지난 초 블룸버그(Bloomberg)가 내놓은 충격적인 보도에 따르면, 애플(Apple), 아마존(Amazon)을 비롯해 대형 은행과 정부 조달 업체 등 미국 기업 30여 곳이 중국제 스파이 칩에 의해 잠입당한 것으로 알려졌습니다. '더 빅 핵(The Big Hack): 중국은 어떻게 작은 칩 하나로 미국 기업에 침투했는가'라는 제목의 이 기사는 쌀알 크기만 한 초소형 칩이 미국 기술 공급망 전체를 위태롭게 만들었다고 밝혔습니다.
문제의 서버는 샌호세에 본사를 둔 슈퍼마이크로(Super Micro)가 조립한 것으로, 이 회사는 세계 최대 규모의 서버용 메인보드, 칩, 커패시터 공급업체 중 하나입니다. 발견된 중국산 스파이 칩은 서버 메인보드에 숨겨져 있었지만, 원래 설계에는 포함되어 있지 않았습니다.
조사 결과 이 칩들은 해커가 해당 장비가 속한 네트워크에 은밀한 백도어를 열 수 있게 해주는 것으로 밝혀졌습니다. 보도에 따르면 칩은 중국 내 제조 하청업체가 운영하는 공장에서 삽입된 것으로 전해집니다.
블룸버그는 이번 공격이 과거의 보안 사고들보다 훨씬 심각하다고 경종을 울렸습니다. 우리가 흔히 겪는 대부분의 공격은 소프트웨어 기반인 반면, 이번 사건은 하드웨어 기반입니다. 원격 연결만으로 버그를 심을 수 있는 소프트웨어 공격과 달리, 하드웨어에 스파이 칩을 몰래 숨기는 일은 훨씬 어렵습니다. 하드웨어 공격은 실행 난이도가 높지만, 그만큼 파급력이 치명적이고 오랫동안 지속된다는 점이 문제입니다.
프로 팁: 시스템 문제나 성능 저하를 일으킬 수 있는 성능 이슈, 불필요한 파일, 유해 앱, 보안 위협 요소를 맥(Mac)에서 미리 점검해 보세요.
기업 간첩 활동 외에도, 이 공격이 사실로 확인될 경우 미군과 법 집행 기관까지 위험에 빠질 수 있습니다. 칩이 발견된 서버는 국방부, CIA의 드론 작전, 해군 군함 등에서도 사용되고 있었기 때문입니다.
업계의 반응
블룸버그에 따르면, 애플의 고위 내부자들은 2015년 여름 이 칩들을 발견해 FBI에 보고했지만 세부 내용은 공개하지 않았습니다. 칩 발견 1년 후 애플은 슈퍼마이크로와의 거래를 중단하고 데이터 센터에서 슈퍼마이크로 서버 7,000대를 모두 철거했다고 합니다.
그러나 애플은 언론에 배포한 성명을 통해 이러한 주장을 전면 부인하며, 자사 서버에 스파이 칩이 있다는 증거는 없다고 밝혔습니다. 애플에 따르면 블룸버그는 지난 1년간 여러 차례 보안 사건 관련 주장을 제기해 왔고, 그때마다 내부 조사를 진행했지만 "그 어떤 주장도 뒷받침할 증거는 전혀 발견되지 않았다"고 합니다.
성명은 애플이 자사 서버에서 중국산 스파이 칩, 하드웨어 변조, 고의적으로 심어진 취약점을 발견하지 못했다는 점을 강조했습니다. 또한 이 사건과 관련해 FBI나 다른 법 집행 기관에 연락한 사실도 없다고 부인했습니다.
애플은 블룸버그의 보도에 실망감을 표하며, 언론사가 이번 사건을 2016년 실험실의 슈퍼마이크로 서버 한 대에서 감염된 드라이버가 발견됐던 과거 보안 문제와 혼동했을 가능성이 있다고 설명했습니다.
아마존 역시 블룸버그 기사에 부정확한 내용이 너무 많다며 보도를 반박했습니다. 아마존 웹 서비스(AWS) 최고 정보보안책임자 스티브 슈미트(Steve Schmidt)가 발표한 성명은 다음과 같습니다.
"우리는 엘리멘털(Elemental) 서버에서 변조된 하드웨어나 악성 칩을 발견한 적이 없습니다. 나아가 당사 데이터 센터의 어떤 서버에서도 변조된 하드웨어나 악성 칩을 찾지 못했습니다."
엘리멘털은 아마존이 인수를 검토하던 기술 스타트업으로, 악성 칩이 발견됐다는 곳이 바로 이 회사였습니다.
애플 정보보안 부사장 조지 스타타코풀로스(George Stathakopoulos)도 별도의 성명을 통해, 블룸버그가 주장한 17개 출처를 교차 검증한 것이 아니라 단일 출처에 기반해 중국 스파이 칩 관련 보도를 했다고 지적했습니다.
반면 블룸버그는 자사 보도의 진실성을 확신하며 입장을 고수하고 있습니다.
소비자에게 미치는 영향
그렇다면 이러한 논란이 우리와 무슨 상관일까요? 이 문제가 중요한 이유는 애플 등 해당 기업들의 보안이 곧 소비자 데이터의 보안과 직결되기 때문입니다. 예를 들어 이런 악성 칩 때문에 애플 사용자의 데이터가 유출될 수도 있습니다.
소비자 입장에서 할 수 있는 일은 많지 않지만, 최소한 자신의 데이터를 안전하게 지키는 노력은 필요합니다. 컴퓨터에서 민감한 정보가 수집되지 않도록 하는 방법 중 하나는 아웃바이트 맥에리스(Outbyte macAries) 같은 앱을 활용해 휴지통 파일까지 완전히 삭제하는 것입니다. 해커가 여러분이 버린 정크 파일에서 무엇을 찾아낼지 아무도 알 수 없습니다.
아마존 사용자 역시 위험에 노출되어 있으며, 특히 금융 정보가 취약합니다. 이런 유형의 공격으로부터 자신을 지키는 데는 백신이나 멀웨어 탐지 소프트웨어만으로는 부족합니다. 암호화된 VPN 연결을 사용해 금융 데이터를 공격자로부터 숨기는 것이 좋습니다.
결국 지금 중요한 것은 블룸버그 기사가 사실인지 아닌지가 아닙니다. 진짜 질문은 과연 우리가 이런 유형의 공격에 대비하고 있는가 하는 점입니다.