보안
IBM·AT&T가 미국 정부에 APT10 침입을 숨겼다는 내부고발 소송 공개…IBM은 법무부가 개입하지 않았다고 반박
전 IBM 위협 인텔리전스 책임자가 IBM과 AT&T가 APT10 침입을 숨겼다고 주장했다. IBM은 반박하며 법원 판단은 나오지 않았다.
새로운 소식이 아니다. 소송은 2026년 6월 초 공개됐고 보도는 6월 4~5일 것이다. 전 IBM 위협 인텔리전스 책임자 윌리엄 발로는 2020년 비공개로 제기한 허위청구법(False Claims Act) 소송에서, IBM과 AT&T가 중국 연계로 알려진 APT10 등의 침입을 공개하지 않고 연방 구매자에게 시스템이 안전하다고 보증했다고 주장한다. IBM은 이를 부인하며 법무부(DOJ)가 개입하지 않았다고 짚는다. 주장은 검증되지 않았고 법원 판단도 없으며, 11월 7일 기준 더 새로운 결정은 찾지 못했다.
핵심 요약
- 고발자: GovInfoSecurity에 따르면 윌리엄 발로는 2017~2019년 IBM 위협 인텔리전스를 이끌었다. 사건은 맨해튼 연방법원에 계류 중이다.
- 주장 내용: 2017년 파이브 아이즈 기관들이 APT10이 IBM 클라우드에 침투했다고 경고했고, 내부 조사는 2013~2016년 5만 6000건 이상의 침해 가능성을 셌다고 한다. 일부는 로그가 없어 조사하지 못했다.
- IBM의 반응: 대변인은 구체적 주장에는 답하지 않았고, 소송이 6년 전 제기됐으며 DOJ가 개입하지 않았고 법의 문언대로 행동했다고 확신한다고 말했다. AT&T는 답하지 않았다.
- 유의점: 개입하지 않기로 한 결정은 소송의 타당성을 보여주지 않는다고 발로의 변호사가 블룸버그 기반 보도에서 말했다.
계약과 관련해 정확히 무엇을 주장하나
소장은 IBM이 중대한 미해결 사이버 보안 문제가 없음을 인증해야 하는 정부 계약을 맺기 전 사건을 축소하거나 숨겼고, 입찰 때도 네트워크가 안전하다고 계속 주장했다고 한다. 임원들이 발로에게 보고서를 누그러뜨리라고 했다는 주장도 있다. 이는 서류상의 주장이지 확정된 사실이 아니다.
5만 6000이라는 숫자의 의미
언론은 내부 조사가 APT10의 소행으로 본 지표 또는 침해 가능성이라고 설명하며, 확인된 침입이 아니다. 전해진 바로는 소장은 두 회사 모두 어떤 데이터가 유출됐는지, 네트워크 밖으로 나갔는지 몰랐다고 한다. 2018년 DOJ의 APT10 구성원 2명 기소는 별개 사안이다.
확립되지 않은 점
- 침입이 주장대로 일어났는지: 확인되지 않았다. 사법 판단 없음.
- DOJ가 왜 개입하지 않았는지: 블룸버그 기반 보도에 따르면 법원 기록은 설명하지 않는다.
- IBM·AT&T 시스템에서 어떤 데이터가 유출됐는지: 소장은 알 수 없다고 한다.
- 6월 이후의 진전: 2026년 11월 7일 기준 찾지 못했다.
비교 표
| 항목 | 2026년 11월 7일 기준 공표 내용 | 출처 |
|---|---|---|
| 사건 | 2020년 비공개로 제기된 False Claims Act 소송, 2026년 6월 공개 | GovInfoSecurity |
| 원고 | 윌리엄 발로, 전 IBM 위협 인텔리전스 책임자(2017~2019년) | GovInfoSecurity |
| 핵심 주장 | IBM과 AT&T가 APT10을 포함한 침입을 정부에 숨겼다 | Security Boulevard |
| IBM의 반응 | 소송은 6년 전, DOJ 불개입, 법을 지켰다 | Claims Journal |
| 현황 | 뉴욕 연방법원 계류 중, 주장은 검증되지 않음 | GovInfoSecurity |
자주 묻는 질문
법원이 IBM에 유죄를 선고했나
아니다. 사건은 계류 중이며 주장은 검증되지 않았다.
DOJ의 불개입이 IBM의 무죄를 뜻하나
아니다. 그 결정은 소송의 타당성을 보여주지 않는다.
11월의 새 소식인가
아니다. 2026년 6월 초 공개·보도됐고, 이후 결정은 찾지 못했다.
방법과 한계
출처는 2026년 11월 7일에 확인했다. GovInfoSecurity 기사는 읽었고 Security Boulevard와 Claims Journal은 검색 발췌로 읽었다. 블룸버그 원보도는 직접 읽지 않았다. IBM과 AT&T에 관한 내용은 모두 주장이다. 법률·보안 조언이 아니다.
