T-Mobile은 어떻게 네트워크 케이블을 잘라 솔트 타이푼 해커를 쫓아냈나

T-Mobile의 사이버보안 대응은 의외로 원시적인 장면에서 마무리됐습니다. 보안팀이 침해가 의심되는 장비로 연결된 네트워크 케이블을 실제 가위로 잘라낸 것입니다.

T-Mobile은 다른 유선 통신사업자를 거쳐 들어오는 수상한 트래픽을 발견한 뒤 수개월 동안 접속 경로를 추적했습니다. 그리고 2024년 11월, 문제가 된 시스템을 격리했습니다. 134

회사 측 설명과 관련 보도에 따르면, 침입은 T-Mobile 네트워크 전체를 장악한 수준으로 번지지 않았습니다. 공격자들은 고객 데이터에 접근하기 전에 차단됐고, 격리된 장비에 대한 조사는 계속됐습니다. 134

침입 경로는 어떻게 발견됐나

공격자들이 T-Mobile의 핵심 네트워크에 곧바로 침투한 것은 아닌 것으로 보입니다. 분석팀은 다른 유선 통신사업자의 네트워크와 연결된 시스템에서 비정상적인 활동을 포착했습니다. 이후 트래픽이 두 네트워크 사이의 연결을 따라 어디로 이동했는지 추적했고, 결국 침해된 라우터 또는 관련 네트워크 장비로 경로를 좁혔습니다. 89

문제는 이상 징후를 발견하는 것에서 끝나지 않았습니다. 실제로 어떤 장비가 공격에 이용됐는지, 해당 장비를 끊었을 때 공격자의 접근을 완전히 차단할 수 있는지, 그리고 그 조치가 더 큰 운영 장애를 일으키지 않을지를 확인해야 했습니다.

관련 보도에 따르면 침입자들은 T-Mobile의 네트워크 가장자리에서 라우팅을 담당하는 인프라에는 도달했지만, 핵심 네트워크까지는 접근하지 못했습니다. 6

왜 원격 명령 대신 케이블을 잘랐나

침해가 의심되는 장비는 T-Mobile 본사가 있는 워싱턴주 벨뷰 인근 데이터센터에 있었습니다. 당시 최고정보보안책임자(CSO)였던 제프 사이먼과 보안팀 동료 3명은 직접 데이터센터로 이동해 장비를 찾았고, 장비에 연결된 외부 네트워크 케이블을 가위로 끊었습니다. 812

케이블을 자르는 순간 해당 장비가 외부 네트워크와 통신할 경로가 사라졌습니다. 원격 명령이 실패하거나 공격자가 다른 접속 경로를 남겨둘 가능성을 감수하는 대신, 장비를 물리적으로 격리한 뒤 안전한 상태에서 조사할 수 있도록 한 것입니다. 1215

극적인 장면에 시선이 쏠리지만, 핵심은 따로 있습니다. 연결된 장비를 신뢰할 수 없을 때는 원인 분석보다 먼저 확실한 차단이 필요할 수 있다는 점입니다. 이 사례에서 케이블 절단은 의심되는 접근 경로를 즉시 종료하는 가장 분명한 방법이었습니다.

더 큰 사건, ‘솔트 타이푼’ 캠페인

T-Mobile의 침입 시도는 ‘솔트 타이푼(Salt Typhoon)’으로 불리는 광범위한 사이버 첩보 캠페인 속에서 발생했습니다. 미국 당국은 이 활동을 중국 국가안전부와 연계된 세력이 벌인 것으로 보고 있습니다. 이 캠페인은 통신사와 네트워크 인프라를 주요 대상으로 삼았으며, 통신 정보와 합법적 감청 시스템에 연결된 네트워크 접근권을 노린 것으로 설명돼 왔습니다. 7

피해 규모는 한 통신사에 국한되지 않았습니다. 관련 자료들은 전 세계 200곳이 넘는 조직이 영향을 받았다고 전하며, 피해 대상에는 통신사와 인터넷 기업이 포함됐습니다. AT&T와 버라이즌은 자사 시스템이 공격 대상이었다고 인정했지만, 이후 네트워크가 안전하며 더 이상 위협받고 있지 않다고 밝혔습니다. 17

비아샛, 차터 커뮤니케이션스, 윈드스트림도 광범위한 피해 조직 목록에 포함된 것으로 보도됐습니다. 다만 조사기관들이 새로운 피해 조직을 계속 확인하면서 전체 범위는 한동안 더 확대될 수 있다는 지적도 나왔습니다. 72426

이번 사례가 네트워크 보안에 주는 의미

제3자 연결도 공격 경로가 될 수 있다

T-Mobile 사례는 기업 간에 연결된 ‘신뢰 관계’가 보안 취약점으로 바뀔 수 있음을 보여줍니다. 공격자가 가장 강하게 보호된 핵심 시스템을 직접 뚫지 못하더라도, 인접 네트워크나 라우터, 외부 서비스와의 연결을 발판으로 삼을 수 있습니다.

T-Mobile에 연결된 유선사업자의 이름은 공개되지 않았습니다. 하지만 이 사례는 보안 모니터링이 기업 내부 경계에서 멈춰서는 안 되며, 외부 사업자와의 상호 연결 구간까지 이어져야 한다는 점을 분명히 합니다. 610

빠른 발견이 피해 규모를 제한했다

T-Mobile의 가장 큰 방어선은 대응 시점이었던 것으로 보입니다. 조사팀은 광범위한 침해로 번지기 전에 이상 활동을 찾아냈고, 경로를 추적한 뒤 고객 데이터에 접근하기 전에 연결을 끊었습니다.

이는 아무런 위험이 없었다는 뜻은 아닙니다. 다만 공개된 보도에 따르면 공격자가 더 넓은 접근권을 확보하기 전에 침입을 제한했다는 의미입니다. 213

때로는 원격 복구보다 물리적 격리가 확실하다

오늘날의 사고 대응은 보통 계정 폐기, 방화벽 규칙 변경, 엔드포인트 보안 도구, 소프트웨어 패치 등을 활용합니다. 그러나 특정 물리 장비가 의심되고 외부 연결을 안전하게 제거할 수 있다면, 가장 확실한 첫 조치는 장비를 네트워크에서 분리하는 것일 수 있습니다.

T-Mobile의 가위가 화제가 된 이유도 여기에 있습니다. 가위로 케이블을 자른 행위는 되돌리기 어려운 대신, 연결을 먼저 멈추고 조사를 나중에 진행하겠다는 명확한 격리 결정이었습니다.

케이블 절단보다 중요했던 것

솔트 타이푼은 국가 지원을 받는 것으로 의심되는 세력이 통신 인프라를 얼마나 매력적인 첩보 대상으로 보는지 드러냈습니다. 동시에 한 조직의 침해가 공유 시스템과 네트워크 연결을 통해 다른 기업으로 번질 수 있다는 위험도 부각했습니다.

T-Mobile 사례의 교훈은 정교한 공격에 반드시 정교한 마지막 대응이 필요한 것은 아니라는 점입니다. 지속적인 모니터링, 치밀한 경로 추적, 그리고 적절한 장비를 과감하게 격리하는 판단이 의심스러운 연결을 대규모 네트워크 침해로 키우지 않은 핵심 방어선이었습니다. 415

결국 케이블을 자른 것은 마지막 단계였습니다. 더 중요한 방어는 수개월 동안 의심스러운 경로를 추적해 실제로 격리해야 할 장비를 찾아낸 과정이었습니다.