[단독] '코로나 연구' 털고 美 기관 1만2700곳 뚫은 中 해커, 美 법정에...

-이탈리아서 송환된 쉬 저웨이… 상해 국가안전국 지령으로 면역학자 메일함 탈취

-‘HAFNIUM’ 캠페인 핵심 인물… 위장 IT기업 앞세운 中 사이버 공작 실체 드러나

미국 텍사스 남부지구 연방법원(휴스턴 지부)에 제출된 쉬 저웨이·장위 사건 기소장 첫 페이지. 사건번호 ‘4:23-cr-00523’로 접수된 해당 문서는 ‘봉인(Sealed)’ 상태로 분류돼 일반인 및 비인가 접근이 법원 명령으로 제한된 것으로 나타난다. 상단에는 접수일(2023년 11월 2일)과 법원 서기 표기가 명시돼 있다. [단독=미 법무부 법원 문서]

신종 코로나 백신과 치료제 연구 자료를 빼내고 전 세계 1만2700여 미국 기관의 전산망을 침투한 중국 해커 조직 ‘HAFNIUM(하프늄)’의 핵심 인물이 처음으로 미국 법정에 섰다.

미 법무부는 28일(현지 시각) 중국 국적 쉬 저웨이(34)가 이탈리아에서 송환돼 텍사스 남부지구 휴스턴 연방법원에 출두했다고 밝혔다. 쉬는 지난 25일 미국으로 인도됐으며, 30일 리처드 베넷 치안판사 앞에서 구금 심리를 받을 예정이다. 함께 기소된 공범 장위(44)는 현재 도주 중이다.

기소장에 따르면 쉬는 2020년 2월부터 2021년 6월까지 중국 국가안전부(MSS) 산하 상하이 국가안전국(SSSB) 요원들의 지시를 받아 미국 내 대학과 로펌 전산망을 잇달아 해킹했다. 겉으로는 상하이 소재 민간 IT기업 ‘파워옥 네트워크(Powerock)’의 일반 매니저였지만, 실제로는 정부 개입 흔적을 감추기 위해 운영된 위장기업 소속 청부 해커였다는 것이 미 검찰의 판단이다.

첫 표적은 휴스턴 인근 연구중심 대학이었다. 코로나 확산 초기였던 2020년 2월 17일, 쉬와 장은 이미 알려진 취약점 ‘CVE-2019-11510’을 이용해 이 대학 VPN 침투를 시도했고, 이틀 만에 접속에 성공했다. 이후 SSSB 요원에게 “VPN을 장악했다”고 보고했고, 곧바로 “코로나 연구를 진행 중인 바이러스학자와 면역학자 5명의 이메일을 확보하라”는 지령을 받았다. 며칠 사이 수 기가바이트에 달하는 연구 자료가 외부로 유출됐다. 노스캐롤라이나주의 또 다른 대학과 워싱턴 D.C. 소재 글로벌 로펌도 연이어 공격 대상이 됐다.

특히 로펌 해킹에서는 목적이 더욱 분명하게 드러났다. 변호사 이메일을 뒤지며 ‘Chinese sources(중국 출처)’ ‘MSS’ ‘홍콩’ 등의 키워드를 집중 검색해 미국 정책결정자 및 정부 관련 정보를 수집한 정황이 확인됐다. 산업기술 탈취를 넘어 정치·외교 정보 수집까지 동시에 진행된 셈이다.

이 같은 침투는 이후 대규모 사이버 공격 ‘HAFNIUM’으로 확장됐다. Microsoft는 2021년 3월 보고서를 통해 자사 기업용 메일 서버 ‘Exchange Server’의 복수 취약점이 중국 정부 후원 해커들에 의해 동시다발적으로 악용되고 있다고 공개했다. 쉬 일당이 설치한 ‘help.aspx’ ‘iisstart.aspx’ ‘healthcheck.aspx’ 등의 웹셸은 당시 ‘HAFNIUM 행위자’의 전형적 수법으로 지목됐다.

특히 ‘CVE-2021-26855’는 공격 당시 외부에 공개되지 않았던 제로데이 취약점으로, 피해 확산을 키운 핵심 요인이었다. 미국과 유럽연합, 영국, 북대서양조약기구(NATO)는 이를 “무차별적이고 무모하며 무책임한 공격”으로 규정하며 중국 정부를 공식 비판했다.

쉬의 신병 확보에는 이탈리아 사법당국의 협력이 핵심이었다. 그는 지난해 7월 밀라노 공항에서 체포됐고, 이후 미 법무부와 이탈리아 국가경찰 사이버국 간 공조를 통해 송환 절차가 진행됐다. 검찰은 전신사기 공모 및 전신사기, 컴퓨터 손상, 가중 신원도용 등 9개 혐의를 적용했다. 주요 혐의만으로도 최대 수십 년의 징역형이 가능하며, 가중 신원도용은 별도로 2년형이 추가된다.

수사를 맡은 당국은 강경한 입장을 분명히 했다. 존 마크 텍사스 남부지구 검사대행은 “수년에 걸쳐 대륙을 넘나들며 이 순간을 추적해 왔다”며 “미국 과학과 안보의 심장부를 겨냥한 범죄에 대해 반드시 책임을 묻겠다”고 했다. 브렛 레더먼 FBI 사이버 부국장도 “이번 송환은 FBI의 수사 역량이 국경을 넘는다는 점을 보여준다”며 “유사한 활동을 벌이는 다른 해커들도 같은 위험에 직면할 것”이라고 경고했다. 법무부 국가안보담당 존 아이젠버그 차관보는 “미국 기업과 대학을 노리는 사이버 공격에 대해 끝까지 추적하겠다”고 밝혔다.

[뉴스로드] 최지훈 기자 jhchoi@newsroad.co.kr