대기업, 병원, 통신업체까지 줄줄이 감염, 랜섬웨어 '워너크라이'확산에 세계 혼란

파이낸셜뉴스입력 2017.05.14 11:18수정 2017.05.14 11:34

랜섬웨어 워너크라이에 감염된 후 뜨는 팝업창. 이 창은 "당신의 중요한 파일들이 암호화 됐으니 돈을 내면 안전하게 복구시켜준다"는 친절한(?) 안내문을 담고 있다. 인질극과 마찬가지로 특정시간까지 돈을 내지 않으면 파일이 사라질 것이라는 카운트다운 숫자가 화면 좌측에 표시돼 있다. 일정 시간내에 돈을 내지 않으면 랜섬(몸값)이 올라간다. 해커들은 추적이 불가능한 비트코인 지갑을 돈받는 수단으로 이용한다.

지난 12일(현지시간) 유럽, 러시아, 인도네시아등 100개국 이상이 랜섬웨어 '워너크라이(WannaCry)'에 감염돼 전세계를 당혹케 하고 있다. 랜섬웨어는 감염되면 PC의 하드디스크를 못쓰게 만들어버린 후 해커에게 돈(몸값)을 입금하면 정상으로 되돌려주는 악성 바이러스다. 돈을 입금해도 감염된 하드디스크가 복구될지 여부도 알수 없다.

■영국 NHS, 프랑스 르노, 주요 병원 등 업무 일시마비
파이낸셜타임스(FT)와 BBC 등 주요 외신에 따르면 이날 100여개국 이상, 10만개 이상의 PC가 감염돼 유럽과 아시아 주요 대기업과 병원, 대학등의 네트워크가 마비되는 현상이 발생됐다. 보안업체 어베스트에 따르면 현재까지 집계된 피해만 99개국 이상, 7만5000건이 넘는다. 추가 피해사례가 늘고 있어 피해 규모가 더 커질 가능성이 높다.

FT에 따르면 러시아와 영국, 우크라이나, 대만 등이 주로 공격을 받았다.

영국에선 우리나라의 건강보험공단에 해당하는 국민보건서비스(NHS) 산하 40여 개 병원이 환자 데이터가 담긴 파일을 열지 못해 진료에 차질이 빚어지고 예약을 취소하는 사태가 발생했다. 열지 못하는 등 진료에 차질을 빚거나 예약을 취소했다. 러시아 이동통신업체들도 심각한 차질이 빚어졌다. 이동통신업체 메가폰측은 자사 컴퓨터들도 상당수가 이번 공격으로 작동을 멈췄으며 콜센터 기능은 가까스로 복구했으나 대부분 사무실은 문을 닫아야 했다고 밝혔다.

중국에선 일부 중학교와 대학교가 공격을 받았고, 국내에서도 서울의 한 대학병원에서 유사 감염징후가 나타나기도 했다.

미국 운송업체 페덱스는 자사 컴퓨터의 윈도 운영체제에 악성 소프트웨어 감염으로 인한 문제가 발생했다면서 최대한 신속하게 복구하려 노력 중이라고 발표했다.

프랑스 자동차 제조업체 르노 대변인도 "이번 공격으로 영향을 받았다"면서 "지난밤부터 공격에 대응하는 등 관련 작업을 진행하고 있다"고 밝혔다.

■워너크립트 변종, 미국 NSC 해킹 프로그램 발단설
업계에 따르면 이번 감염프로그램은 기존에 알려진 랜섬웨어 워너크라이의 변종인 것으로 알려졌다. 워너크라이는 마이크로소프트(MS) 운영체제의 취약점을 파고드는 일종의 웜바이러스로 첨부 파일을 열지 않더라도 인터넷에 연결만 돼 있다면 감염되는 방식으로 급속히 퍼진다. 보안업체 시만텍에 따르면 워너크라이는 파일을 암호화한 후 사용자에게 300달러의 몸값을 비트코인으로 지불하도록 요구한다. 3일 내에 돈을 내지 않으면 몸값은 두배로 늘어나며 7일이 지나면 암호화된 파일이 삭제돼버린다.

FT는 지난해 미국 국가안보국(NSA)이 개발한 해킹 툴을 훔쳤다고 주장한 해커단체 '섀도 브로커스'(Shadow Brokers)의 소행으로 보고 있다.

NSA의 전방위 도청·사찰 의혹을 폭로했던 에드워드 스노든은 트위터를 통해 "NSA 당국에 이 툴의 위험성을 경고했는데도 당국이 이를 등한시했다"면서 "오늘날 우리는 대가를 치르고 있다"고 지적했다.

미국 국가안보국은 성명을 통해 컴퓨터 운영체제를 업데이트하라고 촉구하는 한편 "관련 정보를 적극 공유하고 있으며, 국내외 파트너들에게 필요한 기술 지원과 도움을 제공할 준비가 돼 있다"고 밝혔다.

■확산 막은 화이트해커, "아직 안끝나" 경고
한편 이번 랜섬웨어는 22세 영국 청년이 우연한 기지를 발휘해 추가 확산을 막은 것으로 알려졌다.

13일(현지시간) 영국 가디언, BBC 방송 등에 따르면 크립토스 로그라는 온라인 보안 회사에 근무하는 22세 영국 청년이 '워너크라이'(WannaCry) 랜섬웨어 확산을 중단시키는 '킬 스위치' 발견해 이를 활성화했다고 보도했다.

당시 휴가중이었던 이 청년은 랜섬웨어 확산 뉴스를 보고 랜섬웨어 샘플 소스를 얻어 분석에 들어갔다. 이 랜섬위어가 현재 등록되지 않은 특정 도메인에 연결돼 있다는 사실을 알게 되고 즉각 이를 10.69달러(약 10만2000원)에 구입했다. 단지 도메인을 구입하는 것만으로 랜섬웨어의 확산이 멈췄다.

익명을 요구한 이 청년은 "이날 오후 3시에 친구와 점심을 먹다가 뉴스를 접하고 나서 이를 분석하기 위해 랜섬웨어 소스에 연결된 도메인을 즉각 사들였다"면서 "당시엔 그 행위가 어떤 영향을 미칠지 몰랐지만 해당 도메인에 숨겨진 킬스위치(가동 중단 스위치)는 도메인이 주인을 찾을 경우 멈추도록 돼있었다"고 설명했다.

등록된 도메인이 랜섬웨어 확산을 중단하는 킬 스위치로 작동해 워너크라이 랜섬웨어 확산을 중단시킨 것이다.

비록 이미 감염된 컴퓨터에 대해서는 손을 쓸 수 없었으나 추가 확산은 막을 수 있었다.

가이던 등 주요 언론들은 그를 '우연한 영웅'(an accidental hero)라고 불렀다.

월스트리트저널(WSJ)은 '사이버범죄 배트맨'이라고 표현하기도 했다.

이 청년은 가디언과의 인터뷰에서 "아직 상황이 종료되지 않았다"고 경고했다.

그는 "공격집단이 우리가 어떻게 확산을 멈췄는지 알아차리고 코드를 바꿔 다시 시작할 것"이라며 "윈도 업데이트를 가능하게 한 뒤 업데이트와 재부팅을 하라"고 조언했다.

ksh@fnnews.com 김성환 기자