미국의 사이버 기소장이 중국 요원을 데려왔다

10년간 종이에 머물던 기소장이 처음으로 사람을 움직였다

밀라노 공항에서 벌어진 일

2025년 7월 3일, 밀라노 말펜사 공항. 33세 중국인 남성이 입국 심사대를 지나자마자 이탈리아 경찰에 체포됐다. 이름은 쉬쩌웨이. 미국이 수배 중이던 인물이었다.

혐의는 무거웠다. 코로나19 백신 연구 절취, 마이크로소프트 익스체인지 서버 해킹. 둘 다 단순한 해킹 사건으로 보기 어려운 사안이었다.

9개월 뒤인 2026년 4월 26일, 이탈리아 정부는 그를 미국으로 넘기기로 결정했다. 다음 날 로이터는 쉬가 이미 미국에 도착했다고 보도했다. 변호인은 정부 결정 통보조차 받지 못했다고 주장했다.

그냥 또 하나의 범죄인 인도 뉴스로 넘길 수도 있다. 하지만 이번 사건은 그렇게 작지 않다.

10년 동안 종이에만 남았던 기소장

미국이 중국발 해킹을 공개적으로 비난한 건 오래된 일이다. 2014년 미국 법무부는 중국 인민해방군 61398부대 장교 5명을 기소했다. 이후 APT10, APT40, 중국 국가안전부 관련 인물들이 차례로 미국 기소장에 이름을 올렸다.

문제는 그다음이었다. 기소장은 계속 나왔지만, 피고인은 오지 않았다. 중국 본토에 있는 사람을 미국 법정으로 데려올 방법이 없었기 때문이다. 중국이 자국 사이버 요원을 미국에 넘긴 사례도 없었다.

그래서 워싱턴 안보 커뮤니티 안에서도 회의론이 따라붙었다. 어차피 법정에 세우지도 못할 사람을 기소하는 게 무슨 의미가 있느냐는 지적이었다. 이 전략에 “name and shame”이라는 별명이 붙은 것도 그래서다. 이름을 공개하고 망신을 주는 것. 그게 미국이 할 수 있는 거의 전부처럼 보였다.

하지만 망신은 억지력이 되지 못했다. 기소된 인물들이 중국 내부에서 불이익을 받았는지도 불분명했다. 오히려 일부는 조직 안에서 더 승승장구했다는 이야기도 나왔다.

미국의 사이버 기소장은 10년 동안 쌓였다. 다만 법정이 아니라 보도자료 위에 쌓였다.

이번 사건은 무엇이 다른가

쉬쩌웨이 사건이 다른 이유는 그가 중국 본토 밖에서 잡혔기 때문만은 아니다. 중국 해커가 해외에서 체포된 사례는 전에도 있었다. 진짜 차이는 그다음에 있다. 이번에는 체포된 인물이 실제로 미국 법정으로 보내졌다.

미 법무부가 공개한 9개 혐의 기소장을 보면 사건의 성격은 더 분명해진다.

코로나 연구 절취

2020년 팬데믹 한복판에서 미국 대학과 연구자들이 표적이 됐다. 텍사스대를 포함한 대학들, 백신과 치료제를 연구하던 면역학자와 바이러스학자들이 공격 대상이었다.

검찰은 이 작전이 중국 국가안전부 상하이국의 지시를 받았다고 적시했다. 즉 이 사건은 연구실 몇 곳을 턴 해킹 사건이 아니다. 코로나19라는 전 세계적 위기 속에서, 미국이 막대한 돈과 시간을 쏟아붓던 연구 자산을 들여다보려 한 작전이었다.

HAFNIUM

2021년에는 마이크로소프트 익스체인지 서버 제로데이 취약점이 대규모로 악용됐다. 미국 내 6만 개 이상 조직이 표적이 됐고, 1만2700곳이 실제 피해를 본 것으로 알려졌다.

당시 마이크로소프트는 공격 주체를 “중국 기반 국가 후원 그룹”으로 평가했다. 사기업 보안팀이 특정 국가를 직접 지목한 흔치 않은 사례였다.

미국 검찰이 이 두 사건을 한 인물에게 묶어 기소했다는 건, 쉬쩌웨이를 단순 실행범으로 보지 않았다는 뜻이다. 그는 개인 해커가 아니라 국가 후원 사이버 작전의 운영급 인물로 분류됐다.

“멜로니 정부라 가능했다”는 말은 절반만 맞다

여기서 나올 수 있는 반론이 있다. 이탈리아의 멜로니 정부가 친미 성향이고, 일대일로 양해각서까지 파기한 정권이라 가능했던 것 아니냐는 말이다.

정치적 변수는 분명히 있었다. 범죄인 인도는 법률 문제이면서 동시에 외교 문제이기도 하다. 어느 정부가 최종 결정을 내리느냐는 당연히 중요하다. 하지만 이번 사건을 멜로니 정부의 친미 노선만으로 설명하면 핵심을 놓친다.

송환 결정 전에 먼저 길을 연 쪽은 정부가 아니라 법원이었다. 이탈리아 대법원 격인 카사치오네는 4월 초 쉬쩌웨이를 미국으로 보낼 수 있다고 판단했다. 정부 결정은 그 뒤에 따라온 행정 절차였다.

이 순서가 중요하다. 이탈리아 법원은 미국 기소장의 증거 구조를 검토했고, 송환 요건을 충족한다고 봤다. 다시 말해 미국의 사이버 기소가 더 이상 외교적 항의문 수준에 머물지 않았다는 뜻이다. 동맹국 법정에서 통과될 만큼 정리된 문서가 됐다.

이건 멜로니가 혼자 만든 결과가 아니다. 그리고 멜로니가 마음대로 뒤집을 수 있는 문제도 아니다.

베이징의 반응도 이 점을 거꾸로 보여준다. 중국 외교부는 미국이 사이버 이슈를 정치적으로 이용하고 있다며 반발했고, 제3국을 통한 자국민 인도에 단호히 반대한다고 밝혔다.

종이 위에만 남는 기소장에는 이렇게 반응하지 않는다.

이제 무엇이 바뀌었나

이번 사건으로 구조가 하나 바뀌었다. 중국 사이버 요원에게 본토 밖은 더 이상 안전지대가 아니다. 환승 공항, 휴가지, 국제 학회, 출장지. 미국과 범죄인 인도 조약을 맺은 나라라면 어디든 잠재적 체포지가 될 수 있다.

그동안 중국 사이버 인력의 활동 반경에서 빠져 있던 변수가 새로 생긴 것이다.

베이징은 이제 둘 중 하나를 선택해야 한다. 자국 사이버 인력의 해외 이동을 더 강하게 통제하거나, 비슷한 사건이 벌어질 때마다 상대국 사법부와 정부를 압박해야 한다.

첫 번째 선택지는 인력 운용 비용을 올린다. 두 번째 선택지는 외교 자산을 소모한다. 어느 쪽이든 예전에는 들지 않던 비용이다.

미국이 10년 동안 만들지 못했던 억지력은 바로 이 지점에서 생긴다. 기소장이 사람을 데려오기 시작하면, 기소장은 더 이상 발표용 문서가 아니다.

한국도 남의 일이 아니다

한국에는 이 사건이 남기는 조건이 둘 다 있다. 한미 범죄인 인도 조약이 발효 중이고, 인천공항은 동북아 최대 환승 허브다.

미국이 수배한 중국 국적자가 인천공항 환승 구역을 지나가는 상황은 허황된 상상이 아니다. 충분히 벌어질 수 있는 장면이다.

그때 한국 정부 앞에 놓일 문제는 단순하지 않다. 한미 범죄인 인도 조약이 사이버 범죄에 어디까지 적용되는지, 중국이 어떤 경제적, 외교적 압박을 가할지, 법무부와 외교부와 대통령실 중 누가 정치적 책임을 질지 따져야 한다. 법원이 먼저 길을 열어 줄 수도 있고, 외교 부담 때문에 법원 단계에서 막힐 수도 있다.

이탈리아에서 벌어진 일은 한국에 하나의 예고편을 보여줬다. 중요한 건 이 시험지를 한국이 만든 게 아니라는 점이다. 문제는 밖에서 도착했다. 답안 작성 시간도 길지 않다.

결국 핵심은 하나다. 한국은 이 문제를 법의 문제로 볼 것인가, 외교의 문제로 볼 것인가.

그리고 더 불편한 질문도 남는다. 법의 문제로 보겠다고 말한 뒤, 중국의 압박이 시작돼도 그 말을 지킬 수 있는가.

다음 공항

지난 10년 동안 미국의 사이버 기소장은 발표되는 순간 가장 무거웠다. 그 뒤로는 점점 가벼워졌다. 피고인이 법정에 오지 않았기 때문이다.

이번에는 순서가 달랐다. 2025년 여름 공개된 기소장이 9개월을 기다렸다가 이탈리아에서 실제 효력을 냈다. 법무부 보도자료에 머물던 문서가 공항에서 사람을 붙잡고, 법원을 통과하고, 결국 미국 법정으로 향했다.

한 번 효력을 낸 문서는 두 번째 효력도 낼 수 있다.

이제 남은 질문은 이것이다.

그다음 사람은 어느 공항에서 멈춰 서게 될까.

출처

• Reuters, Italy to extradite suspected Chinese hacker wanted by US authorities, says source, 2026.04.26

• Rappler/Reuters, Italy extradites suspected Chinese hacker wanted by US authorities, 2026.04.27

• Bloomberg, Chinese National Xu Zewei to Be Extradited From Italy Over US Hacking Case, 2026.04.26

• U.S. Department of Justice, Justice Department Announces Arrest of Prolific Chinese State-Sponsored Contract Hacker, 2025.07

• Microsoft Security Blog, HAFNIUM targeting Exchange Servers with 0-day exploits, 2021.03.02

• South China Morning Post, Italy to extradite suspected Chinese hacker wanted by US authorities: reports, 2026.04.26