미국 사이버보안 기업 VulnCheck의 조사에 따르면, 중국 네트워크 통신장비 제조업체 Zbtlink가 생산한 여러 라우터 제품에서 ‘ENDLESSDOORS’라는 이름의 내장형 백도어가 발견됐다. 공격자가 해당 라우터의 제어권을 확보할 경우, 같은 네트워크에 연결된 다른 기기까지 추가로 접근할 수 있는 구조다.
더 큰 문제는 이러한 위험 제품이 이미 10만 대 이상 해외시장에 유통된 것으로 추정된다는 점이다. 대한민국 역시 예외라고 보기 어렵다. 국내 주요 전자상거래 플랫폼인 G마켓과 쿠팡에서도 Zbtlink 브랜드 또는 관련 제품을 찾아볼 수 있기 때문이다.
대부분의 소비자는 라우터를 구입할 때 브랜드, 가격, Wi-Fi의 통신 범위와 속도를 주로 고려한다. 그러나 우리가 쉽게 간과하는 사실이 있다. 라우터는 사실상 가정과 기업 내부 네트워크로 들어가는 ‘관문’이라는 점이다.
스마트폰과 태블릿, 개인용 컴퓨터, 업무용 노트북, 스마트가전은 물론이고 CCTV, NAS, 사내 서버까지 하나의 라우터를 통해 인터넷에 연결될 수 있다.
따라서 라우터가 공격자의 통제 아래 들어가면 피해는 단일 기기에 그치지 않는다. 같은 네트워크에 연결된 여러 전자기기가 동시에 사이버보안 위험에 노출될 수 있다.
VulnCheck에 따르면 Zbtlink 라우터에 내장된 백도어 프로그램은 약 35초 간격으로 특정 외부 서버와 통신을 시도한다. 연구진은 관련 구조가 악용될 경우 공격자가 소비자 라우터를 장악한 뒤 이를 일종의 침투 거점으로 활용해 동일 네트워크에 연결된 다른 기기로 공격 범위를 넓힐 수 있다고 지적한다.
이 경우 공격자는 개인정보를 탈취하거나 전자기기 및 CCTV의 작동 상태를 감시하고, 추가적인 사이버공격을 위한 발판으로 해당 기기를 사용할 가능성이 있다.
일반 가정에서는 개인정보 침해 문제로 이어질 수 있다. 기업에서는 고객정보와 영업기밀이 위험해질 수 있다. 만약 공격 대상이 공공 CCTV나 민감한 정보를 취급하는 네트워크 시스템이라면 문제는 단순한 개인정보나 기업 보안을 넘어 국가안보 사안으로 확대될 수 있다.
이번 사건에서 특히 주목해야 할 부분도 여기에 있다.
사이버공격은 반드시 사용자가 악성코드를 내려받거나 수상한 파일을 실행한 뒤에 시작되는 것이 아니다. 문제의 기능이 이미 장비 내부에 탑재돼 있다면 사용자가 아무런 악성 프로그램도 설치하지 않았음에도 기기가 외부 접근과 감시, 공격 위험에 노출될 수 있다.
외부의 문제 제기가 이어지자 Zbtlink는 해당 라우터 모델의 판매를 중단하고 문제가 된 기능을 제거했다고 밝혔다. 회사 측은 이 기능이 특정 사용자의 원격 장비 점검과 사후 기술지원을 위한 것이었다고 해명했다.
그러나 이러한 설명만으로 모든 의문이 사라지는 것은 아니다.
핵심은 단순히 제조사가 해당 기능을 삭제했는지 여부가 아니다. 애초에 어떤 주체가, 어떠한 인증 절차를 거쳐, 어느 수준의 권한으로 소비자의 라우터에 원격 접속할 수 있도록 설계돼 있었는지가 더 중요한 문제다.
미국도 같은 위험에 주목하고 있다.
미국 정부는 중국산 네트워크 장비가 국가안보에 미칠 수 있는 영향을 우려해 FCC를 중심으로 외국산 라우터와 통신장비에 대한 보안 심사를 강화하고 있다. 특히 공격자가 라우터에 존재하는 취약점이나 내장형 원격 기능을 이용해 다수의 네트워크 장비를 장악하고, 이를 다시 공공망이나 민감한 네트워크 시스템으로 침투하는 발판으로 활용할 가능성을 경계하고 있다.
이러한 우려를 단순한 가정으로 치부하기도 어렵다.
미국의 사이버보안 기업 SecurityScorecard는 2025년 보고서를 통해 중국계 해커들과 연계된 것으로 분석되는 대규모 프록시·첩보 네트워크 ‘LapDogs’를 공개했다.
LapDogs는 피해자의 라우터 등 네트워크 장비를 은닉 거점으로 활용해 미국, 일본, 대만, 대한민국을 포함한 여러 국가의 수많은 기기를 감염시키거나 장악하고, 이를 사이버 첩보 활동에 활용하는 구조로 분석됐다.
더욱 중요한 것은 이러한 활동이 과거의 사건으로 끝나지 않았다는 사실이다.
SecurityScorecard가 올해 발표한 후속 보고서에 따르면 LapDogs 네트워크는 여전히 활동을 이어가고 있으며, 새로운 악성코드와 장비를 활용하면서 대한민국을 포함한 여러 국가를 대상으로 인프라를 확대하고 있는 것으로 나타났다.
물론 현재 공개된 자료만으로 LapDogs 배후를 중국 정부가 직접 통제하고 있다고 단정하기는 어렵다.
그러나 중국계 해커 집단이 중국 정부의 전략적 이해와 맞물려 해외 목표물을 공격했던 과거 사례는 분명 존재한다.
대표적인 사례가 2017년 사드(THAAD·고고도미사일방어체계) 배치 갈등이다.
당시 중국은 대한민국의 사드 배치에 반발하면서 관광과 문화산업, 유통 등 여러 분야에서 사실상의 경제적 압박을 가했다. 중국 내 반한 감정과 한국 상품 불매 움직임도 확산되면서 다수의 대한민국 기업들이 피해를 입었다.
문제는 이러한 압박이 오프라인 경제 영역에만 머물지 않았다는 점이다.
당시 다수의 중국 해커들이 서울시를 비롯한 대한민국 공공기관과 민간 웹사이트를 공격한 정황이 포착됐다. 일부 공격에서는 “롯데를 보이콧하라”, “사드를 반대한다”, “롯데는 중국에서 나가라”는 등의 메시지까지 남겨졌다.
당시 한 사이버보안 전문가는 중국 해커들이 특정 시점에 대규모로 한국 사이트를 공격하는 것은 매우 이례적이라며, 이러한 움직임이 사드 배치에 대한 중국 측의 보복 분위기와 관련됐을 가능성을 제기하기도 했다.
이 사례는 중국과 관련된 사이버위협을 단순한 범죄행위의 차원에서만 볼 수 없는 이유를 보여준다.
국가 간 정치적 갈등이 격화될 경우 민간 해커 집단이나 국가 연계 가능성이 제기되는 사이버 행위자들의 활동이 외교적·경제적 압박과 같은 방향으로 움직일 수 있기 때문이다.
최근 미국을 비롯한 여러 민주주의 국가들은 중국산 통신·네트워크 장비가 초래할 수 있는 국가안보 위험을 인식하고 규제를 강화하고 있다.
그러나 특정 브랜드 하나를 규제한다고 문제가 해결되는 것은 아니다.
하나의 업체나 제품에서 문제가 드러나더라도 얼마 지나지 않아 비슷한 장비가 다른 브랜드명으로 다시 시장에 나타날 수 있다. 특히 중국 제조업체들은 주문자상표부착생산, 이른바 OEM·화이트라벨 방식을 폭넓게 활용한다.
이 경우 소비자는 제품 전면에 표시된 브랜드만 보고 실제 제조업체가 어디인지 확인하기 어렵다. 제조사와 공급망의 실질적 출처를 파악하기 어려워지면, 해당 제품이 국가안보상 고위험 공급망과 관련돼 있는지를 판단하는 것도 그만큼 힘들어진다.
따라서 가격이 저렴하다는 이유만으로 중국산 네트워크 장비를 가정이나 기업, 나아가 정부기관에 아무런 검증 없이 도입하는 것은 위험할 수 있다.
물론 특정 국가에서 생산됐다는 사실만으로 모든 제품을 위험하다고 단정해서는 안 된다.
그러나 라우터처럼 가정과 기업, 정부 네트워크 전체의 입구를 통제하는 장비라면 이야기가 달라진다. 이러한 장비에는 일반 소비재보다 훨씬 엄격한 보안 기준이 적용돼야 한다.
대한민국은 보다 체계적인 네트워크 장비 공급망 보안 제도를 마련할 필요가 있다.
우선 제조업체뿐 아니라 실제 생산업체와 부품 공급망, 펌웨어 개발 주체까지 확인할 수 있는 추적 체계를 강화해야 한다.
정부와 주요 기반시설에서 사용하는 네트워크 장비에 대해서는 보다 엄격한 보안 검증과 취약점 분석을 시행해야 한다. 원격 관리 기능이나 외부 서버와의 비정상적 통신 기능이 포함돼 있는지도 사전에 확인할 필요가 있다.
취약점 신고 및 대응 체계 역시 개선돼야 한다. 해외에서 심각한 취약점이 발견됐을 경우 동일 제조업체나 같은 하드웨어를 사용하는 국내 판매 제품을 즉시 파악하고, 필요하다면 판매 중단이나 펌웨어 교체, 네트워크 격리 조치로 연결할 수 있어야 한다.
특히 정부기관, 군, 통신망, 에너지, 교통, 금융, 병원 등 국가 핵심 인프라에 사용되는 네트워크 장비에 대해서는 단순한 가격 경쟁력보다 공급망의 신뢰성과 보안성을 우선해야 한다.
대한민국 국민의 개인정보와 기업의 영업기밀, 그리고 국가 핵심 인프라를 중국계 해커들의 사이버공격으로부터 보호하기 위해서는 제품이 시장에 유통된 이후 취약점을 찾는 방식만으로는 충분하지 않다.
진정한 사이버보안의 출발점은 공격이 시작된 뒤 방어하는 데 있지 않다.
우리가 장비를 네트워크에 연결하기 전에, 그 장비가 누구에 의해 만들어졌고 어떤 소프트웨어가 내장돼 있으며 누가 원격으로 접근할 수 있는지를 확인하는 데서 시작돼야 한다.
대한민국의 사이버안보는 방화벽 바깥에서만 지켜지는 것이 아니다.
우리가 무심코 집과 기업, 그리고 국가의 네트워크 안으로 들여놓는 작은 라우터 한 대에서부터 시작된다.
