미 법무부, NASA·연준 ‘해킹 피해’ 표현 정정…‘표적’으로 수정

이용자에게 미치는 영향

해킹 시도와 침해 성공은 피해 범위가 다르다. 공격자가 취약점을 탐색하거나 접속을 시도했더라도 시스템에 들어가 자료를 빼내지 못했다면 ‘피해 기관’으로 단정할 수 없다. 법무부의 정정은 QTFY가 겨냥한 기관 목록 자체를 철회한 것이 아니라, 모든 기관이 실제 침해됐다는 기존 인상을 좁혔다. 로이터는 이번 수정으로 정부가 확인한 침해 범위가 당초 발표보다 제한됐다고 보도했다.

변화가 진행된 과정

미 법무부와 FBI는 8월 26일 QScan과 QTRouter라는 해킹 플랫폼에 사용된 인터넷 도메인을 법원 허가로 압수했다고 발표했다. QTFY가 2018년 이후 미국 정부와 주요 기반시설을 겨냥했다는 게 수사기관의 주장이다. 28일 법무부는 보도자료 하단에 수정 사실을 알리고 여러 기관을 ‘victims’가 아니라 ‘targets’로 표현했다. 법무부는 최초 자료가 모든 기관을 피해자로 묘사했지만, 영장 진술서는 일부만 침해됐다고 구분한다고 로이터에 설명했다.

확인된 사실과 남은 부분

법무부 공식 자료에서 보도자료 수정과 ‘표적’ 표현을 확인했고, 로이터는 정정 전후 문구와 법무부 설명을 보도했다. FBI·NSA·사이버국가임무부대의 공동 권고문도 QTFY가 정부·국방·통신·에너지·IT 부문을 겨냥했다고 적고 있다. 다만 어떤 기관이 실제 침해됐고 어떤 기관은 시도에 그쳤는지 전체 목록은 공개되지 않았다.

중국 측은 미국의 관련 주장을 부인했다. 이 기사는 양측 주장을 확정 사실과 분리했다.

다음 업데이트와 확인할 점

조직의 보안 담당자는 공동 권고문에 공개된 침해지표와 완화 조치를 별도로 점검할 수 있다. 핵심은 NASA·연준·상원 등이 공격 대상 목록에 포함됐다는 점은 유지됐지만, 모두 실제 해킹 피해를 입었다는 표현은 공식적으로 정정됐다는 것이다.