중국 정부 후원 해킹조직, 보안기업들과 계약해 사이버 공격기술 흡수중

실크 타이푼 연계 중국 보안 기업들, 사이버 스파이 기술 특허 15건 이상 출원 정황 드러나

상하이 파이어텍·파워록, MSS 하청 수행하며 침해도구 특허 다수 보유

중국 정부의 후원을 받는 해킹 그룹 ‘실크 타이푼(Silk Typhoon, 일명 하프니엄·Hafnium)’과 연계된 중국 민간 보안기업들이 최소 15건 이상의 침해도구 관련 기술 특허를 출원한 정황이 드러났다.

해당 특허들은 암호화된 엔드포인트 데이터 수집, 애플 기기 포렌식, 라우터 및 스마트홈 기기에 대한 원격 접근 등을 가능하게 하는 기술로 구성되어 있으며, 이를 통해 중국의 국가 차원의 사이버 공격 체계가 계약 기반으로 민간 기술 역량을 흡수하고 있다는 구조가 명확히 드러났다.

사이버보안 기업 센티넬원(SentinelOne)은 2025년 7월 공개한 분석 보고서를 통해, 중국의 정보기관이 민간 기업들과 장기적이고 신뢰 기반의 계약을 맺고 공격 캠페인을 수행해왔다고 밝혔다.

특히 보고서에 따르면 미국 법무부가 기소한 중국 해커 쉬저웨이(Xu Zewei)와 장위(Zhang Yu)는 각각 상하이 파워록 네트워크(Shanghai Powerock Network Co. Ltd.)와 상하이 파이어텍 정보과학기술유한회사(Shanghai Firetech Information Science and Technology Co., Ltd.) 소속으로 활동했으며, 상하이시국가안전국(SSSB)의 지시에 따라 2021년 마이크로소프트 익스체인지 서버의 제로데이 취약점인 ‘프록시로그온(ProxyLogon)’을 악용한 대규모 침해 캠페인을 주도한 것으로 나타났다.

보고서에 따르면 쉬저웨이는 해당 사건 이후 파워록이 2021년 4월 7일 사업 등록을 돌연 말소하면서 자취를 감췄고, 이후 차이틴테크(Chaitin Tech)를 거쳐 상하이 GTA 반도체유한회사(GTA Semiconductor)로 이직한 것으로 추적됐다. 장위는 여전히 파이어텍의 배후 인물로 추정되며, CEO인 인원지(Yin Wenji)와 함께 ‘상하이쓰링상무컨설팅센터(Shanghai Siling Commerce Consulting Center)’를 공동 설립한 사실도 확인됐다.

이들이 소속된 파이어텍은 MSS 요원들로부터 직접적인 지시를 받아 활동했으며, MSS 상하이지부(SSSB)와의 관계는 단순 하청 수준을 넘는 장기적 파트너십 형태였다고 센티넬랩스의 전략 자문가 다코타 캐리(Dakota Cary)는 설명했다. 캐리는 “중국은 캠페인 중심의 행위자 추적이 아닌, 기술을 생산·개발하는 기업과 그 역량을 중심으로 접근해야 한다”며, “이번 사례는 실크 타이푼의 배후 기업들이 공격 기술을 실제로 제품화하고 특허화해 다른 지방의 MSS 사무소에 공급했을 가능성도 있다”고 밝혔다.

특허 분석 결과, 파이어텍은 애플 기기와 라우터, 보안장비에서 디지털 증거를 수집하는 기술과 함께, 특정 인물에 대한 근접 접근 작전을 가능하게 하는 기술 특허도 보유하고 있는 것으로 나타났다. 이 특허들은 민간 기술 개발로 위장되었지만, 사실상 국영 보안기관과의 계약에 기반한 사이버 스파이 기술의 일환이라는 해석이 지배적이다.

또한 보고서는 실크 타이푼과 연계된 것으로 알려진 또 다른 해커 인물 인커청(Yin Kecheng)이 중국 애국 해커이자 데이터 브로커로 알려진 저우슈아이(Zhou Shuai)가 설립한 ‘상하이 헤이잉 정보기술유한회사(Shanghai Heiying Information Technology Co., Ltd.)’에서 근무한 경력이 있다고 전했다. 해당 회사 역시 MSS와 연계된 사이버 침해 기술 개발 기업으로 분류되고 있다.

다코타 캐리는 “중국의 사이버 공격 생태계는 단일 그룹이 아닌, 기업과 기술, 정부 계약이 얽힌 구조화된 산업으로 이해해야 한다”며 “하프니엄으로 명명된 그룹의 정체는 하나의 이름일 뿐, 실제로는 기술을 개발하고 특허화하며 공공기관과 계약하는 여러 민간기업들의 네트워크로 구성되어 있다”고 강조했다.

이번 분석은 기존의 사이버 위협 인텔리전스가 공격 캠페인과 악성코드에 집중된 데 비해, 배후 조직의 법인 구조·특허 활동·인력 이동 등을 종합적으로 추적한 점에서 주목받고 있다. 특히 다수의 기업이 해킹 도구를 개발하고 이를 특허 출원까지 진행했다는 점은, 사이버 작전이 비공식 조직이 아닌 정식 기업을 통한 준군사적 계약 구조에서 실행되고 있다는 정황을 뒷받침한다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★