반에 차질이 빚어졌기 때문이다. 머크는 이 사건으로 인한 피해액을 머스크와 비슷한 수준인 약 2억5000만~3억 달러 규모로 추산했다. 필수 의약품을 생산하는 제약사가 사이버공격으로 생산에 차질을 빚은 이 사례는 사이버공격이 공중보건에까지 위협이 될 수 있음을 보여줬다. 이후 제약업계에서도 산업 제어 시스템에 대한 보안 투자가 크게 확대됐다.

미국 백악관은 2018년 2월 낫페트야 공격의 배후로 러시아 군을 공식 지목하며 이를 우크라이나를 겨냥한 국가 배후 사이버전으로 규정했다. 성명에서는 낫페트야가 겉으로는 랜섬웨어처럼 보였지만 실제로는 우크라이나에 대한 파괴적 공격으로 기획됐으며, 그 여파가 의도치 않게 전 세계로 번졌다고 설명했다. 영국을 비롯한 다른 서방국들도 잇따라 같은 내용의 귀책 성명을 발표하며 국제 공조를 보였다. 낫페트야로 인한 전 세계 누적 피해액은 100억 달러를 넘는 것으로 추산되며 이는 당시까지 단일 사이버공격으로는 역대 최대 규모로 꼽혔다. 이 발표는 이후 사이버공격을 '전쟁 행위'로 규정할 수 있는지를 둘러싼 국제법·보험업계 논쟁에 불을 지폈다.

오레오·리츠 등을 생산하는 식품기업 몬델리즈는 낫페트야 공격으로 서버 1700대와 노트북 2만4000대를 잃는 피해를 입은 뒤, 보험사 취리히 아메리칸을 상대로 1억 달러가 넘는 손해배상 소송을 제기했다. 취리히 측은 낫페트야가 러시아 정부 배후의 '적대적 행위 또는 전쟁 행위'에 해당한다는 전통적인 '전쟁 행위 면책 조항'을 근거로 보험금 지급을 거부했다. 이 소송은 국가 배후 사이버공격에 전통적인 전쟁 면책 조항을 적용할 수 있는지를 가리는 시험 소송으로 업계의 큰 주목을 받았다. 재판 결과에 따라 전 세계 사이버보험 시장의 약관 설계 전체가 영향을 받을 수 있다는 분석이 나왔다. 양측은 일리노이주 법원에서 수년에 걸친 공방을 벌이게 된다.

몬델리즈와 취리히 아메리칸 보험사는 2022년 10월 27일, 2주간 예정됐던 재판이 종료되기 직전 전격 합의에 이르렀다고 발표했다. 합의 세부 내용은 공개되지 않았지만, 업계에서는 몬델리즈가 청구한 1억 달러대 보험금 상당액을 받아낸 것으로 추정했다. 이번 합의로 국가 배후 사이버공격에 전쟁 면책 조항을 적용할 수 있는지에 대한 명확한 법적 선례는 남기지 못했다는 평가가 나왔다. 이후 보험업계는 이 사건을 계기로 사이버보험 약관에 국가 배후 공격을 명시적으로 규정하는 별도 조항을 도입하기 시작했다. 낫페트야 사건은 이렇게 5년 넘게 이어진 법정 공방 끝에 사이버보험 시장의 관행을 바꾸는 결과를 낳으며 마무리됐다.