솔트 타이푼

**솔트 타이푼(Salt Typhoon)**은 중국 정부와 연계된 것으로 추정되는 지능형 지속 위협(Advanced Persistent Threat, APT) 조직이다. 이 집단은 중국의 정보기관인 Ministry of State Security(MSS)와 관련된 것으로 널리 알려져 있다.

이 조직은 주로 미국을 대상으로 한 대규모 사이버 첩보 활동을 수행하며, 방첩 관련 기관과 주요 기업을 대상으로 한 정보 수집과 지적 재산권 탈취 활동에 중점을 두고 있는 것으로 알려져 있다. 현재까지 80개국 이상에서 200개가 넘는 조직을 공격 대상으로 삼은 것으로 보고되었다.

전 미국 국가안보국 분석가 Terry Dunlap은 이를 “중국의 100년 전략을 구성하는 핵심 요소”라고 평가하였다.

## 배후 및 관련
솔트 타이푼은 중국 정보기관인 Ministry of State Security(MSS)가 배후에 있는 것으로 알려져 있다. 이 기관은 중국의 주요 대외 정보기관이자 비밀경찰 기능을 수행하는 조직으로 평가된다.

이에 대해 뉴질랜드 주재 중국 대사관은 이러한 주장에 대해 “근거 없고 무책임한 비방과 중상모략”이라며 모든 혐의를 부인하였다.

사이버 보안 기업 Trend Micro에 따르면, 솔트 타이푼은 명확한 역할 분담을 갖춘 조직화된 집단으로, 지역과 산업 분야별로 구분된 여러 행위자들이 공격을 수행하는 구조를 가지고 있는 것으로 분석된다. 이러한 구조는 해당 조직의 작전이 상당히 체계적이고 복잡하게 운영되고 있음을 시사한다.

보고에 따르면 이들의 사이버 공격 활동은 최소 2023년부터 시작된 것으로 추정된다.

## 활동

### 2023~2024년: 통신사 해킹
2024년 9월 미국 통신 시스템을 대상으로 한 대규모 사이버 공격이 처음으로 보도되었다. 미국 정부 관계자들은 해당 작전이 발견되기 약 1~2년 전부터 진행되고 있었으며, 유럽과 인도-태평양 지역을 포함한 수십 개 국가가 피해를 입은 것으로 보인다고 밝혔다.

이 작전은 중국 정부와 연계된 것으로 추정되는 스파이 활동으로, 주요 정부 관계자와 기업의 지적 재산을 목표로 한 것으로 분석되었다.

2024년 말에는 솔트 타이푼과 연계된 해커들이 미국의 9개 통신사 시스템에 침투한 사실이 공개되었다. 피해를 입은 통신사는 다음과 같다.

* Verizon
* AT&T
* T-Mobile
* Spectrum
* Lumen Technologies
* Consolidated Communications
* Windstream Holdings

이 공격은 광대역 네트워크와 같은 인터넷 핵심 인프라를 목표로 했으며, 특히 Cisco 라우터 등 네트워크 장비의 취약점을 활용한 것으로 알려졌다.

2024년 10월에는 해커들이 미국 법 집행기관이 법원 승인 도청을 수행할 때 사용하는 인터넷 서비스 제공업체(ISP)의 시스템을 장악한 사실이 밝혀졌다.

탈취된 데이터에는 다음과 같은 정보가 포함된 것으로 알려졌다.

* 100만 명 이상 사용자의 통화 및 문자 메시지 메타데이터
* 통화 시간, IP 주소, 전화번호 등 연결 정보
* 워싱턴 D.C. 지역 이용자 데이터 집중

또한 일부 고위 인사의 통화 녹음도 확보된 것으로 보고되었으며,  여기에는 당시 부통령 후보였던 **Kamala Harris** 캠페인 관계자와 전 대통령 도널드 트럼프, 상원의원 JD 밴스 등이 포함된 것으로 알려졌다.

미국 백악관 부 국가안보보좌관 Anne Neuberger는 직접적으로 접근된 데이터의 “대다수가 정부 관심 대상”이었다고 밝혔다.

2025년 이후에는 다음과 같은 후속 조치가 이루어졌다.

* 2025년 3월: 미국 의회가 국토안보부(DHS) 문서 제출을 요구
* 트럼프 2기 행정부에서 사이버안전검토위원회 해체
* 2025년 4월: 미 연방수사국(FBI)이 1,000만 달러 현상금 발표
* 2025년 12월: Verizon과 AT&T가 침입 차단 완료를 발표

2024년 12월, Verizon과 AT&T는 해당 사건에 대한 대응 조치를 완료했으며 공격자가 더 이상 자사 네트워크에 접근하지 못한다고 발표했다.

2025년 6월 12일, 상원 상무·과학·교통위원회(Senate Committee on Commerce, Science and Transportation) 간사인 Maria Cantwell 상원의원은 AT&T와 Verizon의 최고경영자에게 서한을 보내 두 회사에서 수행된 사이버 보안 조사에 대한 상세한 정보를 제출할 것을 요청했다.

캔트웰 의원은 공격자가 침입할 수 있었던 모든 취약점 목록, 이에 대한 대응 및 보완 계획, 그리고 솔트 타이푼이 더 이상 두 회사의 네트워크에 존재하지 않는다는 주장을 뒷받침하는 자료의 제출을 요구했다.

약 8개월 뒤인 2026년 2월, Maria Cantwell 상원의원은 상원 상무·과학·교통위원회 위원장인 테드 크루즈에게 서한을 보내 AT&T와 Verizon의 최고경영자들을 대상으로 현재 네트워크 보안 상태와 관련한 청문회를 개최할 것을 요청했다.

서한에 따르면 두 회사는 보안 평가를 수행하기 위해 Mandiant를 고용했지만, 평가 결과로 작성된 보고서는 요청 이후에도 제출되지 않은 것으로 전해졌다.

### 2024~2025년: 주 방위군 및 의회 해킹
2025년 6월 11일 미국 국토안보부는 “Salt Typhoon: Data Theft Likely Signals Expanded Targeting”이라는 보고서를 발표하였다. 이 보고서는 한 주의 육군 주 방위군 네트워크가 침해된 사실을 확인하였다.

2025년 8월에는 미국 FBI가 80개국 이상에서 200개 이상의 기업이 해킹 피해를 입은 사실을 확인하였다.

2025년 12월에는 미국 하원의 여러 위원회 시스템이 침해되었으며, 이 공격 역시 솔트 타이푼과 관련된 것으로 평가되었다.

### 호주
2025년 11월, 호주 보안정보국(Australian Security Intelligence Organisation) 국장 Mike Burgess는 중국 정부 및 군과 연계된 해커들이 호주의 핵심 인프라, 특히 통신망에 접근하려 시도했다고 밝혔다.

그는 솔트 타이푼과 Volt Typhoon을 언급하며, 미국에서 발견된 것과 유사한 스파이 활동과 사보타주 가능성이 호주에서도 탐지되고 있다고 경고했다.

## 공격 대상
*[[뉴욕 타임스|The New York Times]]*에 따르면 솔트 타이푼은 주로 방첩 관련 기관을 공격 대상으로 삼는 점에서 특징적이다.

미국의 인터넷 서비스 제공업체 외에도 슬로바키아의 사이버 보안 기업 ESET은 이 조직이 전 세계의 호텔과 정부 기관 네트워크에 침투한 사례가 있다고 밝혔다.

보고된 사례로는 다음과 같은 사건이 있다.

* 2025년 2월: 이름이 공개되지 않은 캐나다 통신사 침해
* 2025년 6월: 미국 위성 통신 기업 Viasat 피해 확인

## 공격 방식
솔트 타이푼은 보안 기업 Kaspersky Lab이 *Demodex* 라고 명명한 Windows kernel mode rootkit을 사용하여 목표 서버에 대한 원격 제어 권한을 확보하는 것으로 알려져 있다.

이 조직은 탐지를 회피하기 위해 반포렌식(anti-forensic) 및 반분석(anti-analysis) 기법을 정교하게 활용하는 것으로 분석된다.

### 초기 접근
솔트 타이푼은 방화벽, 라우터, VPN 장비에 존재하는 공개된 취약점을 악용하여 초기 접근 권한을 확보하는 방식이 자주 관찰되었다.

보고에 따르면 대표적으로 다음과 같은 취약점이 활용된 것으로 보고되었다.

### 시스템 유지
솔트 타이푼은 장기간 시스템 접근을 유지하고 탐지를 피하기 위해 다양한 방법을 사용하는 것으로 알려져 있다. 대표적으로 다음과 같은 방법이 보고되었다.

* 접근 제어 목록(ACL) 수정
* SSH·RDP·FTP 서비스 노출
* 네트워크 장비에서 GRE 또는 IPsec 터널 생성
* Cisco 장비의 Linux 컨테이너(Guest Shell)를 통한 명령 실행
* 오픈소스 멀티홉 피벗팅 도구를 이용한 C2 명령 전달

## 연계 조직
일부 기업들은 중국 정보기관과 협력하여 사이버 서비스와 기술을 제공한 것으로 지목되었다.

* Sichuan Juxinhe Network Technology Co. Ltd.
* Beijing Huanyu Tianqiong Information Technology Co., Ltd.
* Sichuan Zhixin Ruijie Network Technology Co., Ltd.

2025년 1월 17일 미국 재무부는 Sichuan Juxinhe Network Technology Co. Ltd.에 제재를 부과하였다. 이 기업은 미국 통신사와 인터넷 서비스 제공업체에 대한 침입 활동에 관여한 것으로 지목되었다.

## 명칭
솔트 타이푼이라는 명칭은 마이크로소프트가 부여한 이름으로, 현재 가장 널리 사용되는 명칭이다.

다른 보안 기업에서는 다음과 같은 이름으로 이 조직을 지칭한다.

* Trend Micro: Earth Estrie
* Kaspersky Lab: Ghost Emperor
* ESET: FamousSparrow
* Mandiant: UNC2286

## 같이 보기
* 중국의 정보 작전 및 정보전

## 각주

분류:오스트레일리아-중국 관계
분류:2020년대 해킹
분류:미국-중국 관계