해킹 반도체' 스파이칩, 정말로 존재할까? 중국의 소리장도(笑裏藏刀)

소리장도(笑裏藏刀), 웃음을 지으며 칼을 감춘다는 뜻의 사자성어입니다. 상대를 속이고 방심한 틈을 타 해를 가하는 모습을 묘사한 것인데요. 최근 화웨이의 5세대(5G) 통신장비가 보안성 이슈에 휩싸였습니다. 미국은 5G 통신장비를 통해 중국이 각종 정보를 빼갈 수 있다며 주요 우방국에게 화웨이 장비 사용을 금할 것을 요구하고 있습니다. 정보를 빼가는 해킹은 전용 장치를 임의로 장착하는 하드웨어(HW) 방식과 제어 프로그램 등을 변형하는 소프트웨어(SW) 방식으로 나뉘는데요. 통신장비는 개별 국가의 사정에 따라 맞춤형으로 제작되기 때문에 SW 변형의 여지가 적습니다. 화웨이가 만약 통신장비를 이용해 해킹을 시도한다면 HW 방식을 쓸 가능성이 크죠. 그리고 해킹이 발각되지 않으려면 특정 HW에 아주 작은 전자 부품이 탑재돼야 합니다. 해킹을 전문으로 하는 반도체, '스파이칩'에 관심이 쏠리는 이유입니다.

IT 업계 발칵 뒤집은 중국발 스파이칩 보도

일단 화웨이가 스파이칩을 사용한 것이 적발된 적은 없습니다. 2016년 미국에서 판매된 화웨이 스마트폰에서 무단으로 사용자의 메시지와 통화기록 등을 빼가는 ‘백도어’가 발견됐지만 이는 SW를 활용한 것이었습니다. 당시 화웨이는 이를 애플리케이션 제작사의 문제로 돌렸습니다.

중국발 스파이칩의 실체에 대한 구체적인 문제 제기는 지난해 10월 미국 블룸버그의 보도에서 시작됐습니다. 블룸버그는 애플과 아마존 등 미국 내 주요 IT 업체에 서버를 공급하고 있는 슈퍼마이크로(Supermicro)의 제품에 스파이칩이 장착됐다고 했습니다. 슈퍼마이크로는 미국 회사지만 대부분의 제품을 만드는 중국에서 제조사의 의사와 상관없이 스파이칩을 심었다는 것입니다.

블룸버그가 말한 문제의 스파이칩은 아마존이 소프트웨어 개발 벤처 엘레멘털(Elemental)을 인수하는 과정에서 처음 발견됐습니다. 이 업체는 슈퍼마이크로가 납품한 서버 메인보드를 쓰고 있는데, 여기에 탑재된 쌀알보다 작은 크기의 칩이 서버의 각종 정보를 빼돌리는 역할을 수행한다는 것입니다. 엘레멘털은 인공위성과 무인정찰기 등에서 수집한 데이터를 빠르게 압축해 CIA 본부로 전송하는 SW를 공급해 높은 가치를 인정받고 있었습니다. 스파이칩을 통해 중국이 해킹에 성공한다면 미국 안보에는 큰 피해를 줄 수밖에 없습니다.

블룸버그는 인민해방군 소속 공작원 2명이 중국 현지 서버 제작공장을 통해 스파이칩을 삽입했다고 보도했습니다. 애플 역시 2015년 서버에서 이상한 칩을 발견했으며 이후 슈퍼마이크로에서 제작한 서버는 공급받지 않고 있다고도 했습니다.

보도에 따르면 해당 스파이칩에는 서버에서 정보를 수집하는 프로세서, 수집한 정보를 일시적으로 저장하는 메모리, 이를 외부로 빼돌리는 네트워크 기능 등 여러 반도체가 장착돼 있습니다. 서버에 전원이 들어오면 스파이칩은 서버의 운영체제를 임의로 변형하고 해커의 명령에 따라 필요한 정보에 선택적으로 접근할 수 있습니다.

스파이칩의 기술력을 둘러싼 논쟁

여기까지 들으면 무시무시합니다. 문제가 되는 슈퍼마이크로의 서버는 삼성과 LG 등 대기업, 국가정보원 등 정부기관 등에서도 사용하고 있습니다. 이 같은 칩이 존재한다면 중국 인민해방군의 해킹에서 자유로운 곳은 세계 어디에도 없을 것 같습니다.

하지만 여기에는 반론도 만만치 않습니다. 블룸버그가 보도한 스파이칩은 오늘날 반도체 기술로는 제작 자체가 불가능하다는 것입니다. 중국 매체들은 최근까지도 관련 내용을 보도하며 억울함을 호소하고 있습니다.

첫 번째 근거는 우선 단순히 심는다고 해서 스파이칩이 구동되지 않는다는 것입니다. 스파이칩도 결국 전자 부품이고, 제대로 작동하려면 전기가 필요합니다. 원활한 전기 공급을 위해서는 서버 메인보드 설계 자체를 바꿔야 합니다. 블룸버그의 보도처럼 단순히 제작 하청을 받은 중국 업체가 할 수 있는 문제가 아니라는 것입니다. 만약 설계를 임의로 바꿨다면 슈퍼마이크로와 고객사들이 손쉽게 해당 사실을 알아낼 수 있어 칩의 크기가 아무리 작더라도 해킹 시도가 드러나게 됩니다.

두 번째로 쌀알 한 톨보다 작은 크기에 프로세서와 메모리, 통신칩까지 통합한 칩을 만들어내기가 물리적으로 어렵다는 것입니다. SK하이닉스에서 생산되는 메모리 반도체는 보통 손톱 크기에 비유됩니다. 메모리 하나만 하더라도 손톱보다 큰데 시스템 반도체까지 더하면 그 크기는 육안으로 쉽게 식별이 가능한 수준이 될 수밖에 없습니다. 중국의 반도체 공정 기술이 아직은 높지 못한 점도 문제입니다. 블룸버그는 해당 기사에 스파이칩의 이미지를 실었지만, 이는 실제 모습이 아닌 가공된 이미지였습니다.

아마존과 애플도 블룸버그의 보도 직후 즉각 반박자료를 냈습니다. 아마존은 “인수 대상 기업 실사 과정에서 그같은 스파이칩을 발견한 적이 없다”고 했습니다. 애플 역시 “서버에서 문제가 있는 칩이나 하드웨어 조작을 발견한 적이 없다”고 밝혔습니다. 일단은 사실무근이라는 설명입니다.

물론 CIA부터 IT 업계의 여러 관계자들로부터 해당 정보를 습득했다는 블룸버그의 보도를 무시하기는 힘듭니다. 스파이칩이 실제로 존재하더라도 클라우드 사업의 중요성을 감안할 때 아마존이나 애플이 이를 인정하기는 어렵습니다. 보도의 진위 여부는 좀 더 시간이 지나야 확실히 가려질 수 있을 것 같습니다.

※ 본 칼럼은 반도체/ICT에 관한 인사이트를 제공하는 외부 전문가 칼럼으로, SK하이닉스의 공식 입장과는 다를 수 있습니다.