중국 연계 '솔트 타이푼', 미 통신사 해킹과 도·감청 시스템 침투 사태

2024년 10월 초 월스트리트저널은 중국 연계 해커가 AT&T, 버라이즌, 루멘 등 미국 주요 통신사의 네트워크에 침투했다고 보도했다. 이후 해킹 조직은 업계에서 '솔트 타이푼'으로 불리게 됐고, 침투 대상에는 미 법원 승인 도청 요청을 처리하는 시스템이 포함된 것으로 알려졌다. 해커들은 이 시스템을 통해 수사당국이 누구를 감시하는지까지 파악할 수 있었다는 우려가 제기됐다. 미국 정보당국이 통신 인프라 자체를 정찰 도구로 삼은 중국의 장기 침투를 우려하게 된 계기였다. 통신사들은 당시 피해 범위를 공개적으로 상세히 밝히지 않았다.

2024년 12월 18일 미국 사이버보안청(CISA)은 정부 고위 인사와 정치권 인사들에게 휴대전화 통신을 종단간 암호화 앱으로 옮기라고 공식 권고했다. 이는 통신망이 이미 침해됐다는 전제 아래 나온 이례적인 조치였다. 같은 시기 미국 당국은 피해 통신사가 아홉 곳으로 늘었다고 밝혔고, 해커들이 수백만 명의 위치를 파악하고 통화를 임의로 녹음할 수 있는 수준의 접근 권한을 가졌다는 설명이 나왔다. 트럼프·밴스 선거캠프 관계자의 휴대전화가 표적이 됐다는 보도도 이어졌다. 일반 이용자의 통신 신뢰 문제로까지 논란이 확대됐다.

2024년 12월 말 AT&T와 버라이즌은 정부와 협력한 결과 자사 미국 내 네트워크에서 솔트 타이푼의 활동이 차단됐다고 밝혔다. AT&T는 중국이 외국 정보 활동에 관심 있는 소수 개인을 표적으로 삼았다고 설명했고 버라이즌은 관련 활동을 봉쇄했다고 말했다. 그러나 이후 찰터와 윈드스트림 등 다른 통신사들도 해킹 피해를 입은 것으로 보도되며 규모가 늘어났다. 미국 재무부 컴퓨터가 베이온드트러스트 키 탈취를 통해 뚫린 사건도 같은 시기에 터져 중국 연계 해킹에 대한 우려가 겹쳤다. 통신사들의 안전 선언을 외부에서 검증하기 어렵다는 비판도 있었다.

2025년 1월 연방통신위원회(FCC)는 통신법 CALEA 해석에 따라 통신사가 네트워크를 무단 접근으로부터 보호해야 한다는 선언적 결정을 내렸고 효력은 즉시 발생했다. 이 결정은 솔트 타이푼 침해에 대한 직접적인 규제 대응이었으며, 통신사에는 연례 보안 인증 제출 의무도 부과됐다. 규제 당국이 도청 지원 시스템 자체가 공격 표적이 될 수 있다는 점을 공식 인정한 셈이었다. 통신업계는 비용과 책임 범위를 두고 우려를 표하기도 했다.

2025년 1월 17일 미국 재무부는 재무부 및 통신사 해킹과 관련해 상하이 기반 해커 인 커청과 쓰촨 쥐신허 네트워크 기술 회사를 제재한다고 발표했다. 재무부는 쥐신허가 솔트 타이푼 활동에 직접 관여했다고 밝혔다. 이번 조치는 중국 연계 사이버 첩보 활동에 대한 미국의 직접 제재라는 의미가 있었지만, 실제 해킹 방어에는 즉각적 효과가 크지 않다는 평가도 있었다. 중국 정부는 관련 의혹을 부인했다. 앞서 2024년 12월 말에는 재무부 자체도 중국 연계 해커에게 침투당한 사실이 공개돼 파장이 이어졌다.

2025년 8월 FBI는 솔트 타이푼이 미국 기업 최소 200곳을 해킹했고 전 세계 80개국의 기업도 침투 대상이었다고 밝혔다. 피해는 통신뿐 아니라 숙박, 교통, 군 기반시설 등 여러 분야에 걸쳐 있었다. 미국을 포함한 여러 나라 사이버 기관은 같은 시기 공동 권고문을 내고 중국 기반 기업들이 이 조직을 뒷받침한다고 지목했다. 사건이 발생한 지 1년 가까이 지났음에도 침투 전모는 완전히 파악되지 않았다는 평가가 나왔다. 이 발표는 사건이 단일 통신사 해킹이 아니라 글로벌 인프라 침투라는 점을 확인시켰다.

2025년 11월 연방통신위원회는 공화당 다수 의결로 1월에 채택한 통신사 사이버보안 의무 결정을 철회했다. FCC 측은 해당 결정이 법적 근거가 약하고 업계가 자율적으로 보안을 강화하는 편이 낫다는 입장을 폈다. 반면 보안 전문가와 민주당 위원들은 솔트 타이푼 해킹이 끝나지 않은 상황에서 규제를 거두는 것은 위험하다고 비판했다. 이로써 사건 이후 마련된 첫 규제 장치가 1년이 안 되어 후퇴했다. 이후에도 통신 네트워크 보안 책임 소재를 둘러싼 논쟁은 계속되고 있다.