영국 해군 무인정이 중국으로 통신하고 있었다 — 「백도어」라 부르기 전에 알아둘 부품 이야기

안녕하세요, 주식회사 TIMEWELL의 하마모토 류타입니다.

영국 텔레그래프지가 보도한 이야기가 「영국 해군의 스파이 드론이 중국에 데이터를 보내고 있었다」는 형태로 퍼지고 있습니다. 문의를 몇 건 받아서, 보도와 영국 국방부의 설명을 나란히 놓고 확인했습니다.

먼저 두 가지만 정정하겠습니다. 이것은 하늘을 나는 드론이 아닙니다. 그리고 보내지고 있던 내용에 대해서는, 보도와 영국 국방부의 설명이 어긋납니다.

이 두 가지를 짚지 않으면 이야기가 「중국산은 위험하다」로 끝나 버립니다. 그러면 자사에서 무엇을 해야 하는지가 나오지 않으므로, 순서대로 정리합니다.

우선, 이것은 배입니다

문제가 된 것은 「K3 Scout」라는 기체입니다. 무인수상정(USV, Uncrewed Surface Vessel), 즉 사람이 타지 않는 소형 배입니다.

크기를 적으면 상상하기 쉬울 것입니다. 전장 8.4미터, 폭 1.93미터, 최대 배수량 2,500킬로그램. 최고속력 55노트(시속 약 100킬로미터)이고, 25노트라면 650해리를 항주합니다. 페이로드, 즉 실을 수 있는 화물이나 장비는 600킬로그램¹. 소형 모터보트 정도의 크기감입니다.

영국 해군은 「Project Beehive」라는 사업으로 이를 20척 조달했습니다. 계약액은 1,230만 파운드. 자율 시스템을 기존 함정과 통합해 나가기 위한 시험대라는 위치이며, 새로운 센서나 임무 시스템을 바꿔 실을 수 있는 설계입니다¹. 항공 촬영용 소형 드론과는 전혀 다른 것입니다.

보도에서 「스파이 드론」이라고 쓰이는 것은, 「드론」이 무인기 전반을 가리키는 말로 퍼져 있기 때문입니다. 틀렸다고까지는 할 수 없지만, 머릿속에 떠오르는 그림이 꽤 달라집니다.

무엇이 일어났고, 영국 국방부는 뭐라고 하는가

정기 사이버 취약점 점검에서 발견되었다는 것이 발견의 경위입니다¹. 사고가 난 뒤에 조사한 것이 아니라, 정해진 점검을 했더니 나온 것입니다. 밋밋해 보이지만 중요한 대목이라 뒤에서 다시 다룹니다.

발견된 것은, 정에 탑재된 카메라가 중국 내 IP 주소로 통신하고 있었다는 사실입니다. 이 카메라는 제3자 공급업체로부터 공급된 것으로, 중국산 부품이 사용되고 있었습니다. 정 자체를 만드는 것은 영국 제조사입니다.

여기서부터 보도와 당국이 어긋납니다.

영국 국방부는 통신 내용이 하트비트 신호이며, 민감한 정보나 시스템에 대한 접근 및 이전은 없었다고 설명합니다. 그리고 해당 카메라의 인터넷 연결을 모두 분리했다고 합니다¹.

한편 텔레그래프지의 보도는, 영국군 관계자의 모습이 담긴 영상이나 훈련, 작전에 관한 정보가 취득되었을 가능성에 대한 우려를 전하고 있습니다.

어느 쪽이 옳은지 저는 판정할 수 없습니다. 공개된 정보만으로는 무리입니다. 그래서 이 글에서는 양쪽 주장을 나란히 놓은 뒤, 어느 쪽이든 기업이 해야 할 일은 변하지 않는다는 방식으로 씁니다.

하트비트란 무엇이고, 왜 「뿐」으로 끝나지 않는가

여기는 초보자를 위해 꼼꼼히 씁니다.

하트비트(heartbeat, 심박)란 기기가 「나는 살아 있다」고 주기적으로 외부에 보내는 짧은 신호입니다. 네트워크 기기나 클라우드 서비스에서는 아주 당연하게 쓰이는 구조이며, 그 자체가 수상한 것은 아닙니다.

예를 들어 가정용 홈캠을 떠올려 보십시오. 스마트폰 앱에 「온라인」이라고 표시되지요. 그것은 카메라가 주기적으로 제조사 서버에 「작동 중」이라고 알리고 있기 때문에 표시되는 것입니다. 영상 자체를 상시 보내고 있는 것은 아닙니다.

그러면 영국 국방부 말대로 정말 하트비트뿐이었다고 해서, 아무 문제가 없는가. 그렇다고 단언할 수도 없습니다.

신호의 내용이 비어 있어도, 신호가 도달했다는 사실 자체가 정보가 되기 때문입니다. 언제 전원이 들어오고 언제 꺼졌는가. 얼마나 자주 작동했는가. 발신지 IP 주소로 추정할 수 있는 대략의 위치. 이것들이 쌓이면 활동의 패턴이 보이기 시작합니다. 내용을 읽지 않아도 봉투 바깥쪽만으로 알 수 있는 것이 있다는 이야기입니다.

군의 운용에서는 이것이 직접적인 의미를 가집니다. 어떤 해역에서 기기가 일제히 작동하기 시작한 시각을 아는 것만으로도 가치 있는 정보가 될 수 있기 때문입니다. 그래서 「민감한 데이터는 전송되지 않았다」는 설명이 사실이라 해도, 연결을 끊는 조치는 타당했다고 봅니다.

악의가 없어도 같은 결과가 됩니다

여기가 이 글에서 가장 쓰고 싶은 부분입니다.

「중국 IP 주소로 통신하고 있었다」고 들으면, 누군가가 의도적으로 뒷문(백도어)을 심었다는 그림이 떠오릅니다. 가능성으로는 있습니다. 다만 더 흔한 설명도 성립합니다.

시판 네트워크 카메라의 상당수는 초기 설정에서 제조사 클라우드에 접속하도록 만들어져 있습니다. 원격으로 영상을 보거나 펌웨어를 갱신하기 위해서입니다. 제조사가 중국 회사라면 그 접속처는 중국 내 서버가 됩니다. 이는 사양대로의 동작이며, 아무도 나쁜 짓을 하지 않았습니다.

문제는 그 부품이 들어간 제품을 산 쪽이, 그 동작을 모른 채 사용해 버리는 것입니다. 카메라 모듈을 산 제조사도, 완성품을 납품받은 발주자도, 「이 카메라는 기본으로 어딘가에 통신한다」는 전제를 갖고 있지 않으면 알아차릴 기회가 없습니다.

즉 악의에 의한 심기든 기본 동작이든, 결과적으로 외부로 통신이 나가고 있다는 사실은 같습니다. 그리고 조치도 같아서, 연결을 멈추거나 통신처를 통제하는 수밖에 없습니다.

그러므로 「중국산이라 위험하다」는 정리는 실무적으로는 그다지 도움이 되지 않습니다. 도움이 되는 것은 「자사 기기가 어디로, 무엇을, 얼마나 자주 보내고 있는지 파악하고 있는가」라는 물음 쪽입니다. 이는 조달처의 국적과는 별개의 이야기입니다.

또 하나, 이 건이 보여주는 까다로움이 있습니다. 완성품을 만든 제조사 자신도 아마 알아차리지 못했다는 점입니다.

현대의 기기는 부품 안에 다시 부품이 들어 있습니다. 정을 만드는 회사는 카메라 모듈을 사고, 그 모듈을 만드는 회사는 이미지 센서와 통신 칩을 사고, 그 칩에는 제조사가 쓴 펌웨어가 들어 있습니다. 어느 층에서 「밖으로 통신한다」는 기능이 들어갔는지를 위층에서 꿰뚫어 보기는 매우 어렵습니다. 부품표를 봐도 거기 적힌 것은 품번과 수량이지 통신처가 아닙니다.

이는 능력의 문제가 아니라 정보 구조의 문제입니다. 그래서 「조달처를 잘 고르면 막을 수 있다」고도 단언할 수 없습니다. 잘 골라도 그 앞 계층까지는 보이지 않기 때문입니다.

그럼 손 쓸 방법이 없느냐 하면, 그렇지 않습니다. 상류를 거슬러 올라가기 어렵다면, 출구에서 보면 됩니다. 부품의 내력을 완벽히 파악하지 못해도, 그 기기가 네트워크로 나가는 통신은 자사 네트워크의 출구에서 관측할 수 있습니다. 어느 층의 누가 심었든 상관없이 거기를 지나가기 때문입니다. 이번에 영국 해군이 이를 발견할 수 있었던 것도, 부품표를 정밀 검토해서가 아니라 통신을 검사했기 때문이었습니다.

한국 기업이 오늘부터 확인할 수 있는 것

「우리는 방산품을 다루지 않으니 상관없다」고 생각하실지 모릅니다. 다만 구조는 같습니다. 공장의 감시 카메라, 출입 관리 단말, 복합기, 네트워크 기기, 실험 장치의 제어 PC. 어느 것이나 부품을 모아 만들어졌고, 그중 어느 것인가는 어딘가로 통신하고 있습니다.

세 가지만 듭니다.

첫째, 밖으로 나가는 통신을 목적지별로 한 번만 봐 보기. 방화벽이나 라우터 로그에서, 사외로 나가는 통신의 목적지를 국가별로 나열하기만 하면 됩니다. 예상하지 못한 국가가 상위에 나오면 그 기기를 특정한다. 전담 부서가 없어도 할 수 있는 작업이고, 대개의 회사에서 「모르는 통신」이 발견됩니다.

둘째, 조달 사양에 「통신처의 공개」를 넣기. 다음에 기기를 살 때, 사양서에 한 줄 더하면 됩니다. 이 제품이 외부로 통신하는 경우, 그 목적지와 내용과 빈도를 공개해 달라고. 공급업체가 답하지 못한다면 그 자체가 판단 재료가 됩니다. 국적을 묻는 것보다 이 질문이 훨씬 실무적입니다.

이는 상대를 의심하는 질문이 아니라는 점도 덧붙입니다. 많은 공급업체는 물으면 평범하게 답합니다. 답하지 못한다면 그것은 숨기고 있어서가 아니라 자신들도 파악하지 못하고 있어서인 경우가 더 많습니다. 이번 건이 보여주는 것이 바로 그 상태입니다. 그러므로 묻는 것 자체에, 상대의 파악을 촉진하는 효과가 있습니다. 사는 쪽이 아무도 묻지 않으면 아무도 조사하지 않습니다.

셋째, 정기 점검 일정을 잡기. 이번 건이 애초에 발견된 것은 사고가 나서가 아니라 정해진 점검을 했기 때문이었습니다. 여기는 본받을 만한 대목입니다. 1년에 한 번이라도 통신의 재고 조사를 일정으로 잡아 둔다. 일정에 없는 작업은 바쁠 때 반드시 사라집니다.

또한 중국에 거점이나 출장자가 있는 회사는, 기기와는 별개로 현지에서의 데이터와 사람의 취급도 봐 둘 필요가 있습니다. 그쪽은 중국 출장과 9월 15일 시행 새 규정에 정리했습니다. 사내의 관리 체계 자체를 짜는 이야기는 수출통제 내부 자율준수(CP) 가이드에 있습니다.

「위험한 나라」가 아니라 「보이지 않는 경로」의 문제

정리합니다. 영국 해군이 조달한 무인수상정 K3 Scout 20척(계약액 1,230만 파운드, Project Beehive)에 탑재된 카메라가 중국 내 IP 주소로 통신하고 있던 사실이 정기 사이버 취약점 점검에서 드러났습니다. 영국 국방부는 통신 내용을 하트비트 신호라 하고, 민감한 정보나 시스템에 대한 접근 및 이전은 없었다고 설명한 뒤, 해당 카메라의 인터넷 연결을 분리했습니다. 보도는 더 넓은 우려를 전하고 있어, 이 점은 어긋난 채로 남아 있습니다.

제가 걸리는 것은 정을 만든 제조사도 아마 이 통신을 몰랐을 것이라는 점입니다. 카메라는 제3자 공급업체에서 왔습니다. 조립하는 쪽이 부품 안의 부품의 거동까지 파악하기는 솔직히 상당히 어렵습니다. 거기를 탓해도 재발은 막지 못합니다.

그래서 물음을 세우는 방식을 바꾸는 편이 낫다고 봅니다. 「어느 나라의 부품인가」가 아니라 「어디로 통신하고 있는지를 우리는 알고 있는가」. 전자는 조달처를 좁히는 데서 사고가 멈추지만, 후자는 구체적인 작업으로 떨어집니다. 게다가 후자를 해 두면 부품의 출처가 무엇이든 알아차릴 수 있습니다.

거래처와 조달처의 리스크를 구조적으로 파악하는 이야기는 TRAFEED의 접근이 참고가 될지 모릅니다. 자사 상황에 맞춘 상담은 이쪽으로 연락 주십시오.

---

Footnotes

1. K3 Scout의 사양(전장 8.4미터, 폭 1.93미터, 흘수 0.8미터, 최대 배수량 2,500킬로그램, 최고속력 55노트, 25노트로 항속 650해리, 페이로드 600킬로그램, 선내 디젤 기관과 스턴 드라이브), 영국 해군의 20척 조달과 계약액 1,230만 파운드, Project Beehive가 개방형 아키텍처 시험대로서 신형 센서, 페이로드, 임무 시스템의 통합 능력을 제공하는 것, 발견이 「routine cyber vulnerability assessment(정기 사이버 취약점 점검)」에 의한 것, 통신처가 중국 내 IP 주소인 것, 통신 내용이 기기의 가동을 나타내는 정기 신호(heartbeat signals)로 되어 있는 것, 영국 국방부가 해당 카메라에서 인터넷 연결을 제거하고 「no sensitive data or systems were accessed or transferred」라고 설명한 것, 카메라가 제3자 공급업체로부터 공급된 것은 Army Recognition의 보도에 따름. https://www.armyrecognition.com/news/navy-news/2026/british-royal-navy-k3-scout-drones-supporting-special-forces-found-communicating-with-china 본건의 최초 보도는 영국 텔레그래프지(2026년 8월). 동지는 영국군 관계자의 영상 및 훈련, 작전에 관한 정보가 취득되었을 가능성에 대한 우려를 전하고 있으며, 영국 국방부의 설명과 사이에 차이가 있다. 본 기사는 양측 주장을 병기하며, 어느 쪽이 정확한지의 판정은 하지 않는다. ↩ ↩² ↩³ ↩⁴