Hafnium 캠페인 피고인에 대한 정보 제공자에게 최대 1,000만 달러 보상금을 제시한 미국

미국 국무부는 Microsoft Exchange 서버를 표적으로 삼은 Hafnium 캠페인에 가담한 혐의를 당국으로부터 받고 있는 중국 국적자 Zhang Yu에 관한 정보에 대해 최대 1,000만 달러의 보상금을 제시했다고 발표했다. 피고인은 여전히 당국의 수중에 들어오지 않은 상태다.

이번 발표는 정의를 위한 보상(Rewards for Justice) 프로그램을 통해 이뤄졌다. 이 프로그램은 외국 정부의 지시나 통제하에 작전을 수행하면서 컴퓨터 사기 및 남용 방지법을 위반해 미국의 핵심 기반시설을 공격하는 사람들에 관한 정보를 얻기 위해 보상금을 지급한다.

광범위한 침해와 관련된 혐의

Zhang은 2025년 7월 공개된 9개 혐의의 기소장에서 Xu Zewei와 함께 기소됐다. 미국 당국은 두 사람이 2020년 초부터 민감한 정보를 훔칠 목적으로 미국 대학과 면역학 및 바이러스학 연구자들이 보유한 코로나19 팬데믹 관련 연구에 무단으로 접근했다고 밝혔다.

미국 프로그램에 따르면 Zhang은 Shanghai Firetech Information Science and Technology Company의 관리자였으며, 중국 국가안전부 산하 상하이 국가안전국을 위해 일한 것으로 추정된다. 또한 혐의 내용은 당시 Xu가 Shanghai Powerock Network Co. Ltd.의 총책임자였다고 지적했다.

이듬해 두 사람은 Hafnium 캠페인의 일환으로 Microsoft Exchange의 취약점을 악용한 혐의를 받았다. 당국은 이 캠페인이 전 세계 수천 대의 컴퓨터를 감염시켰으며, 피해자에는 미국의 한 대학과 미국의 한 로펌도 포함됐다고 밝혔다.

이 소식이 중요한 이유는?

이번 새로운 보상금은 이 사건이 과거 해킹 캠페인에 대한 기술적 규정에만 그치지 않고, 다수의 기관에 영향을 미친 작전에 직접적인 역할을 한 것으로 여겨지는 사람을 대상으로 한 국제 형사 추적 단계로 넘어갔음을 보여준다. Microsoft는 2021년 3월 Hafnium 공격을 공개했으며, 현재 해당 세력은 Silk Typhoon이라는 이름으로 추적되고 있다.

미국 연방수사국에 따르면 이 캠페인으로 미국 내 12,700곳이 넘는 기관이 침해됐다. 이는 보안팀에 실질적인 중요성을 부여한다. 기업 이메일 서버를 악용하면 서버 자체가 작전의 최종 목표가 아닌 경우에도 통신 데이터와 내부 파일에 접근할 수 있는 길이 열릴 수 있기 때문이다.

사건의 전개

이탈리아 경찰은 미국의 요청에 따라 밀라노에서 Xu를 체포했으며, Xu는 2026년 4월 미국으로 인도됐다. 이후 Xu는 휴스턴 연방법원에 출석했지만 Zhang은 여전히 잠적한 상태다. 보상금 제시만으로 Zhang에게 제기된 혐의가 입증되는 것은 아니며, 혐의는 재판 절차의 대상이다.