[해외보안뉴스] TP-Link, 보안 미흡 및 중국 연계 의혹으로 미국 5개 주에서 소송 직면
· 2026-10-09 15:00
· 조회 11
· 원문 ↗
미국의 4개 주(플로리다, 아이오와, 몬태나, 네브래스카)가 네트워크 장비 제조업체 TP-Link Systems를 상대로 소비자를 기만했다며 법적 대응에 나섰습니다. 이는 지난 2월 텍사스주가 제기한 소송에 이은 것으로, 이로써 TP-Link를 상대로 소송을 제기한 미국 주정부는 총 5곳으로 늘어났습니다. 원고 측 주정부들은 TP-Link가 공유기 제품의 보안 수준과 중국 본사 및 정부로부터의 독립성에 대해 허위 및误导(오도) 정보를 제공했다고 주장하고 있습니다.
이번 소송은 TP-Link 라우터가 심각한 사이버 보안 취약점을 포함하고 있으며, 사이버 공격자나 국가 지원 해킹 그룹의 공격 통로로 악용될 수 있다는 우려에서 비롯되었습니다. 특히 TP-Link Systems가 캘리포니아에 본사를 둔 미국 법인임에도 불구하고, 실제로는 중국 기업과의 밀접한 연계로 인해 국가 안보 및 개인정보 유출 위협을 유발한다는 점이 핵심 쟁점으로 떠올랐습니다. 이에 대해 TP-Link 측은 제기된 모든 혐의를 부인하며 법정에서 적극적으로 다투겠다는 입장을 밝혔습니다.
네트워크 공유기와 같은 IoT 및 통신 장비는 사이버 침투의 주요 진입점이 될 수 있으므로, 사용자와 기업은 공급망 보안에 각별한 주의를 기울여야 합니다. TP-Link 기기 사용자는 최신 보안 펌웨어 업데이트를 즉시 적용하고 기본 관리자 계정 암호를 강력하게 변경해야 합니다. 또한, 보안에 민감한 기업이나 기관은 네트워킹 장비 도입 시 기기의 보안 검증 상태와 공급업체의 보안 리스크를 다각도로 평가하는 방안이 필요합니다.
개발자 관점에서 라우터와 같은 엣지 디바이스의 보안은 단순한 마케팅 문구가 아니라 투명한 SBoM(소프트웨어 부품 명세서) 관리와 신속한 펌웨어 패치 생태계로 증명되어야 합니다. 공급망 리스크가 고조되는 상황에서는 경계 네트워크 장비를 무조건 신뢰하기보다, 제로 트러스트(Zero Trust) 관점에서 내부 네트워크 격리 및 엔드포인트 보안을 강화하는 아키텍처가 필수적입니다. 결국 네트워크 최전선에 위치한 장비일수록 개발 단계부터 '기본 설정에 의한 보안(Security by Default)'과 엄격한 코드 검증 프로세스를 정착시켜야 합니다.
TP-Link 유무선 공유기는 높은 점유율 때문에 레드팀이나 실제 공격자에게 매우 매력적이고 광범위한 공격 표적(Attack Surface)입니다. 보안 관리 부실과 불투명한 공급망 문제는 APT 그룹의 초기 침투 거점(Initial Access) 확보나 대규모 C2 봇넷 구축에 악용될 최적의 조건을 제공합니다. 특히 라우터 제어권 상실은 단순 단말 해킹을 넘어 내부 네트워크 트래픽 도청 및 재택근무자를 통한 기업망 우회 침투로 직결되므로 실질적인 악용 가치가 매우 높습니다.
네트워크 장비의 공급망 보안과 지정학적 리스크가 기술적 문제를 넘어 심각한 법적·규제적 리스크로 확대되고 있음을 보여주는 사례입니다. 최고보안책임자 관점에서는 제3자 리스크 관리(TPRM) 체계를 강화하여 제조사의 단순 주장이나 인증에 의존하지 않고, 장비의 보안성과 데이터 흐름의 투명성을 엄격히 다각도로 검증해야 합니다. 조직 내 배치된 에지(Edge) 장비에 대한 포괄적인 자산 전수 조사와 함께 하드웨어 공급망 영역까지 확장된 제로 트러스트(Zero Trust) 점검 체계 구축이 시급합니다.