중국 정부를 위해 해킹을 수행한 혐의를 받는 쉬저웨이(Xu Zewei)가 이탈리아에서 미국으로 송환됐고, 미국 법원에서 무죄를 주장했습니다.1 미국은 그가 2020~2021년 미국 대학과 연구기관의 코로나19 연구를 노렸고, 이후 하프늄(Hafnium)으로 알려진 마이크로소프트 익스체인지 서버 공격에도 관여했다고 보고 있습니다.2
이 사건이 중요한 이유는 범죄 서사 자체보다, 국가연계 해킹이 더 이상 "해외에만 있으면 사실상 안전한 일"로 끝나지 않을 수 있음을 보여주기 때문입니다. 기술적 익명성만으로는 충분하지 않고, 여행 동선, 공항, 사법 공조, 클라우드 로그, 기소 전략이 한 지점에서 만나면 개인 신병 리스크로 바뀝니다.
'국가가 뒤에 있으면 안전하다'는 가정이 약해지고 있다
많은 국가연계 해킹 사건은 공개 비난, 제재, 기소로 끝나고 피의자는 자국 밖에 거의 나오지 않습니다. 그래서 실무자들 사이에는 "적발돼도 현실적 처벌은 어렵다"는 냉소가 있었습니다.
그런데 쉬저웨이 사건은 다른 그림을 보여줍니다. 그는 2025년 밀라노 말펜사 공항에서 체포됐고, 이탈리아 법원 절차를 거쳐 미국으로 넘겨졌습니다.3 핵심은 해킹 현장이 아니라 이동 경로였습니다. 즉, 법 집행의 약점은 사이버 공간이 아니라 국경 통과 순간일 수 있습니다.
여기서 바뀌는 것은 해커 개인의 위험 모델만이 아닙니다. 민간 계약업체를 통해 국가가 작업을 외주화하는 구조라면, 해당 인력은 외교적 보호의 바깥쪽에 놓이기 쉽습니다. 미국은 쉬저웨이가 상하이의 한 회사에서 일하며 중국 국가안전부 계열 지시를 받았다고 주장합니다.2 이게 사실로 입증될지는 재판에서 다퉈질 문제지만, 적어도 수사기관은 "국가 대 국가"가 아니라 "개인 피고인" 구조로 사건을 만들고 있습니다.
국제 송환이 가능한 사이버 사건은 어떻게 만들어지나
사이버 사건에서 "누가 했다"는 공개 귀속과, "체포 가능한 사건" 사이에는 큰 차이가 있습니다. 후자에는 몇 가지 현실 조건이 필요합니다.
첫째, 기술 흔적이 사람으로 이어져야 합니다. 이번 사건에서 미국은 단순히 중국발 공격이라고만 말하지 않았습니다. 특정 시기, 특정 표적, 익스체인지 취약점 악용, 그리고 상급자에게 보낸 보고 정황까지 제시했습니다.4 이런 사건은 보통 피해기관 로그, 이메일 접근 기록, 인프라 재사용, 계정 운영 패턴이 겹쳐질 때 기소 가능성이 높아집니다.
둘째, 체포 가능한 관할이 있어야 합니다. 쉬저웨이의 체포는 미국 영토가 아니라 이탈리아 공항에서 이뤄졌습니다.3 즉, 실무적으로는 "누구를 특정했는가"만큼 "그 사람이 어디를 경유하는가"가 중요합니다. 사이버 수사에서 여권 사용, 출장, 환승, 가족 여행 같은 비기술적 변수는 생각보다 결정적입니다.
셋째, 혐의 구성이 송환 친화적이어야 합니다. 보도에 따르면 그는 공모, 무단침입, 컴퓨터 사기, 신원도용, 전신사기 등으로 기소됐습니다.1 이런 구성은 국가안보 프레임만보다 일반 형사범죄 프레임을 강화합니다. 외교적 공방이 있더라도 법원은 조약과 범죄 구성요건으로 판단하기 쉬워집니다.
물론 한계도 있습니다. 모든 국가연계 해커가 이렇게 잡히는 것은 아닙니다. 자국에 머물고 우호적 제3국을 피하면 현실적 리스크는 여전히 낮습니다. 또 피고인은 오인 체포를 주장하고 있고, 중국 정부도 정치적 동기라고 반발합니다.13 그래서 이 사건을 "사이버 면책의 종말"로 과장하면 안 됩니다. 더 정확한 표현은 이렇습니다. 면책이 사라진 게 아니라, 이동 가능한 개인에게만 불연속적으로 깨지기 시작했다는 것입니다.
보안팀과 연구기관이 지금 바꿔야 할 것
이 뉴스의 직접 수혜자는 수사기관이 아니라 방어 조직일 수 있습니다. 특히 대학, 병원, 제약, 반도체, 국방 협력 연구소처럼 연구 가치가 높고 보안 운영은 상대적으로 분산된 조직이 그렇습니다.
첫째, 침해사고 대응을 "복구 중심"에서 "증거 보존 포함"으로 바꿔야 합니다. 나중에 형사 사건으로 이어지려면 VPN 로그, 메일 접근 기록, 클라우드 감사 로그, EDR 텔레메트리, 관리자 변경 이력 같은 자료가 살아 있어야 합니다. 너무 빨리 지우면 조직은 정상화될지 몰라도 사건은 사라집니다.
둘째, 익스체인지 같은 고위험 인프라의 패치와 외부 노출 점검은 여전히 기본입니다. 하프늄 공격은 수만 개 조직을 겨냥했고 미국 내 1만2700곳 이상이 피해를 본 것으로 미 법무부와 FBI는 보고 있습니다.14 오래된 취약점이라도 공격 가치가 큰 환경에선 계속 재활용됩니다.
셋째, 법무·IR·경영진이 같은 그림을 봐야 합니다. 국가연계 공격은 평판, 규제, 외교, 보험, 수사 협조가 동시에 얽힙니다. "우리가 당했는가"만이 아니라 "나중에 입증 가능한가"까지 운영 기준에 넣어야 합니다.
자주 놓치는 대상: 국경을 넘는 기술 인력의 현실적 위험
이 사건은 해커만의 이야기가 아닙니다. 국제 이동이 잦은 기술 인력, 보안 연구자, MSP 종사자, 해외 고객을 상대하는 엔지니어도 봐야 합니다.
핵심은 공포가 아니라 연계성입니다. 과거 소속 회사, 접근했던 시스템, 제재 대상과의 업무 관계, 회사 계정과 개인 기기의 혼용, 특정 고객 프로젝트 참여 이력은 국경을 넘을 때 예상 밖의 질문으로 돌아올 수 있습니다. 대부분의 사람에게 이런 위험은 낮지만, 특정 수사와 연결된 인물이라면 기술 실력보다 이동 계획이 더 큰 변수입니다.
따라서 조직은 고위험 지역 출장자에게 단순한 여행 보안 수칙만 줄 것이 아니라, 법적 노출과 디바이스 분리, 계정 위생, 보존 의무, 조사 대응 프로토콜까지 포함한 지침을 제공해야 합니다. 개인도 "나는 직접 공격 안 했다"는 직관만 믿기보다, 자신이 어떤 인프라·계정·조직과 연결돼 보일 수 있는지 점검할 필요가 있습니다.
쉬저웨이 송환이 당장 모든 국가연계 해커의 행동을 바꾸지는 않을 겁니다. 하지만 한 가지는 분명해졌습니다. 사이버 작전의 위험은 더 이상 키보드 뒤에만 머물지 않습니다. 연구 데이터를 다루는 조직, 국제 이동이 잦은 기술 인력, 그리고 국가연계 위협을 "어차피 못 잡는다"고 여겼던 경영진이라면 이제 판단 기준을 바꿔야 합니다. 익명성보다 이동성, 공격 지표보다 증거 보존, 지정학 뉴스보다 사법 공조의 실제 작동 방식을 더 유심히 볼 시점입니다.
참고
1Hacker who allegedly carried out cyberattacks for China is extradited to US
2Italy extradites 'dangerous foreign hacker' from China wanted by US authorities
3Italy extradites alleged Chinese hacker to US accused of spying for Beijing during COVID-19 pandemic
4Chinese national arrested in Milan after US issues arrest warrant for Hafnium attacks
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.