개발자도 모르는 '제로데이 취약점' 악용, 전 세계 방화벽 장치 공격

"취약점 신속히 파악하고 대응하지 않았다면 피해 더 심각했을 것"

미국 정부가 컴퓨터 방화벽을 해킹해 훔친 데이터를 중국 정부와 기업에 판매한 중국 해커의 체포에 도움이 되는 정보를 주는 사람에게 1000만 달러(약 143억 원)의 포상금을 주겠다고 밝혔다.

AFP 통신에 따르면, 10일(현지시간) 미국 법무부는 컴퓨터 사기 및 전신사기 공모 혐의로 기소된 관톈펑(30)에 대한 기소장을 공개했다. 관톈펑은 현재 중국 쓰촨성에 살고 있는 것으로 추정된다.

기소장에 따르면, 관톈펑과 공범들은 영국에 본사를 둔 사이버 보안 회사 '소포스'(Sophos)가 판매한 방화벽의 취약점을 이용해 2020년 4월 전 세계 약 8만 1000개의 방화벽 장치를 공격했다. 이를 통해 그는 사용자 이름과 비밀번호를 포함한 데이터를 훔치고 컴퓨터를 랜섬웨어로 감염시켰다.

이후 관톈펑이 근무하던 쓰촨 사일런스 정보기술은 해킹으로 얻은 서비스 및 데이터를 중국 기업 및 공안부를 포함한 중국 정부 기관에 판매했다. 이에 따라 쓰촨 사일런스는 미국 재무부의 제재를 받았다.

리사 모나코 법무부 부장관은 관톈펑에 대해 "전 세계의 피해자로부터 정보를 훔치기 위해 고안된 악성 소프트웨어로 (방화벽의) 취약점을 악용해 수만 개의 네트워크 보안 장치를 감염시켰다"고 지적했다.

재무부는 미국에 2만 3000개 이상의 방화벽이 설치돼 있고, 그중 36개는 '중요 인프라 기업의 시스템'을 보호하고 있다고 설명했다.

연방수사국(FBI) 요원 허버트 스테이플턴은 "관톈펑과 그의 공범이 발견하고 악용한 제로데이 취약점은 미국 전역의 기업들이 소유한 방화벽에 영향을 끼쳤다"고 말했다. 제로데이 취약점은 개발자도 인지하지 못해 아직 알려지지 않았고 해결책도 없는 취약점을 뜻한다.

스테이플턴은 이어 "소포스가 취약점을 신속하게 파악하고 포괄적인 대응책을 마련하지 않았다면 피해는 훨씬 더 심각했을 것"이라고 덧붙였다.