[작성자:] l0cknsec

중국 해킹 수정 발표가 단 3일 만에 뒤집혔다. 미국 법무부가 8월 둘째 주 발표에서 사용한 ‘피해자(victims)’라는 단어를 ‘대상(targeted)’으로 정정한 것이다. 표적으로 지목된 곳은 NASA, 연방준비제도(Fed), 에너지부, 법무부, 재무부, 상무부, 국무부 등 7개 연방기관. 한 형용사만 바뀐 발표지만, 그 뒤에는 미국과 중국 사이의 사이버 갈등을 어떤 단어로 ‘프레임’할 것인가에 대한 외교적 계산이 그대로 드러난다.

필자가 이 사건에서 가장 의미 있다고 보는 지점은, DoJ가 ‘유출이 확인되지 않았다’는 사실을 공식 석상에서 먼저 인정했다는 점이다. 지난주 법무부가 이메일을 통해 배포한 초기 성명에는 “seven federal agencies were among the victims”라는 문장이 포함돼 있었다. 하지만 금요일 후속 정정에서 DoJ는 같은 문장을 “were among the targeted organizations”로 교체했다. 바뀐 것은 형용사 하나지만, 사이버 보안 사건에서 ‘표적’과 ‘피해자’는 법적·보험적·외교적으로 전혀 다른 무게를 갖는다.

중국 해킹 수정의 핵심 — 왜 ‘피해자’가 아니라 ‘대상’이 맞는 표현인가

DoJ의 정정 성명은 단순한 문장 수정이 아니다. 핵심 이유는 분명하다. 침해된 Microsoft Office 365 사서함은 법무부 Office of Public Affairs 직원의 것이었고, 기밀을 포함한 비공개 정보가 DoJ 시스템에서 유출되었다는 증거는 확인되지 않았다. 즉, 침해 시도는 있었지만, 데이터 유출이라는 ‘피해’의 실체는 입증되지 않은 것이다. DoJ는 “the accuracy of our terminology is essential”이라는 표현으로 용어의 정확성이 국가 주도 사이버 침해를 공개할 때 필수적이라고 못박았다.

이 구분이 실무적으로 왜 중요한지 짚어야 한다. 미국 연방정보보호책임자법(FISMA)이나 행정명령 14028 같은 규제 체계에서 ‘피해 기관’으로 분류되면, 사건 보고 의무, congressional notification, CISA의 사고 대응 프로토콜이 자동 가동된다. 반대로 ‘대상’으로 분류되면 침해 시도는 인정하되 유출 사실은 별도 입증이 필요하다. DoJ는 이 차이를 명확히 해 둔 것이다.

‘대상’과 ‘피해자’ 사이 — 미·중 사이버 갈등의 언어 전쟁

여기서 한 발 더 들어가 보자. DoJ가 단어를 바꾼 시점이 중국 외교부가 미국 측 발표를 “근거 없는 비난”으로 규탄한 직후라는 점은 우연이 아니다. 2024년 Volt Typhoon 사건 때도 미국이 “중국 정부 연계”라고 표현하자 중국은 “미국이 자국 해커의 위치를 의도적으로 오인시키고 있다”고 맞받았다. 사이버 공간에서 단어 선택은 곧 책임 귀속의 선언이다.

실무자 입장에서 눈에 띄는 건, DoJ가 여전히 “사건을 수사 중이며 추가 업데이트를 제공할 방침”이라고 못박았다는 점이다. 즉, 이번 중국 해킹 수정 발표는 책임 소재를 없앤 것이 아니라, “지금 이 시점에 입증 가능한 사실의 범위”를 재설정한 것에 가깝다. 후속 조사에서 실제 유출이 확인되면 그때 다시 ‘피해자’ 표현이 돌아올 가능성도 남아 있다.

Exchange Online 사용 기관이 즉시 점검해야 할 5가지

이번 중국 해킹 수정 사건은 정부 기관만의 문제가 아니다. Microsoft Office 365 / Exchange Online을 쓰는 민간 기업도 동일한 침투 경로에 노출돼 있다. 지난주 FBI와 CISA가 공개한 공동 권고에 따르면, 중국 연계 위협 행위는 OAuth 토큰 탈취, 피싱, 자격증명 탈취를 주된 초기 침투 수단으로 사용했다. 이 흐름은 The Hacker News의 1차 보도에서도 동일하게 확인된다.

특히 OAuth 애플리케이션 동의 흐름은 사용자가 인지하지 못한 채 백엔드 권한을 부여하기 때문에, 일반적인 사서함 감사 로그만으로는 탐지가 어렵다. 마이크로소프트가 자체 하드닝 가이드에서 강조하는 첫 번째 항목도 “Review OAuth application permissions”다. 공급망 우회 공격이 일상화된 지금, 드론 공급망 디커플링 5가지 진실에서 다룬 우회 경로 문제와 마찬가지로 클라우드 권한 관리도 별도의 리스크 축으로 다뤄야 한다.

중국 해킹 수정 이후, 그 다음을 어떻게 볼 것인가

이번 중국 해킹 수정 사건의 진짜 무게는 단어 하나가 아니라, 미국 정부가 국가지원 사이버 사건을 어떤 ‘공식 어휘’로 정의하느냐에 있다. DoJ가 “사건은 진행 중”이라고 선을 그은 것은 책임을 회피한 것이 아니라 “지금까지 입증된 것만 말한다”는 원칙을 지킨 것이다. 다만 그 원칙이 적용되는 동안, 7개 연방기관의 사서함은 중국 연계 행위자의 손에 닿아 있었다는 사실 자체는 변하지 않는다.

DoJ의 중국 해킹 수정 발표가 외교적 균형의 산물인지, 수사 진전의 결과인지에 대해서는 아직 판단이 이르다. 다만 한 가지는 분명하다. Microsoft 365 환경의 감사 로그, OAuth 권한, MFA 정책은 이 사건이 있든 없든 격주 단위로 점검해야 할 대상이라는 점이다. 사이버 보안에서 ‘대상’이든 ‘피해자’이든, 사후 대응의 무게는 결국 로그를 얼마나 꼼꼼히 보고 있었는지에 달려 있다.