중국 해커들은 왜 IoT 기기를 공격의 ‘위장망’으로 삼았나

미국 법무부와 FBI가 중국 국가 지원 해커들이 사용한 해킹 플랫폼을 압수했다.

미 법무부는 2026년 8월 26일, 법원 허가를 받아 ‘QScan’과 ‘QTRouter’로 알려진 두 개의 보완적 해킹 플랫폼 관련 도메인을 압수했다고 밝혔다. 이 플랫폼들은 미국 핵심 인프라와 민감한 네트워크를 겨냥하는 데 사용된 것으로 설명됐다.

표면적으로는 도메인 압수 사건이다.

하지만 본질은 더 크다. 이번 조치는 중국계 국가 지원 해커들이 단순히 악성코드를 유포한 사건이 아니라, 전 세계 IoT 기기와 상업용 프록시, 임대 가상서버를 엮어 공격 출처를 숨기는 사이버 작전 인프라를 운영했다는 점을 드러낸다.

미 법무부에 따르면 이 플랫폼을 만든 조직은 ‘QTFY’로 불리는 중국 국가 지원 그룹이다. 법원 문서상 이 그룹은 중국 난징 소재 난징신지우웨이네트워크기술유한공사와 관련된 것으로 제시됐다. QTFY는 중국 국가안전부와 인민해방군을 포함한 유료 고객에게 컴퓨터 해킹 서비스를 제공한 것으로 법무부는 설명했다.

QTFY의 표적에는 NASA, 연방준비제도, 에너지부, 법무부, 보건복지부, 국립보건원, 미국 상원 등이 포함됐다고 발표됐다.

이번 사건의 핵심은 QScan과 QTRouter의 역할이다.

QScan은 전 세계 인터넷에 연결된 IoT 기기를 스캔하고 자동 감염시키는 도구로 설명됐다. 감염된 기기들은 QTRouter 네트워크에 편입됐다. QTRouter는 이렇게 장악된 IoT 기기와 상업용 프록시 서비스 기기, 임대 VPS를 결합한 은닉 네트워크로 작동했다.

즉 QScan은 감염을 만들고, QTRouter는 그 감염된 기기들을 공격 은닉망으로 활용했다.

이 구조는 사이버 작전에서 매우 중요하다. 공격자가 미국 기관을 직접 공격할 때 중국에서 접속한 흔적이 그대로 남으면 추적과 차단이 쉬워진다. 그러나 감염된 IoT 기기나 제3국 프록시, 목표 기관 근처에 있는 기기를 경유하면 공격 트래픽은 중국이 아니라 다른 지역의 정상 기기에서 온 것처럼 보일 수 있다.

공격자는 악성 행위를 숨기기 위해 남의 기기를 길목으로 삼는다.

이것이 QTRouter의 의미다. 단순한 봇넷이 아니라, 공격 출처를 감추기 위한 작전형 위장망이다.

미 법무부는 압수된 도메인들이 QScan과 QTRouter 악성코드 안에 하드코딩돼 있었고, 통신과 인증 같은 필수 기능에 사용됐다고 밝혔다. 따라서 법원 허가에 따른 도메인 압수로 두 플랫폼이 작동 불능 상태가 됐다고 설명했다.

사이버 작전에서 도메인은 단순 주소가 아니다. 명령·제어 서버와 통신하고, 감염 기기를 인증하며, 다음 행동을 지시하는 연결점이다. 악성코드가 그 도메인에 의존한다면, 도메인을 빼앗는 것은 공격자의 신경망을 끊는 것과 같다.

이번 조치가 ‘공세적 법집행’으로 해석되는 이유다.

과거 사이버 수사는 공격자를 식별하고 기소하는 데 초점이 있었다. 그러나 국가 지원 해커나 해외 기반 조직은 체포가 쉽지 않다. 이들이 사용하는 인프라는 여러 국가에 분산돼 있고, 실제 운영자는 법집행이 닿기 어려운 곳에 있을 수 있다.

그래서 미국은 최근 몇 년간 공격자 인프라를 직접 무력화하는 방식을 반복하고 있다.

2023년에는 중국 지원 해킹그룹 Volt Typhoon이 미국과 해외 핵심 인프라 침해를 숨기는 데 사용한 봇넷을 중단시켰다. 2024년에는 Flax Typhoon이 중국 정부 고객에게 제공하던 수십만 대 규모의 IoT 봇넷을 비활성화했다. 2025년에는 Mustang Panda가 사용한 PlugX 감시 악성코드를 4,000대 이상 미국 컴퓨터에서 제거했다. 이번 QScan·QTRouter 압수는 그 연장선에 있다.

미국의 메시지는 분명하다.

중국계 해커의 작전을 단순히 방어만 하지 않겠다.
감염 인프라를 찾아내고, 도메인을 압수하고, 봇넷을 끊고, 공격 비용을 높이겠다.

이 접근은 사이버 안보 전략의 변화를 보여준다.

사이버 방어는 더 이상 피해 기관 내부에서만 이뤄지지 않는다. 공격자가 사용하는 중간 인프라, 명령제어 도메인, 프록시망, 감염된 IoT 기기, 상업용 서비스까지 법집행과 기술작전의 대상이 된다. 공격자가 숨어드는 공간을 줄이는 것이 핵심이다.

특히 IoT 기기는 국가 지원 해킹 작전에서 반복적으로 활용되고 있다.

가정용 라우터, CCTV, 네트워크 저장장치, 소형 서버, 방치된 인터넷 연결 장비는 보안 업데이트가 늦고 관리자가 상태를 잘 모르는 경우가 많다. 한 번 감염되면 오랫동안 발견되지 않을 수 있다. 공격자는 이런 기기를 대량으로 장악해 트래픽을 우회시키고, 실제 공격 주체를 숨긴다.

IoT 봇넷은 과거에는 주로 디도스 공격과 연결됐다. 그러나 지금은 더 정교한 목적에 쓰인다. 국가 지원 해커들은 감염된 IoT 기기를 통해 정찰, 침투, 자격증명 탈취, 내부 이동, 데이터 유출 시도를 감춘다. 공격 트래픽이 피해 기관 인근의 정상 가정용 기기나 상업용 프록시에서 온 것처럼 보이면 탐지는 훨씬 어려워진다.

이것은 핵심 인프라 방어에 큰 부담을 준다.

공격자가 중국 IP에서 접속하지 않는다면 단순 지리 기반 차단은 통하지 않는다. 공격자가 전 세계 감염 기기를 경유한다면 방어자는 행위 기반 탐지와 인증 이상 징후, 세션 패턴, 장기적 로그 분석에 의존해야 한다. 위협 인텔리전스와 법집행기관의 인프라 차단이 결합돼야 한다.

이번 사건에서 표적으로 거론된 기관들도 상징적이다.

NASA, 연방준비제도, 에너지부, 법무부, 보건복지부, 국립보건원, 미국 상원은 모두 미국 국가 기능의 핵심과 연결돼 있다. 우주, 금융, 에너지, 사법, 보건, 연구, 입법 기관이 모두 포함된다. 이는 중국계 사이버 작전의 관심이 군사 영역에만 국한되지 않는다는 점을 보여준다.

국가 지원 사이버 작전은 군사 기밀만 노리지 않는다.

정책 결정 정보.
기술 연구 데이터.
보건·바이오 정보.
금융 시스템 관련 정보.
에너지 인프라 정보.
의회와 정부기관의 내부 커뮤니케이션.

이 모든 것이 전략적 가치가 될 수 있다.

QTFY가 중국 국가안전부와 인민해방군을 포함한 고객에게 해킹 서비스를 제공했다는 법무부 설명은 또 다른 변화를 보여준다. 국가 지원 사이버 활동이 항상 정부 조직 내부에서만 이뤄지는 것은 아니다. 민간 또는 준민간 기술회사가 해킹 서비스를 제공하고, 국가기관이 이를 활용하는 형태가 나타난다.

이는 ‘국가-민간 혼합형’ 사이버 생태계다.

정부기관은 목표와 수요를 제공하고, 민간 기술 조직은 도구와 인프라, 운영 역량을 제공한다. 이런 구조는 국가가 직접 책임을 회피하기 쉽게 만들고, 동시에 기술개발과 작전 확장성을 높인다. 공격자는 기업처럼 움직이고, 고객에게 서비스를 제공하며, 여러 작전에 재사용 가능한 플랫폼을 운영한다.

이 점에서 QScan과 QTRouter는 단순 악성코드가 아니라 서비스형 해킹 인프라에 가깝다.

QScan은 감염 대상을 찾고 확장한다.
QTRouter는 감염된 기기와 프록시를 묶어 은닉망을 제공한다.
고객은 이 인프라를 이용해 침투 활동의 출처를 숨긴다.

공격 인프라가 플랫폼화되고 있는 것이다.

이는 방어자의 사고방식도 바꾼다. 개별 공격 캠페인만 분석해서는 부족하다. 그 뒤에 반복적으로 쓰이는 인프라, 도메인, 인증체계, 프록시망, 감염기기 모집 방식, 운영 조직을 추적해야 한다. 특정 침해 사건 하나를 해결하는 것이 아니라, 공격자가 다음 공격에 재사용할 기반을 무너뜨려야 한다.

미국 법무부와 FBI가 도메인을 압수한 이유도 여기에 있다.

도메인 압수는 특정 피해 기관의 사고 대응이 아니라 공격 플랫폼 자체를 흔드는 조치다. 악성코드 안에 하드코딩된 필수 도메인을 장악하면, 공격자는 감염망과 통신하거나 인증 절차를 수행하기 어려워진다. 이미 감염된 기기들이 있더라도 지휘체계가 흔들릴 수 있다.

물론 이것이 완전한 종결을 뜻하지는 않는다.

공격자는 새 도메인을 만들고, 새 인프라를 구축하고, 악성코드를 바꿀 수 있다. 봇넷 일부가 살아남을 수도 있다. 그러나 인프라 압수는 공격자에게 비용을 부과한다. 작전을 중단시키고, 시간을 빼앗고, 네트워크를 재구성하게 만들며, 수사기관과 보안업계가 더 많은 지표를 확보할 기회를 만든다.

FBI가 “adversary behavior를 형성한다”고 표현한 것도 이 맥락이다.

사이버 법집행의 목표는 단순히 한 번의 공격을 막는 데 그치지 않는다. 공격자가 더 많은 비용과 위험을 감수하도록 만들고, 작전 지속성을 낮추며, 방어자가 주도권을 일부 회복하는 것이다.

이번 발표는 민간 위협 인텔리전스와의 결합도 보여준다.

법무부는 FBI와 NSA가 QTFY의 악성 사이버 활동에 관한 침해지표를 담은 공동 사이버보안 권고문을 발행했다고 밝혔다. 또한 Lumen Technologies의 Black Lotus Labs가 QTFY의 전술·기술·절차를 분석한 자료를 공개했다고 소개했다.

이 구조는 현대 사이버 방어의 특징이다.

정부는 법집행 권한과 국가안보 정보를 갖고 있다.
민간 보안기업은 글로벌 네트워크 관측과 트래픽 분석 능력을 갖고 있다.
피해 기관은 실제 침해 흔적을 갖고 있다.
통신·클라우드 기업은 인프라 수준의 시야를 갖고 있다.

이 네 가지가 결합돼야 국가 지원 해커의 인프라를 무너뜨릴 수 있다.

한국에도 시사점이 크다.

한국의 정부기관, 방산기업, 에너지·통신·금융·의료·연구기관 역시 국가 지원 해킹의 표적이 될 수 있다. 특히 한국은 미국과 안보·기술·반도체·배터리·AI·방산 공급망으로 깊게 연결돼 있다. 중국계, 북한계, 러시아계 사이버 작전 모두 한국 네트워크를 정찰·침투·우회 경로로 볼 수 있다.

이번 사건에서 중요한 것은 공격의 출처가 눈에 보이는 국가와 다를 수 있다는 점이다.

공격 트래픽이 한국 내 가정용 라우터나 해외 클라우드, 상업용 프록시에서 온다고 해서 그 배후가 단순 범죄조직이라고 단정할 수 없다. 국가 지원 해커는 이미 전 세계 IoT 기기와 프록시망을 이용해 출처를 숨긴다. 따라서 방어자는 IP의 국적보다 행위의 패턴과 인프라의 연결성을 봐야 한다.

공공기관과 기업은 특히 세 가지를 점검해야 한다.

첫째, 인터넷에 노출된 IoT·네트워크 장비 관리다. 라우터, VPN 장비, NAS, CCTV, 원격관리 장비, 소형 서버는 국가 지원 해커들이 선호하는 발판이 될 수 있다. 오래된 펌웨어, 기본 비밀번호, 불필요한 원격접속 포트는 우선 제거해야 한다.

둘째, 프록시·VPN·클라우드 경유 트래픽에 대한 행위 기반 탐지다. 단순 해외 IP 차단으로는 부족하다. 비정상 인증 시도, 평소와 다른 시간대 접근, 기기 지문 변화, 세션 이동, API 호출 패턴, 권한 상승 시도를 함께 봐야 한다.

셋째, 위협 인텔리전스와 침해지표의 운영화다. FBI·NSA나 민간 보안기업이 공개하는 침해지표는 단순 참고자료가 아니다. 방화벽, EDR, SIEM, 클라우드 로그, DNS 로그, 프록시 로그에 실제로 반영돼야 한다. 탐지 규칙으로 바꾸고, 과거 로그를 소급 검색해야 한다.

사이버안보에서 가장 위험한 착각은 “우리는 직접 표적이 아니다”라는 믿음이다.

국가 지원 해커는 직접 표적만 공격하지 않는다. 표적에 접근하기 위한 경유지, 감염망, 은닉 인프라, 공급망, 협력업체, 연구기관을 모두 활용한다. 작은 IoT 기기 하나가 국가 간 사이버 작전의 일부가 될 수 있다.

이번 QScan·QTRouter 사건은 이 현실을 다시 보여준다.

해킹 플랫폼은 더 이상 공격 코드 하나가 아니다. 감염 기기를 모집하고, 트래픽을 위장하고, 고객에게 은닉 경로를 제공하며, 국가 지원 작전에 재사용되는 인프라가 됐다. 사이버전은 코드의 전쟁이면서 동시에 인프라의 전쟁이다.

미국의 대응도 그에 맞춰 변하고 있다.

차단하고, 압수하고, 제거하고, 지표를 공개하고, 민간 보안업계와 함께 공격자의 인프라를 드러낸다. 이는 방어자가 수동적으로 침해를 기다리지 않고, 공격자의 운영 기반을 직접 겨냥하는 방식이다.

그러나 방어의 책임은 정부에만 있지 않다.

감염되는 IoT 기기의 상당수는 기업과 개인, 학교, 연구기관, 중소사업자의 장비일 수 있다. 이 장비가 방치되면 자신도 피해자가 되고, 동시에 다른 기관을 공격하는 발판이 된다. 사이버보안은 이제 조직 내부 보호를 넘어 생태계 책임의 문제가 되고 있다.

업데이트하지 않은 라우터 하나.
방치된 CCTV 하나.
기본 비밀번호가 남아 있는 장비 하나.
폐기되지 않은 원격접속 계정 하나.

이 작은 구멍이 국가 지원 해커의 우회로가 될 수 있다.

이번 사건의 메시지는 선명하다.

중국계 국가 지원 해커들은 더 이상 단순 침투만 하지 않는다. 그들은 전 세계에 흩어진 기기를 감염시키고, 이를 엮어 공격 출처를 숨기는 플랫폼을 운영한다. 그리고 그 플랫폼은 미국 핵심 인프라와 민감한 정부 네트워크를 겨냥하는 데 쓰인다.

사이버 방어의 기준도 바뀌어야 한다.

중요한 것은 우리 시스템이 직접 뚫렸는지뿐만이 아니다. 우리 장비가 누군가의 공격 인프라로 쓰이고 있는지도 봐야 한다. 공격자는 언제나 가장 약한 경로를 찾고, 그 경로는 때로 핵심 시스템이 아니라 방치된 주변 장비에서 시작된다.

핵심 인프라를 지키는 일은 이제 데이터센터 안에서만 이뤄지지 않는다.

전 세계에 흩어진 작은 기기들의 보안에서 시작된다.