통신사가 뚫렸다는 뉴스, 남 일이 아닙니다
“AT&T도 뚫렸다”, “노르웨이 기업도 당했다” — 요즘 해외 IT 뉴스에 자주 보이는 이름이 있습니다. 바로 중국 국가 배후로 지목된 해킹 그룹, 솔트 타이푼(Salt Typhoon)입니다. 수백 개 기관이 당한 이 사건을 계기로 보안업계에서 다시 화두가 된 개념이 제로트러스트(Zero Trust)입니다. 오늘은 이 두 가지를 일반 독자도 이해할 수 있게 풀어보겠습니다.
솔트 타이푼, 대체 무슨 일이 있었나
솔트 타이푼은 2019~2020년 무렵부터 활동한 것으로 파악된 사이버 스파이 조직으로, 중국 국가안전부(MSS)와의 연관성이 강하게 제기되고 있습니다. 초기에는 눈에 띄지 않게 활동하다가, 2024년 미국 유력 통신사들(AT&T, 버라이즌 등)의 네트워크 장비 취약점을 노려 침투한 사실이 알려지며 전 세계에 충격을 줬습니다.
- 피해 규모: 80개국 600여 개 기관 이상 영향
- 주요 대상: 통신, 정부, 교통, 숙박, 군 네트워크
- 침투 방식: 신종 악성코드가 아니라 시스코 IOS XE, 아이반티, 팔로알토 같은 이미 알려진 네트워크 장비 취약점을 정밀 타격
- 2026년 현재: 미국 재무부 제재(2025년 1월), CISA·NSA·FBI 합동 경보(2025년 8월)에도 불구하고 여전히 활동 중이며, 노르웨이 정보당국도 2026년 2월 자국 기업 피해를 공식 확인
전문가들이 특히 우려하는 지점은, 이들이 ‘뚫고 나오는’ 방식이 아니라 합법적인 관리자 계정처럼 위장해 조용히 오래 머무르는 방식을 쓴다는 것입니다. 그래서 침입 사실을 몇 달간 모르고 지나가는 경우가 많습니다.
그런데 왜 기존 보안으로는 막지 못했을까
전통적인 보안 모델은 흔히 “성벽” 방식으로 비유됩니다. 방화벽으로 외부와 내부를 나누고, 한 번 성벽 안(사내망)에 들어오면 대체로 신뢰하는 구조였죠. 문제는 공격자가 정상 계정 정보나 관리자 권한을 탈취해 ‘성벽 안’으로 들어오는 순간, 내부에서는 거의 제지받지 않고 자유롭게 움직일 수 있었다는 점입니다. 솔트 타이푼 같은 조직은 바로 이 허점을 정밀하게 파고들었습니다.
제로트러스트란 무엇인가
이 지점에서 등장하는 개념이 제로트러스트입니다. 핵심 원칙은 단 한 줄로 요약됩니다.
“절대 신뢰하지 말고, 항상 검증하라(Never trust, always verify)”
즉 사내망이든 외부망이든, 직원이든 관리자든 모든 접속을 매번 검증하는 구조입니다. 한 번 로그인했다고 계속 믿어주는 게 아니라, 접속할 때마다 “이 사람이 정말 맞는가”, “이 요청이 필요한 권한 범위 안에 있는가”를 계속 확인합니다.
제로트러스트를 구성하는 핵심 원칙은 크게 세 가지입니다.
- 지속적 인증: 로그인 이후에도 계속 신원과 상태를 재검증
- 최소 권한 원칙: 업무에 꼭 필요한 권한만 부여, 그 이상은 차단
- 세분화와 모니터링: 네트워크를 잘게 나눠(마이크로 세그멘테이션) 한 구역이 뚫려도 전체로 번지지 않게 함
전통 보안 vs 제로트러스트, 무엇이 다른가
| 구분 | 전통 경계 보안 | 제로트러스트 |
|---|---|---|
| 기본 전제 | 내부망은 신뢰 | 누구도 기본적으로 신뢰하지 않음 |
| 인증 시점 | 최초 로그인 시 1회 | 접속마다 지속적으로 재검증 |
| 권한 부여 | 부서·직급 단위로 포괄 부여 | 업무 단위로 최소한만 부여 |
| 내부 이동 통제 | 느슨함 (한 번 뚫리면 전체 노출) | 세분화로 확산 차단 |
| 솔트 타이푼 같은 공격 | 방어 취약 | 이상 행동 조기 탐지 가능성 ↑ |
제로트러스트 도입, 실제로 어떻게 구현할까
기업이나 기관이 제로트러스트를 실제로 구현할 때 흔히 쓰는 4가지 핵심 요소는 다음과 같습니다.
- 다중 요소 인증(MFA) — 비밀번호 하나만으로는 로그인 불가, 추가 인증 수단 필수
- 디바이스 관리 — 접속하는 기기 자체의 신뢰도(보안 패치 여부 등)를 검증
- 네트워크 분할 — 부서·시스템별로 네트워크를 잘게 쪼개 확산 방지
- 위협 탐지 시스템 — 평소와 다른 접속 패턴을 실시간으로 감지
개인 사용자 입장에서도 적용할 수 있는 원칙이 있습니다. 계정마다 다중 인증을 켜두는 것, 사용하지 않는 서비스 권한을 주기적으로 정리하는 것만으로도 제로트러스트의 기본 정신을 실천할 수 있습니다.
이런 흐름, 국내 보안 솔루션 시장에도 이미 반영되고 있습니다
솔트 타이푼 같은 국가 배후 공격이 계속 늘면서, 국내외 보안 업계도 제로트러스트 아키텍처를 표준으로 전환하는 추세입니다. 기업용 네트워크 장비나 클라우드 보안 서비스를 검토 중이라면, “제로트러스트 지원 여부”가 이제는 선택이 아니라 기본 체크리스트 항목이 되고 있다는 점도 함께 알아두면 좋습니다.
마무리: 남 일 같던 국가 해킹, 결국 개인 보안 습관으로 이어진다
솔트 타이푼 사건이 보여준 교훈은 명확합니다. “내부는 안전하다”는 전제 자체가 더 이상 유효하지 않다는 것입니다. 기업과 정부만의 문제가 아니라, 개인의 계정 보안 습관에도 같은 원칙이 적용됩니다. 오늘 바로 자주 쓰는 계정에 다중 인증을 켜고, 불필요한 앱 권한을 한 번씩 점검해보세요. 작은 습관 하나가 ‘조용히 오래 숨어 있는’ 공격을 조기에 막는 첫걸음이 됩니다.
자주 묻는 질문 (FAQ)
Q1. 솔트 타이푼은 지금도 활동 중인가요? A. 네. 2025년 미국 정부의 제재와 합동 보안 경보에도 불구하고, 2026년에도 노르웨이 등에서 추가 피해가 확인되며 활동이 계속되고 있는 것으로 파악됩니다.
Q2. 제로트러스트는 대기업만 도입할 수 있나요? A. 아닙니다. 클라우드 기반 서비스나 MFA 도구는 중소기업, 심지어 개인도 어렵지 않게 적용할 수 있는 수준까지 대중화됐습니다.
Q3. 제로트러스트를 도입하면 해킹을 100% 막을 수 있나요? A. 100% 차단을 보장하지는 않습니다. 다만 공격자가 내부에 침투해도 확산 범위를 최소화하고, 이상 행동을 더 빨리 탐지할 수 있게 해줍니다.
Q4. 개인이 오늘 당장 할 수 있는 제로트러스트 실천법은? A. 이메일·클라우드 등 주요 계정에 다중 인증(MFA)을 켜고, 더 이상 쓰지 않는 앱·서비스 접근 권한을 정기적으로 정리하는 것부터 시작하면 됩니다.