검증되지 않은 한 개의 USB가 에어갭을 넘는 순간, 그리고 공급망·조달 관행이라는 진짜 약한 고리
목차
- 요약 (TL;DR)
- 사건 개요 - "느려진 컴퓨터"가 보낸 경고
- 위조 USB의 정체와 침해 메커니즘
- "감사 선물"이라는 서사 - 무엇이 확인됐고 무엇이 미확정인가
- 위협 행위자 귀속 - 절제된 분석
- MITRE ATT&CK 매핑
- 한국에 주는 시사점 (인증 보안USB·보안감사 사각지대 포함)
- 권고 (공공기관·군·정보기관 우선 권고 포함)
- 참고 문헌
요약 (TL;DR)
2026년 6월 25일 니혼게이자이신문(닛케이)은 육상자위대 내부 문서를 입수해, 육상자위대 중부방면총감부(효고현 이타미시)에서 중국계 악성코드에 감염된 위조 USB 메모리가 2024년 봄경부터 2025년 2월까지 약 1년간 기밀 시스템 단말에 연결돼 사용된 사실을 보도했다 [1][2]. 한 대원이 컴퓨터 작동 지연을 발견하고 USB를 점검하면서 우연히 드러났다.
이 사건의 본질은 정교한 제로데이 익스플로잇이 아니라 (1) 검증되지 않은 하드웨어가 조달·등록·사용 단계의 다중 보안 점검을 모두 통과했고, (2) 에어갭(air-gap)으로 분리됐어야 할 기밀망(클로즈계)에 일상적 USB 데이터 이동 관행을 통해 악성코드가 물리적으로 반입됐다는 점이다. 즉 가장 약한 고리는 코드가 아니라 사람과 절차였다.
대중적으로 회자되는 "지자체의 감사 선물이 트로이의 목마가 됐다"는 서사는 매력적이지만, 현재 사실관계로는 절반만 확인된다. 내부 문서는 해당 USB가 2024년 노토반도 지진 재해 파견과 관련해 같은 해 3월 이시카와현으로부터 받은 것으로 기록하고 있으나, 이시카와현은 "USB를 조달했거나 구매비를 지급한 기록이 확인되지 않는다"고 부인하고 있다 [3][4]. 진입 경로는 미확정 상태이며, 본 리포트는 이 불확실성을 의도적으로 분리해 다룬다.
한 줄 요약: 사실상 한미일 군사 동맹 관계에서 폐쇄 군정보 망인 방위정보통신기반에 비인가 USB로 접속했다는 점이 이해가 안된다.
Key Judgments
| # | 판단 | 신뢰도 |
|---|---|---|
| KJ-1 | 위조 USB가 에어갭으로 분리된 기밀망(클로즈계)에 반입된 것은 사실로 확인된다. 회수 USB 8개 중 6개에서 동일 악성코드가 검출됐고, 총감부 PC 약 480대 중 50대 이상에 연결됐으며 그중 절반 가까이가 클로즈계 시스템에 접속됐다. | High |
| KJ-2 | 근본 원인은 신종 익스플로잇이 아니라 운영 통제의 실패다. 백신 검사 대상에서 USB가 제외돼 있었고, 조달·사용 전 점검·내부 등록의 다중 체계가 모두 기능하지 않았다. | High |
| KJ-3 | 실제 기밀 정보 유출 여부는 미확정이다. 자위대는 "시스템에 영향 없음"이라 판단하나, 약 1년의 잠복 기간과 클로즈계 노출을 고려하면 유출 가능성을 단정적으로 배제할 수 없다. | Medium |
| KJ-4 | 진입 경로("이시카와현 선물")는 확정되지 않았다.내부 문서의 수령 기록과 지자체의 조달·지급 기록 부재 진술이 충돌한다. "감사 선물 = 트로이의 목마" 서사는 검증 전까지 단정해서는 안 된다. | Medium |
| KJ-5 | 동일 위조품이 민간에 광범위하게 유통되고 있어 위협은 군에 국한되지 않는다. 닛케이는 Amazon·라쿠텐 상위 100개 제품의 최저평점 후기 약 8,400건을 조사해 바이러스 혼입 의심 사례 최소 25건(일본 2·미국 23)을 확인했다. 의료·교육·제조·금융 등 에어갭+USB 운용 분야 전반이 동일 위험에 노출된다. | Medium-High |
| KJ-6 | 위협 행위자 귀속은 "미국 보안기업이 과거 중국계 그룹 사용 도구로 보고한 유형의 악성코드"라는 유사성에 근거하며, 특정 APT로의 공식 귀속은 없다. 현 단계 귀속 신뢰도는 낮게 유지해야 한다. | Low-Medium |
분석 원칙 (Analyst's Note): 본 사건은 자극적 서사("중국산", "선물", "기밀 유출")가 사실관계를 앞지르기 쉬운 전형적 케이스다. 확인된 것(에어갭 반입·운영 실패)과 미확정인 것(진입 경로·실제 유출·행위자)을 끝까지 구분하는 것이 이 리포트의 1차 목표다.
1. 사건 개요 - "느려진 컴퓨터"가 보낸 경고
발단은 2025년 2월, 육상자위대 중부방면총감부의 한 대원이 자신의 PC 작동이 느려진 것을 발견하고 꽂혀 있던 USB를 점검하면서 시작됐다 [1][2]. 점검 결과 해당 USB에서 악성코드가 발견됐고, 후속 조사에서 동일 악성코드가 담긴 USB가 추가로 확인됐다. 회수한 8개 가운데 6개가 감염 상태였다.
감염 USB는 총감부 조사 대상 PC 약 480대 가운데 50대 이상에 연결된 것으로 확인됐으며, 그중 절반 가까이는 부대 지휘·명령 등 극비 정보를 다루는 클로즈계(폐쇄망) 시스템에 접속돼 있었다 [5][6].
육상자위대 시스템은 방위성·자위대 공통 기반인 DII(방위정보통신기반) 위에 구축돼 있으며, 인터넷에 연결되는 오픈계와 기밀성 높은 클로즈계로 나뉜다. 두 망은 서로 차단(에어갭)돼 있지만, 업무상 자료 이동이 잦아 자위대는 일상적으로 USB를 이용해 양쪽 망 사이에서 데이터를 옮겨왔다. 감염 USB는 바로 이 통로를 타고 에어갭을 넘었다 [5].
육상막료감부(육군본부 격) 홍보실은 닛케이 취재에 "2025년 2월 USB에 악성코드가 포함된 것을 검출한 사실이 있었다"고 인정하면서도 "시스템에 영향은 없었던 것으로 판단한다"고 밝혔다. 동시에 "바이러스 검사 규정이 지켜지지 않은 것은 문제이며 현재는 철저히 시행하고 있다"고 덧붙였다 [6].
2. 위조 USB의 정체와 침해 메커니즘
육상자위대 사이버방호대가 회수품을 분석한 결과는 다음과 같다 [3][5][7].
| 항목 | 내용 |
|---|---|
| 제품 성격 | 중국산 위조품. 정품 메모리 칩 대신 값싸고 느린 마이크로SD 카드가 내장됨 |
| 용량 위장 | PC에서는 1TB로 인식되나 실제 저장 용량은 약 240GB (표기의 1/4) |
| 악성코드 동작 | USB를 PC에 삽입하는 순간 감염 → 정보 탈취 시도 (plug-and-infect) |
| 악성코드 유형 | 미국 보안기업 보고서가 과거 중국계 해커 그룹 사용 도구로 지목한 유형 |
| 침해 규모 | 회수 8개 중 6개 감염, PC 50대 이상 연결, 절반가량 클로즈계 접속 |
| 통제 실패 지점 | 백신 검사 대상에서 USB 제외 + 조달·사용 전 점검·내부 등록 다중 체계 모두 미작동 |
핵심은 하드웨어 자체가 무기화됐다는 점이다. 제조·조립 과정에서 위장 가공과 함께 악성코드를 심는 방식은, 사용자가 어떤 행위를 하기 전에 이미 "꽂는 순간" 침해가 성립하도록 설계됐다. 이는 첨부파일·악성 링크처럼 사용자 클릭을 요구하는 전통적 벡터보다 통제 회피력이 높다.
또한 이 위협 모델은 새롭지 않다. 에어갭으로 보호되던 이란 핵시설 제어 시스템이 USB를 통해 반입된 악성코드(Stuxnet)에 의해 물리적 피해까지 입은 사례 이후, "네트워크에서 분리하면 안전하다"는 명제는 전문가 사이에서 이미 폐기됐다. 물리 매체 반입에 대해서는 에어갭만으로 불충분하다는 점을 이번 사건이 다시 확인했다.
3. "감사 선물"이라는 서사 - 무엇이 확인됐고 무엇이 미확정인가
대중 보도와 칼럼에서 가장 강조되는 대목은 "재난 파견에 대한 지자체의 감사 선물이 안보 위협이 됐다"는 서사다. 이 부분은 정직하게 분해할 필요가 있다.
확인된 것
- 내부 문서에는 해당 USB가 2024년 1월 노토반도 지진 재해 파견과 관련해 중부방면총감부가 같은 해 3월 이시카와현으로부터 받은 것으로 기록돼 있다 [5][7].
- 조달 당시의 구매 기록은 남아 있지 않다.
미확정인 것
- 이시카와현은 "USB를 조달한 사실이나 구매비를 지급한 기록이 확인되지 않는다"고 부인하고 있다 [3][4].
- 따라서 USB가 실제로 지자체 정규 조달을 거쳐 전달됐는지, 아니면 비공식 경로(파견 현장에서의 개별 수령, 잡다한 물품 혼입 등)로 유입됐는지는 현 시점에 확정할 수 없다.
이 구분이 중요한 이유는 두 가지다. 첫째, 책임 소재와 재발 방지 대책의 방향이 달라진다(지자체 조달 검증 강화 vs. 현장 물품 반입 통제 강화). 둘째, CTI 관점에서 "선의의 선물이 표적 공격에 악용됐다"는 의도적 표적화 가설과 "시중 유통 위조품이 우연히 흘러들었다"는 비표적 가설은 위협 수준 평가가 완전히 다르다. 닛케이가 동일 위조품의 광범위한 시중 유통을 확인한 점은 후자(비표적·기회주의적 유입) 가능성을 상대적으로 높인다. 다만 이 역시 단정은 이르다.
요컨대 "트로이의 목마"라는 비유는 결과적 효과를 잘 포착하지만, "누가 의도적으로 보냈는가"라는 질문에 대한 답은 아직 없다.
4. 위협 행위자 귀속 - 절제된 분석
닛케이는 검출된 악성코드가 "미국 보안기업 보고서에서 중국계 해커 그룹이 과거 사용한 것으로 지목된 유형"이며, 해당 그룹이 과거 베트남 등 아시아 국가와 호주의 정부기관·교육기관·통신기업을 표적으로 삼았고 일본으로 표적을 확대했을 가능성이 있다고 전했다 [1][5].
여기서 절제가 필요하다.
- 공개 보도 어디에도 특정 APT 그룹명이 공식 귀속되지 않았다. 근거는 "악성코드 유형의 유사성"에 그친다.
- 베트남·호주 정부/교육/통신을 표적으로 하고 USB 매개 전파 이력을 가진 China-nexus 그룹은 공개 위협 인텔리전스 문헌에 복수 존재한다(예: PlugX 계열 USB 웜 운용으로 알려진 그룹군). 이는 분석가 수준의 가설일 뿐 본 사건과의 직접 연결은 검증되지 않았다. 본 리포트는 특정 그룹명을 단정적으로 부여하지 않는다.
- 동일 위조품의 시중 대량 유통이라는 정황은, 국가 정보기관의 정밀 표적 작전보다 상업적 위조 + 공급망 오염의 기회주의적 결합 가능성을 배제하지 못하게 만든다. 위조 USB의 펌웨어/조립 단계 오염은 특정 표적과 무관하게 대량 살포될 수 있다.
따라서 현 단계 귀속 신뢰도는 Low-Medium으로 유지하며, 추가 IOC(악성코드 해시, C2 인프라, 파일명 패턴) 공개 시 재평가한다. 닛케이는 자위대 USB에서 검출된 바이러스 파일명이 Amazon 후기에 등장한 위조품의 탐지 파일명과 동일했다고 보도한 바 있어, 향후 파일명·해시 기반 클러스터링이 귀속 정교화의 단서가 될 수 있다 [8].
5. MITRE ATT&CK 매핑
확인된 사실관계에 한정해 보수적으로 매핑한다. 미확인 단계는 명시한다.
| 전술 (Tactic) | 기법 (Technique) | 본 사건 적용 | 비고 |
|---|---|---|---|
| Resource Development | T1195.003 Compromise Hardware Supply Chain | 제조·조립 단계에서 위조 USB에 악성코드 삽입 | 확인 (정황) |
| Initial Access | T1091 Replication Through Removable Media | 감염 USB의 기밀망 단말 삽입으로 최초 접근 | 확인 |
| Initial Access | T1200 Hardware Additions | 정품 위장 위조 하드웨어(마이크로SD 내장) 반입 | 확인 |
| Lateral Movement | T1091 Replication Through Removable Media | 오픈계↔클로즈계 USB 이동으로 에어갭 횡단 | 확인 |
| Collection | T1025 Data from Removable Media / T1119 Automated Collection | "정보 탈취" 기능 보고 — 자동 수집 가능성 | 부분 확인 |
| Exfiltration | T1052.001 Exfiltration over USB (Physical Medium) | 물리 매체 경유 반출 가능성 (실제 반출 여부 미확정) | 미확정 |
| Persistence / C2 | (미상) | 공개 정보로는 지속성·C2 메커니즘 판단 불가 | 정보 부족 |
6. 한국에 주는 시사점
이 사건은 일본 고유의 문제가 아니다. 한국 역시 동일한 구조적 노출을 안고 있다.
에어갭+USB 관행의 보편성. 국방·공공·금융·반도체 팹 등 국내 다수 민감 환경은 망분리(에어갭)를 운용하면서도, 망 간 데이터 이동에 USB 등 가반형 매체를 일상적으로 사용한다. 일본 자위대의 실패 패턴(매체 등록·화이트리스트·백신 검사 다중 통제의 형식화)은 한국에서도 충분히 재현 가능하다.
저가 중국산 전자제품 의존. 한국 시장에도 용량 위장·펌웨어 오염 위조 저장장치가 오픈마켓을 통해 대량 유통된다. "보기엔 평범한 싸구려"가 실제로는 내부 구조가 개조돼 악성코드를 품은 사례는 이미 경고돼 왔다. 조달 단가 압박과 현장 편의주의가 결합하면 군·기관도 예외가 아니다.
비표적 위협의 표적화 전환 위험. 시중 유통 위조품이 우연히 흘러드는 비표적 경로라 해도, 동일 메커니즘은 표적 공격으로 전용될 수 있다(특정 조직 주변에 의도적으로 위조품을 살포·증정). 북한·중국 연계 행위자의 공급망 오염 역량을 고려할 때, 한국의 민감 조직 주변 물품 반입 통제는 안보 사안으로 다뤄야 한다.
"선물·증정품"이라는 신뢰 우회 벡터. 진입 경로가 미확정이더라도, 정규 조달을 거치지 않은 외부 물품(기념품, 증정품, 행사 배포물, 협력사 제공 매체)이 검증 없이 내부망에 닿는 관행 자체가 위험이다. 한국 조직도 동일한 사각지대를 점검해야 한다.
6.5 국내 제도 점검 - 인증 보안USB 의무화와 보안감사의 사각지대
한국은 이미 일본보다 강한 제도적 장치를 보유하고 있다. 국가·공공기관은 「국가정보원법」 제4조, 「전자정부법」 제56조, 「국가정보보안기본지침」에 근거한 보안적합성 검증체계를 운용하며, 국가정보원이 정책기관, 국가보안기술연구소(NSR)가 시험기관 역할을 맡는다 [9][10]. 특히보안USB는 자료유출방지·네트워크 장비·가상화 관리·망간 자료전송 제품과 함께 선검증 후도입대상 품목으로 지정돼, 보안기능 확인서 발급 및검증필 제품 목록 등재 제품만 도입할 수 있다. 소프트웨어 기반 보안USB는 검증필 암호모듈 탑재까지 요구된다 [9][10].
문제는 이 제도가 이번 사건을 막을 수 있느냐다. 현행 보안USB 인증은 본질적으로 소프트웨어·암호 기능(접근통제, 데이터 암호화, 자료유출 방지) 중심으로 설계됐다.반면 자위대 사건의 위협은 정품으로 위장한위조 하드웨어 + 펌웨어/조립 단계 악성코드 삽입 + 용량 위장이라는, 인증 보안USB의 평가 범위 바깥에 있는 하드웨어 공급망·무결성 문제다. 즉 "인증된 보안USB만 쓴다"는 정책과 "내부망에 닿는 모든 매체의 하드웨어 진위·펌웨어 무결성을 검증한다"는 통제는 별개다. 전자만으로는 비인가 위조품의 현장 반입(증정품·개인 구매·파견 현장 수령)을 막지 못한다.
따라서 한국에 필요한 것은 두 축이다. 첫째, 인증 보안USB 사용 의무를 군·정보기관·주요 인프라까지 빠짐없이 강제·점검한다. 둘째, 인증 여부와 별개로 내부망 접속 매체의 하드웨어 무결성을 검증하는 정기 보안감사를 제도화한다. 자위대의 핵심 실패가 "다중 점검 체계가 형식적으로만 존재했다"는 데 있음을 기억해야 한다. 제도의 존재가 아니라 실효적 집행과 정기 감사가 관건이다.
7. 권고
| 영역 | 권고 사항 |
|---|---|
| 매체 통제 | 디바이스 화이트리스트(승인 매체 외 USB 마운트 차단)를 기술적으로 강제한다. 등록 절차가 형식화되지 않도록 정기 감사한다. |
| 백신 적용 범위 | 백신·EDR의 검사 대상에서 가반형 매체를 절대 제외하지 않는다. 삽입 시 자동 스캔·격리 정책을 기본값으로 한다. |
| 하드웨어 출처 검증 | 저장장치는 신뢰된 공급원·정품 인증 채널로만 조달한다. 용량 검증(실 기록/판독 테스트)과 분해 검수를 고위험 환경에 도입한다. |
| 증정품·외부 물품 반입 | 정규 조달을 거치지 않은 전자 매체(선물·기념품·행사 배포물 포함)는 내부망 연결 전 격리·검사 또는 폐기를 원칙으로 한다. |
| 에어갭 데이터 이동 | USB 대신 데이터 다이오드, 일방향 게이트웨이, 검증된 전송 키오스크로 망 간 이동을 대체·중계한다. 불가피한 USB 사용 시 전용·읽기전용·암호화 매체로 제한한다. |
| 탐지·대응 | 클로즈계 단말의 매체 삽입 이벤트를 로깅·경보화하고, 정기적으로 회수 매체에 대한 포렌식 검수(펌웨어·실용량·악성코드)를 수행한다. |
| 투명성 | 위조품의 시중 유통 사실을 인지한 경우, 민관 공유를 통해 사회 전반의 피해 확산을 선제 차단한다(자위대의 비공개 지연은 부정적 선례). |
7.1 한국 공공기관·군·정보기관 대상 권고 (우선순위)
이번 사건은 한국의 공공기관, 군, 정보기관에 대한 정기 보안감사와 인증 보안USB 의무화의 실효적 집행이 시급함을 보여준다. 다음을 우선순위로 권고한다.
인증 보안USB 사용 전면 의무화·점검.국정원 보안적합성 검증을 거쳐검증필 제품 목록에 등재된 보안USB만 내부망 연결 매체로 허용하고, 군·정보기관·주요정보통신기반시설까지 예외 없이 적용한다. 비인가·개인 구매·증정 매체의 내부망 접속을 기술적으로 차단(디바이스 화이트리스트 강제)한다.
정기 보안감사의 제도화·실효화."제도 존재"가 아니라 "집행 검증"을 목표로, 군·정보기관·공공기관에 대해연 1회 이상(고위험 환경 분기 1회) 매체 통제 보안감사를 의무화한다. 감사 항목에는 화이트리스트 우회 가능 여부, 백신·EDR의 가반형 매체 검사 누락 여부(자위대 핵심 실패 지점), 비인가 매체 반입 통제 실태, 증정품·외부 물품 처리 절차가 포함돼야 한다.
하드웨어 무결성 검증 신설.현행 보안USB 인증이 다루지 않는하드웨어 진위·펌웨어 무결성·실용량 검증 항목을 고위험 기관 조달·반입 절차에 추가한다. 분해 검수, 실용량 판독, 펌웨어 해시 검증, 신뢰된 공급원 확인을 표준화한다.
에어갭 환경의 매체 의존 축소.군·정보기관의 망 간 자료 이동은 USB 대신검증필 망간 자료전송 제품, 데이터 다이오드, 일방향 게이트웨이로 대체·중계하고, 불가피한 경우 전용·읽기전용·인증 암호화 매체로 제한한다.
국가 차원 위협 정보 공유. 위조 매체·공급망 오염 IOC(파일명, 해시, 브랜드, 유통 채널)를 국정원·KISA·군 사이버 조직 간 공유하고, 민간 유통망 경보로 확산한다. 자위대가 위조품 유통을 인지하고도 공개를 지연한 전철을 밟지 않는다.
요지: 한국은 일본보다 나은 제도(보안적합성 검증·인증 보안USB)를 갖췄지만, 자위대 사건의 교훈은 *"좋은 제도도 집행되지 않으면 형식"*이라는 것이다. 핵심은 인증 의무화 + 정기 보안감사 + 하드웨어 무결성 검증의 삼중 집행이다.
참고 문헌 (References)
[1] 김예진, "日자위대, 중국계 바이러스 감염 USB 1년간 사용…'극비' 시스템 연결", 뉴시스/파이낸셜뉴스, 2026-06-25. https://www.fnnews.com/news/202606251124033942
[2] "자위대, 기밀 시스템에 감염 USB 접속 - 중국계 바이러스 1년 미인지", 니혼게이자이신문(닛케이), 2026-06-25. https://www.nikkei.com/article/DGXZQOCD075JJ0X00C26A5000000/
[3] "'중국산 USB'에 뚫린 日자위대…기밀시스템 감염 1년 몰랐다", 파이낸셜뉴스, 2026-06-25. https://www.fnnews.com/news/202606251121556554
[4] 방성훈, "'1년간 까맣게 몰랐다'…中 위조 USB에 뚫린 日자위대 기밀망", 이데일리, 2026-06-25. https://edaily.co.kr/News/Read?mediaCodeNo=257&newsId=03936006645485328
[5] "일본 육상자위대, 중국계 바이러스 감염 USB 사용", Daum 뉴스(닛케이 인용), 2026-06-25. https://v.daum.net/v/20260625124901857
[6] "'中 악성코드' 담은 USB가 왜 여기에…日 발칵 뒤집힌 까닭 [도쿄나우]", 한국경제, 2026-06-25. https://www.hankyung.com/article/202606256634i
[7] "자위대 이외에도 감염 USB - 인터넷 통판·공장·연구소 등 사회로 확산", 니혼게이자이신문(닛케이), 2026-06-25. https://www.nikkei.com/article/DGXZQOCD0801W0Y6A500C2000000/
[8] "중국산 USB 바이러스 파문⋯육상자위대 넘어 日사회 전반으로 확산", 이투데이, 2026-06-25. https://www.etoday.co.kr/news/view/2597252
[9] 국가정보원, "보안적합성 검증 - 개요 및 체계" (「국가정보원법」 제4조·「전자정부법」 제56조 근거, 소프트웨어 기반 보안USB 등 검증 대상). https://www.nis.go.kr/AF/1_7_2_1.do
[10] 국가사이버안보센터(NCSC), "보안적합성검증 개요 및 체계" (보안USB·자료유출방지·네트워크 장비·가상화 관리·망간 자료전송 5종 '선검증 후도입' 대상). https://ncsc.go.kr/PageLink.do
원 소스 메모: 본 리포트는 닛케이의 2026-06-25 단독 보도(육상자위대 내부 문서 입수)와 이를 인용한 국내외 보도를 1차 근거로 한다. 사용자 제공 영상 출처 [자막뉴스] '중국산이었어?' 日 발칵.. 자위대에 온 선물 '반전' (2026.06.26 MBC뉴스)는 동일 사건의 방송 보도로, 사실관계는 위 활자 보도와 교차 검증해 정리했다.
© 2026 Dennis Kim (김호광) · 본 문서는 독립 CTI 아카이브(TLP:GREEN) 공개를 목적으로 작성됐다. 문의: [email protected] · GitHub: gameworkerkim/CYBER-THREAT-INTELLIGENCE-REPORT