이서진 
작성 · 검수 이서진 · 최종 검토 2026년 10월 27일
3줄 요약
- 2025년 6~12월 Notepad++ 호스팅이 뚫려 일부 사용자의 업데이트가 악성 설치 파일로 바뀌었다. 프로그램 코드가 아니라 '업데이트 경로'가 당한 사고다.
- 8.8.9부터 설치 파일의 인증서·서명을 검증하고, 2026년 2월 8.9.2 이상부터는 서명된 업데이트 정보까지 확인한다. 구버전이면 공식 사이트에서 직접 받아 덮어 설치하면 된다.
- %AppData%\Bluetooth 폴더, Temp의 update.exe·AutoUpdater.exe 여부를 보면 1차 점검이 끝난다. 흔적이 있으면 네트워크를 끊고 비밀번호부터 바꾼다.
개발자도 아닌데 Notepad++를 깔아 둔 분이 꽤 많습니다. 메모장 한글 깨짐 때문에, 로그 파일을 열려고, 혹은 그냥 누가 좋다고 해서요. 그런데 이 프로그램의 ‘자동 업데이트’ 버튼이 한동안 함정이었다는 사실, 알고 계셨나요? 코드가 해킹된 게 아니라 업데이트가 오가는 길목이 털린 사건입니다. 무슨 일이었고, 내 PC는 괜찮은지, 어디서 어떻게 다시 받아야 하는지 순서대로 정리합니다.
가볍고 빠른 텍스트·코드 편집기. 탭, 찾아 바꾸기, 인코딩 변환을 지원한다.
※ 다운로드·홈페이지 버튼은 제작사 공식 배포처로 연결됩니다. 설치 시 번들 프로그램 동의 여부를 확인하세요.
무슨 일이 있었나 — 프로그램이 아니라 ‘배달 트럭’이 털렸다
공개된 분석을 종합하면 이렇습니다. 국가 지원 해커 조직(중국 연계로 알려진 Lotus Blossom 등으로 보도)이 2025년 6월경부터 12월까지 Notepad++ 웹사이트 호스팅 인프라에 접근했고, 업데이트 도구(WinGUp)의 요청 일부를 가짜 서버로 돌려 악성 설치 파일을 내려보냈습니다. 모든 사용자가 아니라 ‘선별된 표적’이었고, 보안 업체들이 확인한 피해 PC도 십여 대 수준이라고 보도됐습니다. 개발자는 편집기 코드 자체는 오염되지 않았다고 밝혔습니다.
근본 원인은 8.8.9 이전 버전의 업데이터가 받은 파일의 인증서와 서명을 확인하지 않았다는 점입니다. 택배 기사는 상자만 들고 오면 되는 줄 알고 발신인 확인을 안 한 셈이죠. 이 취약점은 CVE-2025-15556으로 분류됐고, 미국 CISA의 악용 확인 취약점 목록에도 올랐습니다.
내 버전부터 확인하기
- Notepad++ 실행 → 상단 메뉴 ? → Notepad++ 정보에서 버전 번호 확인
- 8.8.9 미만: 사고 당시 취약했던 구간. 아래 점검을 꼭 해보세요.
- 8.8.9 이상: 업데이터가 설치 파일의 인증서·서명을 검증합니다.
- 8.9.2 이상(2026년 2월 공개): 업데이트 정보(XML)에도 서명을 걸어 검증을 강제합니다. 개발자가 ‘이중 잠금’이라 부르는 구조인데, 이는 개발자 측 설명이라는 점은 알아 두세요.
공식 경로로 다운로드·재설치하는 법
업데이트 버튼은 잠시 접어 두고, 사람이 직접 주소창에 입력해서 받는 방식이 가장 확실합니다. 검색 광고로 뜬 ‘가짜 Notepad++ 사이트’가 과거에도 보고된 적이 있어서, 검색 결과 상단 링크는 누르지 않는 게 좋습니다.
- 주소창에 notepad-plus-plus.org/downloads를 직접 입력해 들어갑니다.
- 최신 릴리스를 열고 Installer (64-bit x64)를 받습니다. 구형 32비트 PC가 아니라면 대부분 이쪽입니다.
- 실행하면 기존 설정은 그대로 둔 채 덮어 설치됩니다. 지우고 다시 깔 필요는 없습니다.
- 설치 후 ? → Notepad++ 정보에서 8.9.2 이상인지 확인하세요.
- 명령어가 편하면 winget install Notepad++.Notepad++도 방법입니다(윈도우 패키지 관리자 경로).
설치 방법과 한글 깨짐 해결 같은 기본 사용법은 Notepad++ 설치·사용법 글에 따로 정리해 두었습니다.
감염 흔적 1차 점검 — 5분이면 됩니다
보안 업체들이 공개한 지표 중 일반 사용자가 눈으로 확인할 수 있는 것만 추렸습니다.
| 확인 위치 | 의심 신호 |
|---|---|
| 탐색기 주소창에 %AppData% 입력 | 숨김 폴더 Bluetooth가 있고 BluetoothService.exe, log.dll 등이 들어 있음 |
| %Temp% 폴더 | update.exe 또는 AutoUpdater.exe가 남아 있음 |
| 백신 전체 검사 | 백도어·의심 DLL 탐지 기록 |
폴더 옵션에서 ‘숨김 항목’을 켜야 보입니다. 다만 Temp의 update.exe는 다른 정상 프로그램도 쓸 수 있어서, 이것 하나만으로 감염이라 단정하면 안 됩니다. 반대로 아무것도 안 보여도 100% 안전 보증은 아니니, 사고 시기(2025년 6~12월)에 구버전으로 자동 업데이트를 돌린 기억이 있다면 백신 정밀검사까지 하는 편이 마음 편합니다.
Bluetooth 폴더나 의심 파일을 찾았다면 지우기 전에 네트워크부터 끊으세요. 그 PC에서 쓴 계정 비밀번호는 다른 기기에서 바꾸고, 업무용 PC라면 보안 담당자에게 알리는 게 먼저입니다. 파일만 지운다고 끝나지 않을 수 있어서, 심하면 윈도우 초기화가 답입니다.
앞으로 쓰는 요령 — 이번 사건에서 건질 교훈
- 자동 업데이트 신뢰는 ‘버전’으로 판단합니다. 8.9.2 이상이면 구조상 같은 수법이 막혀 있다는 게 개발자 설명입니다.
- 가볍게 쓰는 용도라면 윈도우 기본 메모장도 요즘은 탭과 찾기를 지원합니다. 대용량 로그나 인코딩 변환이 필요 없다면 굳이 외부 프로그램이 필요 없습니다.
- 대안으로 VS Code나 Sublime Text가 있지만, 둘 다 공식 사이트에서만 받아야 한다는 원칙은 같습니다.
자주 묻는 질문
Q. Notepad++ 지금 써도 되나요?
A. 8.9.2 이상을 공식 사이트에서 받았다면 문제 삼을 이유가 크지 않습니다. 사고의 본질이 편집기 코드가 아니라 업데이트 경로였기 때문입니다.
Q. 플러그인도 위험한가요?
A. 이번 사고에서 플러그인이 직접 지목된 것은 아닙니다. 다만 출처 불명 플러그인은 늘 따로 조심해야 합니다.
Q. 기업 PC인데 어떻게 하죠?
A. 설치 버전을 일괄 조회해 8.8.9 미만을 우선 교체하고, 사고 기간 접속 로그를 보안팀에 확인하세요.
참고
- Notepad++ 공식 다운로드
- Notepad++ 공식 사고 공지
- Help Net Security — 공급망 침해 분석(2026.2)
- Kaspersky Securelist — 실행 체인과 IoC
※ 사고 시기와 패치 버전은 보도마다 일부 다르게 표기돼 있습니다(8.8.9·8.9.1·8.9.2). 설치 전 공식 사이트 공지로 최종 확인하세요.
이 글이 도움이 되었나요?