美 소비자보호 기관, 中 솔트 타이푼 공격 이후 긴급 지침 발표 “업무 통화에 휴대폰 사용 자제”

미국 소비자금융보호국(CFPB)은 직원과 계약업체에 업무 관련 통화에 휴대폰 사용을 금지하는 긴급 지침을 발표했다. 중국과 연계된 해커에 의한 미국 통신 인프라의 대규모 공격이 발생한 데 따른 후속조치다.

월스트리트저널 (WSJ)은 이 기관의 내부 메모를 인용해 CFPB의 최고 정보 책임자가 직원들에게 민감한 논의는 마이크로소프트 팀즈나 시스코 웹엑스와 같은 보안 플랫폼으로 옮기라고 조언했다고 보도했다.

통신 인프라에 대한 ‘솔트 타이푼’ 공격에 따른 지침

보도에 따르면 도청 및 데이터 도난에 대한 우려로 촉발된 이 경고는 중국과 연계된 해킹 그룹인 솔트 타이푼(Salt Typhoon)이 수행한 것으로 추정되는 광범위한 스파이 캠페인에 따른 조치다.

이 해킹 그룹은 버라이즌과 AT&T의 데이터를 포함한 미국의 주요 통신 인프라에 무단으로 접근하여 잠재적으로 수천 명의 미국인의 개인 정보를 침해한 것으로 알려졌다.

WSJ는 “모바일 음성 통화나 문자 메시지를 사용하여 CFPB 업무를 수행하지 말라”는 지침이 있었다며, 기관이 직원들에게 민감한 정보나 비공개 정보와 관련된 논의에 개인 전화와 업무용 전화 사용을 자제할 것을 촉구했다고 전했다.

CFPB의 최고 정보 책임자는 이메일에서 CFPB 자체가 직접적인 표적이 되었다는 징후는 없지만, 이 지침은 위험을 줄이기 위한 사전 예방적 조치라고 강조했다.

그가 모든 CFPB 직원과 계약업체에 보낸 이메일에는 “CFPB가 무단 액세스의 표적이 되었다는 증거는 없다. 그러나 우리가 침해당할 위험을 줄일 수 있도록 이 지침을 준수하기를 요청한다”라고 적혀 있다.

스파이 활동에 대한 경각심 고취

WSJ에 따르면 솔트 타이푼은 통화 기록, 암호화되지 않은 문자 메시지, 심지어 트럼프와 해리스 대선 캠프 관계자를 포함한 국가 안보 및 정치 캠페인과 관련된 유명 인사들의 오디오 녹음 등 광범위한 데이터에 액세스할 수 있었던 것으로 알려졌다.

에버레스트 그룹의 수석 분석가인 아르준 차우한은 “솔트 타이푼이 통화 기록, 암호화되지 않은 문자 및 오디오 통신에 액세스하는 것은 국가 안보에 심각한 위협이 된다. 이러한 데이터는 정부 운영, 국방 전략, 정보 활동에 대한 민감한 정보를 드러낼 수 있다”라고 말했다.

그는 이어 “민감한 역할을 맡은 개인이라면 이러한 침해로 인해 개인 보안이 손상되고 기밀 통신이 노출되며 강압이나 협박의 위험이 높아진다”라고 덧붙였다.

미국 기관들은 직원들에게 사이버 보안 모범 사례를 정기적으로 상기시키고 있다. 하지만 이번 CFPB의 지침은 솔트 타이푼 공격의 성격과 범위에 대한 정부의 높은 우려를 반영한다.

WSJ 보도는 전직 공무원의 말을 인용해 “이러한 취약점을 경계하는 몇몇 정부 관리들은 이미 휴대폰 사용을 제한하고 있다”라며, 해커들이 고위 공무원 및 정책 입안자들과의 민감한 대화 내용을 빼낼 수 있다는 인식에서 비롯된 행동이라고 전했다.

올해 9월에는 동일한 위협 행위자인 솔트 타이푼이 사이버 스파이 활동을 위해 미국 인터넷 서비스 제공업체를 해킹했다는 의혹이 제기된 바 있다.

연방 기관 보안에 대한 높은 경계

미국 민간 기관의 사이버 보안 정책을 지도하는 연방 기관인 사이버보안 및 인프라 보안국(CISA)은 아직 이 공격에 대한 공식적인 대응을 발표하지 않았다. 그러나 이번 침해 사고의 규모로 인해 연방 기관 내에서 모바일 통신 정책을 재평가하는 논의가 진행되고 있다.

발송한 질의에 CISA는 아직 답변이 없는 상태다.

에버레스트 그룹의 차우한은 “모바일 기기 사용을 제한하는 것 외에도 기관은 모든 통신에 엔드투엔드 암호화를 구현하여 무단 액세스를 방지해야 한다. 통신 인프라에 대한 정기적인 보안 감사 및 업데이트는 취약점을 파악하고 패치를 적용하는 데 필수적이다. 직원들에게 피싱 시도 인식과 안전한 커뮤니케이션 관행에 대한 교육을 실시하면 위험을 더욱 줄일 수 있다”라고 말했다.

또한 사고 대응 프로토콜을 수립하면 침해 발생 시 신속한 조치를 취하여 잠재적 피해를 최소화할 수 있다고 차우한은 덧붙였다.

이번 CFPB의 지침은 해외 공격자들의 위험이 증가하는 가운데 미국 정부 내 보안 커뮤니케이션 채널의 필요성을 제기한다. 침해의 전체 범위와 다른 피해 기관의 세부 사항은 아직 조사 중이며, 연방 기관, 특히 국가 안보 관련 기관은 유사한 위협으로부터 보호하기 위해 통신 프로토콜을 강화할 것으로 예상된다.

조사관들이 솔트 타이푼의 공격이 미치는 영향을 계속 평가하고 있는 가운데, 이번 사건은 정교한 스파이 활동으로부터 민감한 정보를 보호하기 위한 엄격한 사이버 보안 프로토콜의 중요성을 다시 일깨우는 계기가 되고 있다.
dl-ciokorea@foundryco.com