“중국, 스파이 칩으로 애플·아마존 해킹했다”

-아마존, 2015년 동영상 서비스 업체 인수 과정에서 발견 -중국 인민해방군 1개 부대 칩 내장 동원 추정 -지금까지 미국 기업에 가해진 가장 심각한 공격

중국 정부가 아마존의 웹 서비스와 애플의 데이터센터에서 쓰는 장비에 작은 마이크로 칩, 이른바 스파이 칩을 심어 해킹해왔다는 주장이 제기돼 논란이 일고 있다.

블룸버그 비즈니스위크는 4일(현지시간) 이 같은 내용을 담은 보고서를 공개했다. 블룸버그에 따르면 아마존닷컴은 2015년에 엘리멘털테크놀로지라는 신생 기업에 대한 조사를 시작했다. 현재 아마존 프라임 비디오로 알려진 동영상 스트리밍 서비스를 확대하고자 인수를 위한 절차였다.

미국 오리건 주 포틀랜드에 본사를 둔 엘리멘털은 동영상 파일을 압축해 다른 기기용으로 포맷하는 소프트웨어를 생산하는 회사였다. 이 회사의 기술은 국제 우주정거장과 통신용 드론의 영상을 미 중앙정보국(CIA)으로 보내는데도 사용되고 있었다.

CIA를 위해 안전성이 높은 클라우드를 구축하고 있던 아마존 웹 서비시스(AWS)가 실사의 일환으로 엘리멘털의 보안을 조사했다. 그 과정에서 의문점이 발견돼 AWS는 엘리멘털의 주력 제품을 자세히 조사하기로 했다. 고객사들이 동영상 압축을 위해 네트워크에 설치하는 고성능 서버를 집중 조사했다. 이들 서버 조립을 엘리멘털에서 맡고 있던 것이 슈퍼 마이크로 컴퓨터였다. 이 회사는 서버용 마더 보드 분야에서는 세계 최대 공급처 중 하나다.

▲출처 : 블룸버그 비즈니스 위크.

문제가 발견된 건 엘리멘털 직원이 2015년 봄 여러 대의 서버를 제3자 보안회사에 검사를 의뢰하기 위해 캐나다 온타리오에 보냈을 때다. 거기서 서버의 마더 보드 위에 쌀 알갱이만한 크기의 마이크로 칩이 내장되어 있는 것이 발견됐다. 보드 본래 설계에는 없는 부품이었다. 아마존이 이 사실을 미 당국에 보고하자 정보 관계자들은 충격에 빠졌다고 한다. 엘리멘털의 서버는 미 국방부 데이터센터와 CIA의 드론 시스템, 해군의 함선 간 네트워크에도 사용되고 있었기 때문이다. 게다가 엘리멘털은 슈퍼 마이크로의 수백 개에 이르는 고객사 중 하나에 불과하다.

바로 일급기밀 수사가 시작되고 3년 이상이 지난 지금까지도 완료되지 않았지만, 수사관들은 문제의 칩이 조작된 서버를 포함한 모든 네트워크에 접속할 수 있다고 결론지었다. 칩 내장은 중국이 하청회사 공장에서 이뤄졌다.

블룸버그 비즈니스 위크는 이같은 상황이 바이러스 공격보다 심각하다고 우려했다. 하드웨어를 이용한 해킹은 제거하기도 어려운 데다 피해가 더 심해질 수 있어서다. 장기적으로 몰래 상대의 네트워크에 접속할 수 있는 구조는 정보기관들조차 거액의 자금과 오랜 시간을 들여서라도 손에 넣고 싶은 것이다.

스파이들이 컴퓨터 기기를 변경하는 방법에는 두 가지가 있다. 하나는 제조업체에서 고객에게 전달하는 사이에 조작하는 것, 또 하나는 생산의 첫 단계에서 내장하는 것이다. 중국은 후자에서 특히 유리하다. 세계 휴대전화의 75%, PC의 90%가 중국에서 생산되고 있기 때문. 단순히 작업을 추가하려면 제품 설계에 대해 충분히 이해하고 있는 사람이 공장에 들어가서 해야 하고, 그 부품이 세계 물류 체인을 통해 목표 위치에 도달하지 않으면 의미가 없다. 하드웨어 해킹 전문가인 그랜드 아이디어 스튜디오 설립자 조 그랜드는 “국가 정부 차원의 하드웨어 해킹이 성공하는 것은 매우 드물다”고 말했다.

그러나 이것은 미국의 수사관에 의해 발견됐다. 당국자 2명에 따르면 중국 인민해방군 1개 부대 공작원들이 제조 과정에 투입해 칩을 내장했다. 미 당국자들은 이 사건을 미국 기업에 대해 가해진 지금까지 가장 심각한 서플라이 체인 공격이라고 말한다.

공격 대상은 약 30여개사였던 것으로 나타났다. 대형은행 1곳과 정부와 계약한 업체, 애플도 포함돼 있었다. 애플은 슈퍼 마이크로의 가장 중요한 고객으로 데이터센터의 새로운 글로벌 네트워크를 위해 2년간 3만 여대의 서버를 주문할 계획이었다. 애플 관계자 3명에 따르면 애플은 2015년 여름 슈퍼 마이크로의 마더 보드에서 악성 칩을 발견했다. 애플은 이듬해 슈퍼 마이크로와의 거래를 중단했다. 하지만 다른 이유에서였다.

블룸버그 비즈니스위크의 이 같은 주장에 대해 아마존과 애플, 미 정보 당국은 구체적인 답변을 피했다.