중국 배후 해킹 33건, 통신망에 숨어 장기 첩보 수집…한국 IT·통신·공급망이 경계해야 할 중국식 사이버 침투
북한의 대남 사이버 공격이 생성형 인공지능과 딥페이크, 가짜 채용까지 이용하며 빠르게 진화하는 가운데 중국 배후 해킹조직은 전혀 다른 방식으로 사이버 공간에서 영향력을 확대하고 있는 것으로 나타났다. 보안업체 S2W가 분석한 2026년 상반기 국가 배후 지능형 지속 위협, 이른바 APT 동향을 보면 북한·중국·러시아 관련 공격은 모두 158건으로 집계됐으며, 이 가운데 중국 배후 조직 관련 사례는 33건이었다. 숫자만 보면 북한의 99건보다 적지만 중국의 공격방식은 통신망과 공개 서버, 네트워크 경계장비에 장기간 숨어들어 정보를 축적하는 ‘첩보형 침투’에 집중됐다는 점에서 한국이 가볍게 볼 수 없는 위험이다.
S2W 보고서에 따르면 올해 상반기 북한·중국·러시아 배후 APT 공격은 지난해 하반기 147건에서 158건으로 7.5% 증가했다. 북한 관련 이슈가 99건으로 가장 많았고 중국이 33건, 러시아가 26건이었다. 북한은 한국의 암호화폐와 IT, 소프트웨어 개발 생태계를 집중적으로 노리면서 가짜 채용과 코드 저장소, 오픈소스 침투, 생성형 AI와 딥페이크까지 적극적으로 활용했다. 국가별 표적에서는 한국이 19건으로 가장 많았다. 반면 중국 배후 조직은 통신 부문 공격을 유지하면서 동남아시아와 중동으로 활동범위를 넓혔고, 정상 클라우드 API와 VPN, 네트워크 터널, 악성코드 등을 이용해 장기간 정보를 수집하는 특징을 보였다.
한국 입장에서 중국 관련 공격을 주목해야 하는 이유는 바로 이 ‘장기성’에 있다. 파괴형 공격은 시스템이 멈추거나 파일이 암호화되기 때문에 피해자가 비교적 빠르게 공격 사실을 알아차릴 수 있다. 그러나 첩보 목적의 침투는 다르다. 공격자는 시스템을 무너뜨리는 대신 최대한 조용히 머무르려 한다. 계정을 훔치고 네트워크 내부에서 이동하며 이메일과 문서, 통신정보와 접근권한을 살펴보고 필요한 자료를 조금씩 가져간다. 기업이나 기관이 정상적으로 운영되는 동안 정보만 계속 빠져나갈 수 있기 때문에 탐지하기가 훨씬 어렵다.
중국 배후 조직이 통신 분야를 지속적으로 공략한다는 점은 특히 중요하다. 통신망은 단순히 전화와 인터넷을 제공하는 시설이 아니다. 기업과 정부기관, 병원, 금융회사, 연구소와 일반 시민의 디지털 활동이 모두 통신 인프라 위에서 움직인다. 통신환경에 장기적으로 접근할 수 있다면 특정 조직의 네트워크 구조와 계정, 접속기록, 데이터 흐름을 파악할 수 있고, 다른 목표로 침투하기 위한 교두보로 활용할 가능성도 커진다.
한국은 세계적으로 높은 수준의 통신 인프라와 반도체, 배터리, 자동차, 조선, 방산, AI와 소프트웨어 산업을 동시에 보유하고 있다. 이런 환경에서 해외 국가 배후 조직이 한국의 통신·개발 생태계에 장기 접근한다면 노릴 수 있는 정보의 가치는 매우 크다. 단순 개인정보를 넘어 기업의 기술개발 일정, 공급망 구조, 연구자료, 고객정보, 내부망 접근권한까지 하나의 정보자산이 될 수 있다.
특히 중국과 한국은 산업적으로 긴밀하게 연결돼 있으면서 반도체, 배터리, 디스플레이, 전기차와 첨단 제조업에서는 직접 경쟁하는 분야도 많다. 사이버 첩보를 통한 산업정보 확보가 성공하면 공격자는 경쟁기업이 수년 동안 투자한 연구개발 방향과 내부 운영정보를 훨씬 낮은 비용으로 파악할 수 있다. 공장을 직접 침입하거나 직원을 포섭하지 않아도 인터넷에 연결된 서버 하나, 관리가 부족한 VPN 장비 하나가 기술정보로 향하는 입구가 될 수 있다.
이번 보고서에서 중국 배후 조직이 공개 서버와 경계 네트워크 장비의 취약점을 주로 노렸다는 분석도 그래서 중요하다. 기업 내부의 직원 PC만 보호한다고 해결되는 문제가 아니다. 인터넷에 노출된 서버와 VPN, 방화벽, 원격접속 장비는 외부와 내부를 연결하는 첫 번째 관문이다. 이런 장비에 알려진 취약점이 있는데도 패치가 늦어지면 공격자는 직원에게 피싱메일 한 통을 보내지 않고도 기업 네트워크에 들어갈 수 있다.
한번 경계장비를 뚫으면 공격자는 정상적인 관리 트래픽처럼 행동할 수 있다. 보안담당자가 일반적인 외부 공격만 감시한다면 이미 내부에 들어온 침입자를 오랫동안 발견하지 못할 수도 있다. 중국 관련 APT가 ‘지능형 지속 위협’으로 분류되는 이유도 여기에 있다. 공격의 목적이 한번 침입하고 끝나는 것이 아니라 가능한 오래 머물면서 필요한 정보를 계속 모으는 데 있기 때문이다.
보고서는 중국 그룹이 정상 클라우드 API도 이용한다고 설명했다. 이는 기존 보안방식의 약점을 정확하게 겨냥한다. 기업들은 구글, 마이크로소프트, AWS를 비롯한 여러 정상 클라우드 서비스를 업무에 활용한다. 공격자가 이런 정상적인 서비스나 API를 통신경로로 이용하면 악성 서버와의 접속만 차단하는 기존 보안장비로는 이상행동을 구분하기 어려울 수 있다.
VPN과 네트워크 터널 역시 같은 문제를 만든다. 원격근무와 해외법인 연결을 위해 기업이 정상적으로 사용하는 기술이 공격자에게는 흔적을 숨기고 내부망을 이동하는 도구가 될 수 있다. 코로나19 이후 원격접속 인프라가 크게 확대된 상황에서 오래된 VPN 장비와 외부 노출 서버를 방치하는 것은 국가 배후 해킹조직에게 열린 문을 남겨두는 것과 다르지 않다.
S2W의 취약점 분석에서는 북한·중국·러시아가 상반기 15개의 고유 CVE를 19차례 악용한 것으로 나타났다. 세 나라 모두 피싱과 공개 서버 취약점 악용, 프록시·클라우드 서비스 남용이라는 공통점을 보였지만 세부 방식은 달랐다. 북한은 사회공학과 사용자 실행 유도를 주로 활용했고, 중국은 공개 서버와 경계 네트워크 장비 취약점을 집중적으로 공략했으며 러시아는 문서형 악성코드와 웹메일, 네트워크 장비를 활용했다.
이 차이는 한국의 사이버 방어가 특정 국가의 대표적인 공격수법 하나만 막는 방식으로 설계돼서는 안 된다는 뜻이다. 북한의 가짜 채용과 딥페이크만 막는다고 중국의 장기 침투가 사라지는 것이 아니다. 중국 관련 공격은 사용자에게 악성파일을 실행시키지 않고도 인터넷에 노출된 장비의 보안 결함을 이용할 수 있기 때문에 네트워크 자산 전체를 지속적으로 관리해야 한다.
한국 기업 입장에서 가장 위험한 상황은 공격을 받은 사실조차 모르는 상태다. 랜섬웨어라면 서버가 멈추고 금전요구 메시지가 나타나지만 첩보형 해킹은 서비스를 정상적으로 유지시키는 것이 공격자에게도 유리하다. 시스템을 파괴하면 자신이 발견되기 때문이다. 그래서 장기 침투형 공격에서는 “아무 문제 없이 잘 돌아간다”는 상태가 안전하다는 증거가 되지 않는다.
중국 배후 조직의 통신 분야 장기 침투가 위험한 이유도 같다. 네트워크 장악의 가치는 한 번 훔친 파일에만 있지 않다. 장기간 접근권한을 유지하면 새로운 문서가 만들어질 때마다 볼 수 있고 직원과 조직이 바뀌는 과정도 추적할 수 있으며, 향후 더 중요한 목표로 이동할 수 있는 계정과 구조를 계속 발견할 수 있다. 오늘의 침투가 내일의 대규모 정보유출을 위한 사전정찰이 될 수 있다.
한국의 첨단산업에서는 이런 위험이 경제안보로 바로 연결된다. 반도체와 배터리 분야는 제품 하나를 개발하기 위해 수년의 시험과 실패, 막대한 자본투자가 필요하다. 공격자가 완성된 설계도 하나를 가져가지 않더라도 연구개발 일정과 장비구성, 내부 보고서와 문제해결 기록만 확보해도 경쟁사의 시행착오를 줄이는 데 도움이 될 수 있다.
소프트웨어 개발 생태계도 중요하다. 보고서는 하반기에도 개발 생태계 침투가 이어질 것으로 전망했다. 현대 기업은 자체적으로 모든 코드를 만들지 않고 오픈소스 패키지와 외부 라이브러리, 클라우드 개발환경을 사용한다. 공격자가 개발자의 계정이나 저장소, 배포과정을 장악하면 하나의 회사가 아니라 그 회사가 제공하는 소프트웨어를 사용하는 여러 고객에게 위험을 확산시킬 수 있다.
이른바 공급망 공격의 무서움이 바로 여기에 있다. 공격자가 최종 목표인 대기업을 직접 뚫기 어렵다면 보안이 상대적으로 약한 협력사나 소프트웨어 공급업체를 먼저 공격할 수 있다. 그런 뒤 정상적인 업데이트나 유지보수 계정을 이용해 핵심기업으로 들어간다. 한국의 첨단산업이 수많은 중소 협력업체와 연결돼 있다는 점에서 공급망 전체의 보안수준이 중요하다.
중국 관련 사이버 첩보의 위협은 산업기술만으로 끝나지 않는다. 통신과 기반시설은 국가가 위기상황에서도 유지해야 하는 핵심 기능이다. 전력, 통신, 교통, 금융과 물류 시스템에 대한 장기적인 사전침투가 가능해지면 평상시에는 정보수집에 사용하다가 국제적인 긴장이 높아졌을 때 다른 목적으로 악용될 위험도 커진다.
보고서는 하반기에도 통신 및 기반시설에 대한 장기 접근이 지속될 것으로 전망했다. 이 문장을 가볍게 볼 수 없는 이유다. 사이버 공간에서는 공격 준비와 실제 공격 사이의 경계가 모호하다. 오늘 침투해 확보한 계정과 네트워크 접근권한이 몇 달 뒤에도 그대로 유지된다면 공격자는 필요할 때 다시 들어올 수 있다.
중국 배후 APT가 동남아시아에서 8건, 중동에서 4건의 활동을 보이며 영역을 확대했다는 사실도 한국 기업에 무관한 이야기가 아니다. 한국의 대기업과 제조기업은 동남아와 중동에 생산법인, 건설사업, 통신사업과 공급망을 광범위하게 운영하고 있다. 해외법인의 보안수준이 본사보다 낮으면 그곳이 한국 본사의 시스템으로 접근하는 우회경로가 될 수 있다.
특히 해외지사에서는 현지 네트워크 업체와 클라우드, VPN 장비를 사용하는 경우가 많다. 본사 보안팀이 모든 자산을 동일하게 관리하지 못하면 오래된 장비와 미패치 서버가 남기 쉽다. 중국 배후 조직이 동남아와 중동에서 활동범위를 넓히는 상황에서는 해외법인의 보안이 곧 한국 본사의 보안이라는 인식이 필요하다.
한국과 중국 기업 사이의 공급망도 복잡하다. 부품과 장비, 소프트웨어와 물류에서 수많은 연결이 존재하기 때문에 정상적인 기업간 네트워크 연결이나 계정을 통한 접근이 공격에 악용되면 피해범위를 빠르게 확대할 수 있다. 사이버안보에서 상대방의 국적보다 중요한 것은 어떤 시스템과 권한이 서로 연결돼 있는지를 정확하게 파악하는 것이다.
중국 관련 APT의 또 다른 특징은 공격비용보다 방어비용이 훨씬 크다는 점이다. 공격자는 인터넷에서 노출된 수천 개 장비를 자동으로 검색해 취약한 한 곳만 찾아내면 되지만 방어자는 자사와 해외법인, 협력사의 모든 시스템을 계속 패치하고 감시해야 한다. 공격자는 한 번만 성공하면 되지만 방어자는 매일 실패하지 않아야 한다.
그래서 S2W가 이메일과 악성코드 차단 중심의 단편적 대응에서 벗어나 개발환경과 공급망, 인터넷 노출자산, 클라우드와 AI까지 포함한 통합방어 체계를 강조한 것은 중요한 지적이다. 과거처럼 직원들에게 ‘수상한 이메일을 열지 말라’고 교육하는 것만으로는 국가 배후 APT를 막기 어렵다.
기업이 가장 먼저 알아야 하는 것은 인터넷에 무엇이 노출돼 있는지다. 오래전에 설치하고 잊은 테스트 서버나 VPN, 관리페이지 하나가 공격의 시작점이 될 수 있다. 공격표면을 지속적으로 찾아내고 불필요한 서비스를 닫으며 보안패치를 신속하게 적용해야 한다.
계정 자격증명 관리도 핵심이다. 공격자가 직원 한 명의 아이디와 비밀번호를 얻으면 정상 사용자인 것처럼 시스템에 들어올 수 있다. 관리자 계정이라면 피해가 훨씬 커진다. 의심스러운 침투가 발견됐을 때 관련 계정의 자격증명을 즉시 교체해야 한다는 보안 전문가의 조언도 이런 이유에서 나온다.
불변 백업과 복구체계를 구축하는 것도 중요하다. 중국 관련 공격이 현재 첩보수집에 집중돼 있다고 해서 미래의 행동도 반드시 정보수집에만 머문다고 가정할 수는 없다. 국가 배후 공격에서는 접근권한 자체가 전략적 자산이 된다. 이미 들어와 있는 공격자가 상황 변화에 따라 자료를 파괴하거나 시스템 운영을 방해할 수 있기 때문에 복구 능력을 별도로 확보해야 한다.
한국 사회가 사이버 공격을 단순히 IT부서의 기술문제로 취급해서도 안 된다. 통신회사가 뚫리면 수많은 기업과 시민의 정보가 영향을 받고, 제조기업이 공격당하면 생산과 수출에 문제가 생길 수 있으며, 공급망 기업이 침해되면 다른 기업까지 위험해진다. 사이버안보는 이제 산업안보와 경제안보의 일부다.
특히 중국과 산업경쟁이 치열한 한국에서는 정보의 가치가 더욱 높다. 기업의 내부 기술자료뿐 아니라 어떤 분야에 투자를 늘리는지, 어떤 문제를 해결하지 못하고 있는지, 어떤 공급업체와 협력하는지 같은 정보도 경쟁전략을 세우는 데 활용될 수 있다. 사이버 첩보의 피해를 단순히 ‘파일 몇 개 유출’로 계산하면 실제 피해를 과소평가하게 된다.
2026년 상반기 중국 배후 공격이 40건에서 33건으로 17.5% 감소했다는 수치도 안심할 근거는 아니다. APT에서는 공격 횟수보다 침투 깊이와 지속기간이 더 중요할 수 있다. 수십 개의 단발성 피싱보다 핵심 통신업체 한 곳에 수개월간 머무르는 침투가 훨씬 많은 정보를 가져갈 수 있기 때문이다.
중국 배후 조직이 보여주는 장기 첩보형 접근은 바로 그런 위험을 상징한다. 네트워크를 파괴해 세상을 놀라게 하는 대신 가능한 조용히 들어가 필요한 정보를 수집한다. 피해기업이 몇 달 뒤 보안점검에서 흔적을 발견했을 때는 이미 어떤 자료가 언제 어디로 빠져나갔는지 완전히 재구성하기 어려울 수 있다.
한국의 반도체와 배터리, 통신, 방산, 조선과 소프트웨어 산업은 세계시장에서 높은 가치를 갖는다. 그만큼 국가 배후 사이버 조직에게도 매력적인 정보원이다. 물리적으로 국경을 넘지 않아도 해외에서 키보드 하나로 한국 기업의 내부 시스템에 접근할 수 있다는 것이 사이버 첩보의 가장 위험한 특징이다.
이번 S2W 보고서는 북한이 한국을 가장 많이 직접 겨냥했다는 사실과 함께 중국과 러시아가 각각 다른 방식으로 국가 배후 사이버 활동을 이어가고 있다는 현실을 보여준다. 한국을 19차례 표적으로 삼은 북한의 공격은 즉각적인 위협이지만 중국이 보여주는 통신망 중심의 장기 정보수집 역시 별개의 축에서 살펴야 한다.
중국 관련 사이버 위험을 과소평가해서는 안 되는 이유는 공격이 조용하기 때문이다. 화면에 경고창이 뜨지 않고 서버가 멈추지 않아도 누군가 이미 내부망에서 정보를 읽고 있을 수 있다. 기업의 기술자료와 개발환경, 클라우드 계정과 공급망 연결이 지속적으로 노출되는 순간 한국 산업의 경쟁력은 눈에 보이지 않는 방식으로 빠져나갈 수 있다.
한국이 준비해야 할 방향도 분명하다. 통신과 핵심 인프라의 인터넷 노출자산을 상시 관리하고, 공개 서버와 VPN 장비의 취약점을 빠르게 패치하며, 개발환경과 오픈소스 공급망을 지속적으로 검증해야 한다. 해외법인과 협력사의 보안수준까지 포함하지 않는 방어체계는 국가 배후 공격 앞에서 빈틈을 남길 수밖에 없다.
사이버 공간에서 중국발 첩보위협은 국경에서 여권을 검사한다고 막을 수 있는 문제가 아니다. 공격자는 한국 땅에 들어오지 않고도 한국 기업의 서버, 통신망과 개발환경을 노릴 수 있다. 물리적인 산업스파이가 연구자료 한 묶음을 들고 나가는 시대를 넘어 이제는 네트워크 안에 숨어 수개월 동안 데이터를 읽는 방식이 등장한 것이다.
S2W가 확인한 중국 배후 공격 33건은 단순한 통계가 아니다. 통신 분야와 네트워크 경계장비, 공개 서버를 노리는 장기 첩보활동이라는 공격방식 자체가 중요한 경고다. 한국의 첨단산업과 디지털 인프라가 중국과 치열하게 경쟁하는 상황에서 가장 위험한 것은 이미 뚫렸는데도 아무 일도 일어나지 않은 것처럼 보이는 상태일 수 있다.
한국의 사이버 방어는 이제 눈에 보이는 파괴만 막는 수준을 넘어야 한다. 중국 배후 조직이 추구하는 장기 접근을 찾아내려면 정상적인 네트워크 활동 속에 숨어 있는 비정상적인 계정사용과 데이터 이동을 지속적으로 탐지해야 한다. 침투를 막지 못했다면 최대한 빨리 발견하고 계정을 교체하며 공격자가 남긴 접근통로를 제거해야 한다.
중국의 장기 첩보형 사이버 공격이 보여주는 가장 큰 위험은 시간이다. 공격자가 오래 머물수록 한국 기업의 조직구조와 기술, 사람, 공급망에 대해 더 많이 알게 된다. 한국의 통신망과 첨단산업을 보호하려면 ‘공격이 발생했는가’만 묻는 것이 아니라 ‘누군가 얼마나 오래 안에서 보고 있었는가’를 물어야 한다. 국가 배후 해킹이 일상적인 경쟁수단이 된 시대에 한국의 기술과 정보는 서버 안에 있다고 해서 안전한 자산이 아니다.
