中 SW 취약성 보고하지 않고 무기화하려 한다?

마이크로소프트는 중국에서 제정된 2021년 법률에 따라 중국 사이버 공격 능력이 향상됐다고 지적한다. 이 법에선 정부가 현지 보고를 이용해 취약성에 관한 정보를 확보할 수 있다고 한다. 2022년에는 애틀랜틱카운슬 연구팀이 중국에서 보고된 취약성 감소와 익명 보고 증가를 발견했다. 마이크로소프트가 11월 4일 발표한 보고서(2022 Digital Defense Report)에선 이 법에 의해 중국 정부가 취약성을 무기로 할 수 있게 될 우려가 있다고 지적되고 있다. 마이크로소프트는 또 지난 1년간 중국에 본사를 둔 사이버 테러리스트의 제로데이 공격이 증가하고 있는 건 중국 보안 커뮤니티가 취약성 공개를 의무화하고 제로데이 공격이 국가 우선순위로 이용되기 됐기 때문으로 생각된다고 발표하고 있다.

마이크로소프트에 따르면 중국 정부는 동남아시아 국가에서 영향력을 높이려는 미국에 대항하기 위해 스파이 행위와 정보 해킹 등 사이버 공격을 강화했다고 한다. 또 중국 정부가 지원하는 다양한 테러리스트와 관련 사이버 공격에 대한 몇 가지 예가 다뤄지고 있다.

예를 들어 동남아시아 정부간 조직이 미국 정부와 동남아시아 지역 지도자와 회담을 발표했을 때 정부간 조직 100개 계정이 APT 공격을 하는 범죄 조직 중 하나인 GALLIUM에 표적이 됐다. 또 솔로몬제도와 중국이 군사 협정을 체결했을 때 정보 수집을 목적으로 솔로몬제도 정부 시스템과 파푸아뉴기니 통신 네트워크가 침입된 사례도 들 수 있다.

마이크로소프트는 또 중국을 포함한 세계적인 경향으로 중요한 인프라를 표적으로 한 국가적 사이버 공격이 2021년 20%에서 2022년에는 40%로 증가했다고 보고하며 대부분 공격은 러시아가 우크라이나를 목표로 한 것이라고 한다.

더구나 이란은 지정학적 관계 악화에 따라 이스라엘과 EU, 미국 항만 당국에 대한 사이버 공격을 전개했다. 한편 북한은 금융기관과 하이테크 기업에서 암호화폐를 훔쳐 항공우주산업과 연구자에게 사이버 공격을 했다. 또 전 세계 보도기관 액세스를 시도했다고 한다. 관련 내용은 이곳에서 확인할 수 있다.