노트패드++ 역사: 신념의 개발자 Don Ho와 2025년 보안 사고

노트패드++, 한 번쯤 들어보셨죠? 2025년 중반부터 이 프로그램을 업데이트했다가 해킹을 당했을 수 있다는 충격적인 소식이 전해졌습니다. 근데 이 이야기를 제대로 이해하려면, 한 프랑스 개발자의 20년 신념 이야기부터 시작해야 합니다.

 

노트패드++, 팀장에게 거절당한 퇴근 후 프로젝트

노트패드++를 만든 사람은 프랑스 파리에 사는 개발자 Don Ho입니다. 회사에서 쓰던 텍스트 에디터 Jext가 너무 느리고 버벅거려서 못 쓰겠다 싶었던 그는 팀장에게 제안했습니다. "C++로 직접 메모장을 만들어볼게요." 팀장의 대답은 짧았습니다. "야, 취미 생활하러 왔어?"

 

결국 Don Ho는 퇴근 후 집에서 혼자 뚝딱뚝딱 개발을 이어갔고, 2003년 11월 25일 SourceForge에 오픈소스 프로그램으로 무료 공개했습니다. 당시는 개발자들이 자기가 만든 코드를 무료로 공개하는 게 멋있던 시절이었거든요. 배고픈 예술가처럼요.

 

초반엔 조용했지만, Don Ho가 커뮤니티에서 "Notepad++ awesome!"이라고 홍보하며 입소문을 냈습니다. 실제로 쓰다 보니 Jext보다 훨씬 빠르고 가벼웠고, 플러그인으로 기능도 자유롭게 확장됐습니다. 개발자들은 그런 경험을 공유했고, 지금도 많은 개발자가 첫 번째 에디터로 꼽고 있습니다.

 

코드 한 줄로 세상에 메시지를, Don Ho의 정치 에디션들

Don Ho는 소프트웨어를 정치적 신념을 표현하는 수단으로 쓰는 개발자입니다. 2008년, 베이징 올림픽을 앞두고 티베트 탄압에 항의하는 '베이징 올림픽 보이콧' 배너를 공식 사이트 대문에 걸었습니다. 중국은 즉각 SourceForge를 차단했고, 접속이 안 된 중국 개발자들의 분노는 중국 정부가 아닌 노트패드++를 향했습니다. "네가 왜 거기다 그런 글을 써서 내 일을 못하게 만드냐"는 거죠.

 

2010년엔 미국을 향해서도 일침을 놨습니다. 미국이 쿠바, 이란, 북한, 수단, 시리아 5개국의 SourceForge 접근을 차단하자 "이건 중국과 다를 게 없다"며 비판했고, 프랑스 서버에서도 노트패드++를 배포하기 시작했습니다.

 

이후 버전마다 정치적 에디션을 붙였습니다. 2012년 환경 에디션, 2014년 천안문 에디션(다음날 DDoS 공격), 2019년 Free Uyghur, 2020년 Stand with Hong Kong, 2022년 Boycott Beijing, 2024년 대만 주권 지지까지. 계속된 항의가 이 프로그램에 대한 적대감을 만들었습니다.

 

이렇게 놓고 보면 노트패드++는 꽤 오래전부터 특정 세력의 눈에 가시였던 프로그램입니다. 그 갈등은 2025년, 생각보다 훨씬 심각한 형태로 터지고 맙니다.

 

2025년, 업데이트했다가 해킹당했다고? 보안 사고 전말

이번 사고는 노트패드++ 코드 자체가 뚫린 게 아닙니다. 문제는 업데이트를 담당하는 인프라, 즉 호스팅 서버였습니다. 2025년 6월부터 공격자들이 서버에 침투해 WinGUp 업데이터를 노렸습니다. 당시 이 업데이터에는 파일 서명을 검증하는 기능이 없었고, 공격자들은 정상 업데이트 트래픽을 가로채 악성 업데이트를 끼워 넣었습니다.

 

배포된 악성코드는 Chrysalis 백도어로, 원격 제어와 정보 탈취 기능을 가진 정교한 도구였습니다. Rapid7은 Lotus Blossom(중국 연계 APT 그룹)으로 판단했지만, 완전히 확실하지는 않습니다.

 

피해는 동남아시아와 유럽의 정부, 통신, 금융 기관을 겨냥한 타깃형 공격이었고, 일반 개인은 대부분 영향을 받지 않았습니다. 서버 접근은 9월 2일 차단되고 12월 2일 완전히 만료되었으며, Notepad++ 공식은 "상황이 해결됐다"고 발표했습니다.

 

그래서 지금 내 컴퓨터는 안전한가요?

지금 당장 최신 버전으로 업데이트하면 됩니다. 업데이트를 하지 말라는 얘기가 아닙니다. 취약했던 건 v8.8.8 이전 버전입니다. v8.8.9부터 WinGUp에 서명 검증 기능이 추가됐고, v8.9.1 이상으로 업데이트하면 이번 보안 패치가 적용됩니다.

 

타깃형 공격이었지만, 공격자들은 C2 서버를 매달 교체하며 정교하게 작동했습니다. v8.9.1 미만이라면 지금 바로 업데이트하세요.

체크포인트
현재 버전 확인: 노트패드++ 상단 메뉴 → 도움말 → 정보
권장 버전: v8.9.1 이상

 

마무리: 신념이 담긴 소프트웨어

Don Ho가 처음 노트패드++를 만든 건 그저 느린 프로그램이 너무 답답해서였습니다. 퇴근 후 집에서 혼자 만든 개인 프로젝트가 20년이 넘도록 전 세계 개발자들의 필수 오픈소스 도구가 됐고, 그 과정에서 DDoS 공격도 받고 사이트가 통째로 차단되기도 했지만 그는 에디션 이름에서 신념을 빼지 않았습니다.

 

2025년 사건을 보면, 단순 해킹이 아닌 Don Ho의 신념이 만들어온 수십 년의 갈등이 배경에 있을 수 있습니다. 여러분이 매일 쓰는 도구에도 이런 스토리가 숨어 있을지 모릅니다.