T모바일은 중국 연계 해커를 어떻게 쫓아냈나…결국 가위로 끊은 케이블

T모바일 침투는 어떻게 발견됐나

T모바일은 솔트 타이푼(Salt Typhoon)의 활동이 통신업계 전반으로 확산하던 2024년, 내부 시스템에서 평소와 다른 트래픽을 포착했습니다. 보안팀은 곧바로 침입자를 찾아내지는 못했지만, 수개월에 걸쳐 해당 접속의 경로를 역추적했습니다.

조사 결과 공격자는 T모바일의 고객용 시스템을 정면으로 뚫은 것이 아니라, T모바일과 연결된 한 유선 통신사업자의 네트워크를 거쳐 접근한 것으로 파악됐습니다. 문제의 트래픽은 다른 통신회사가 보유한 라우터를 거쳐 T모바일의 네트워크 장비로 이어지고 있었습니다. 34

마지막 조치는 ‘원격 차단’이 아니었다

2024년 11월, 제프 사이먼 당시 T모바일 최고정보보안책임자와 보안 담당자 3명은 회사 본사가 있는 워싱턴주 벨뷰 인근의 데이터센터로 직접 향했습니다. 팀은 공격자가 이용하던 것으로 의심되는 라우터, 이른바 ‘박스’를 찾아냈습니다.

이들이 선택한 방법은 복잡한 소프트웨어 명령이나 추가적인 원격 패치가 아니었습니다. 외부 네트워크와 연결된 케이블을 가위로 잘라 장비를 물리적으로 격리했습니다. 그 순간 공격자가 T모바일 환경으로 들어오는 경로도 끊겼습니다. 35

이 조치는 T모바일이 침투를 대규모 네트워크 침해로 확대되기 전에 제한하는 데 성공했다는 점에서 주목받았습니다. 다만 공개된 자료만으로는 공격자가 업계 전체에서 어떤 정보에 접근했는지, 기업별 피해 범위가 정확히 어디까지였는지를 동일한 기준으로 확정하기 어렵습니다.

솔트 타이푼은 어떤 작전이었나

솔트 타이푼은 미국과 동맹국 정부 기관들이 중국 정부 지원 사이버 위협 행위자로 분류한 해킹 그룹 또는 활동 명칭입니다. 이 그룹은 통신사와 인터넷서비스 제공업체(ISP) 등 통신 인프라를 장기간 감시하는 방식의 첩보 활동을 벌인 것으로 조사됐습니다. 12

통신망은 단순히 전화와 인터넷을 연결하는 기반시설이 아닙니다. 통화 기록, 통신 메타데이터, 감청·수사 지원 시스템과 연결된 정보 등 민감한 자료가 오가는 핵심 인프라이기도 합니다. 따라서 통신사 네트워크에 장기간 접근할 수 있다면 개인뿐 아니라 정부 관계자와 주요 인사의 통신 활동을 추적할 가능성도 커집니다. 12

미 의회조사국과 미 사이버안보 당국 자료를 바탕으로 한 보고에 따르면, 이 작전은 미국 통신사와 인터넷 사업자를 포함한 통신 부문을 겨냥했습니다. AT&T와 버라이즌은 솔트 타이푼의 표적이 됐다는 사실을 공개적으로 확인했으며, T모바일을 비롯한 다른 사업자들도 관련 조사와 보도에 등장했습니다. 124

‘수백 개 기업 침해’라는 표현은 어떻게 봐야 하나

일부 보도는 솔트 타이푼 작전이 2024년 미국 통신사 9곳과 전 세계 200곳이 넘는 조직을 침해했다고 전했습니다. 다만 사이버 공격 통계에서 ‘표적이 됐다’, ‘네트워크에 접근당했다’, ‘실제로 침해됐다’는 표현은 서로 다른 의미로 사용될 수 있습니다. 따라서 AT&T, 버라이즌, 비아샛, 차터, 윈드스트림 등 질문에 언급된 기업을 모두 똑같은 방식으로 피해를 입었다고 묶어 설명해서는 안 됩니다. 12511

공개적으로 가장 강하게 확인된 사실은 AT&T와 버라이즌이 공격 표적이 됐다는 점입니다. 기업별로 공격자의 접근 범위와 데이터 노출 여부에 대한 공개 설명은 서로 다르고, 일부 조사는 여전히 진행 중이거나 자료마다 결론이 다릅니다. 24

핵심은 ‘가위’보다 연결 구조였다

T모바일 사건이 보여준 교훈은 가위로 케이블을 잘랐다는 장면 자체보다, 외부 사업자와 연결된 네트워크 장비가 침입 경로가 될 수 있다는 점입니다. 공격자는 반드시 통신사의 핵심 시스템을 직접 공략할 필요가 없었습니다. 신뢰 관계와 네트워크 연결을 발판으로 주변 장비에서 목표 환경으로 이동할 수 있었습니다. 36

결국 T모바일의 대응은 이상 징후 탐지, 장기간의 경로 추적, 의심 장비 확인, 물리적 연결 차단이 차례로 이어진 사례였습니다. 솔트 타이푼 작전의 규모가 통신사 한 곳의 보안 문제를 넘어선 이유도 여기에 있습니다. 통신망이 서로 연결된 만큼, 한 사업자의 주변 인프라가 다른 사업자에 대한 진입로가 될 수 있기 때문입니다. 12