Expert Insight

2026-02-26 온라인뉴스팀

해커 집단 ‘UNC2814’, 정상 클라우드 서비스 위장해 10년간 스파이 활동… 통신·정부 부처 주요 타깃

[익스퍼트인사이트 온라인뉴스팀] 세계 최대 빅테크 기업 구글(Google)이 중국 정부와 연계된 것으로 추정되는 해커 집단의 대규모 사이버 스파이 캠페인을 적발하고 전면 차단에 성공했다. 이번에 적발된 해커 조직은 ‘구글 스프레드시트(Google Sheets)’와 같은 정상적인 클라우드 서비스를 명령 및 제어(C2) 통로로 활용해 보안 시스템의 눈을 속여온 것으로 드러나 충격을 주고 있다.

2026년 2월 25일(현지시간) 구글 위협 분석 그룹(TAG)과 자회사 맨디언트(Mandiant)는 공동 보고서를 통해 중국계 해킹 그룹 ‘UNC2814′(일명 갈륨, Gallium)의 글로벌 활동을 무력화했다고 공식 발표했다. 구글에 따르면 이 조직은 최소 2017년부터 활동을 시작해 전 세계 42개국에 걸쳐 최소 53개 이상의 기관을 해킹하고 기밀 정보를 탈취해온 것으로 확인되었다.

■ ‘구글 스프레드시트’를 해킹 도구로… 치밀한 위장 전술

이번 사건에서 가장 주목할 점은 해커들이 보안 탐지를 회피하기 위해 사용한 ‘위장 전술’이다. UNC2814는 악성 코드를 심은 뒤, 탈취한 정보를 외부로 전송하거나 해커의 명령을 전달받는 과정에서 ‘Google Sheets’ API를 활용했다.

일반적인 기업이나 기관에서 구글 스프레드시트를 사용하는 것은 매우 일상적인 트래픽이기 때문에, 기존의 보안 관제 시스템은 이를 악성 활동으로 인지하지 못하고 ‘정상적인 사무용 통신’으로 판단하게 된다. 구글은 “공격자들이 클라우드 호스팅 제품의 정상적인 기능을 역이용해 자신들의 악성 트래픽을 합법적인 것처럼 보이게 만들었다”고 설명했다.

또한, 이들은 ‘그리드타이드(GridTide)’라고 명명된 새로운 백도어 프로그램을 사용해 감염된 시스템에서 쉘 명령을 실행하거나 파일을 자유롭게 업로드·다운로드한 것으로 밝혀졌다.

■ 전 세계 42개국 타깃… 광범위한 피해 규모

조사 결과, 피해를 본 53개 조직은 아메리카, 아시아, 아프리카를 아우르는 전 세계 곳곳에 분포해 있었다. 주로 통신사와 정부 기관이 주요 표적이 되었으며, 구글은 이들이 추가로 20여 개국 이상의 조직을 공격하려 했던 정황도 포착해 사전에 차단했다고 덧붙였다.

특히 한 피해 기관의 시스템에서는 이름, 생년월일, 전화번호, 유권자 ID, 국가 신분증 번호 등 민감한 개인정보가 포함된 엔드포인트에서 ‘그리드타이드’ 백도어가 발견되었다. 보안 전문가들은 이러한 데이터 탈취가 특정 개인에 대한 추적 및 감시, 혹은 국가 차원의 정보 수집을 목적으로 이루어졌을 가능성이 높다고 보고 있다.

■ 구글의 강력 대응… 인프라 및 계정 영구 폐쇄

구글은 이번 위협을 제거하기 위해 공격자들이 사용한 구글 클라우드 프로젝트를 즉시 중단시키고, 해킹에 동원된 모든 관련 계정을 비활성화했다. 또한 악성 도메인에 대해 ‘싱크홀(Sinkholing)’ 조치를 취해 감염된 환경과의 연결을 완전히 차단했다.

찰리 스나이더 구글 위협 지능팀 선임 매니저는 “이번 작전은 최근 수년간 발견된 사이버 스파이 활동 중 가장 광범위하고 영향력 있는 사례 중 하나”라며, “구글의 신속한 대응으로 이 조직의 글로벌 운영 인프라가 상당 부분 해체되었으며, 향후 이들이 활동을 재개하는 데 큰 타격이 될 것”이라고 강조했다.

한편, 중국 측은 이러한 해킹 의혹에 대해 즉각 반발했다. 주미 중국대사관 대변인은 “중국은 법에 따라 모든 형태의 해킹 활동에 반대하고 이를 타격하고 있다”며 “사이버 보안 문제를 이용해 중국을 비방하고 모함하려는 시도를 단호히 거부한다”는 입장을 밝혔다.

사이버 보안 전문가들은 이번 사건을 계기로 ‘정상 서비스’를 악용하는 ‘Living off the Land(LotL)’ 방식의 공격이 더욱 교묘해지고 있다고 경고하며, 기업과 정부 기관이 클라우드 기반 서비스에 대해서도 보다 정교한 모니터링 체계를 구축해야 한다고 조언했다.