이탈리아의 중국 해커 송환 결정은 왜 단순한 한 명 체포보다 미국의 대중국 사이버 기소가 유럽 동맹의 ‘실제 인도’ 단계로 들어갔다는 신호인가

중국 관련 뉴스는 미정갤에서 늘 빠르게 증폭된다. 공군기지 촬영, 중국산 IT 배제, 지방정부 대중국 접촉, AI 증류 절도 같은 이슈들이 서로 다른 층위인데도 곧장 하나의 침투 서사로 합쳐진다. 그래서 이런 뉴스를 볼 때 제일 먼저 해야 할 일은 분위기를 따라가는 게 아니라 정말 새로 추가된 사실이 무엇인지를 분리하는 일이다. 이번 건에서 새 사실은 명확하다. 미국이 중국 해커를 비난했다는 것 자체가 아니라, 이탈리아 정부가 실제 송환 결정을 내렸다는 것이다.

이 차이는 생각보다 크다. 사이버 사건은 보통 발표, 기소, 제재, 외교적 항의에서 머무는 경우가 많다. 특히 국가가 배후로 거론되는 해킹은 더 그렇다. 그런데 이번에는 기소장이 종이에서만 돌지 않았다. 미국 수사기관의 혐의가 이탈리아 사법 절차를 거쳐 유럽 땅에서 신병 인도 결정으로 이어지고 있다. 이건 단순한 체포 소식보다 한 단계 무거운 뉴스다.

확인된 사실부터 보자. 미국이 원한 건 오래된 비난의 반복이 아니라 실제 신병 확보였고, 이탈리아가 거기에 응답했다

Reuters 보도에 따르면 이탈리아 정부는 미국 당국이 해킹 혐의로 수배한 중국인 쉬쩌웨이를 미국으로 송환하기로 결정했다. 앞서 이탈리아 법원은 이달 초 그가 송환될 수 있다는 판단을 내렸고, 이번 정부 결정은 그 절차가 실제 집행 단계로 넘어가고 있음을 보여 준다. 이탈리아 정부 대변인은 Reuters에 논평을 거부했고, 쉬의 변호인은 아직 해당 결정을 공식 통지받지 못했다고 말했다.

미국 법무부와 Reuters의 작년 7월 보도를 합치면 시간표는 더 선명해진다. 쉬는 2025년 7월 3일 밀라노에서 미국 요청으로 체포됐고, 미국 법무부는 같은 달 그를 포함한 9개 혐의의 기소장을 공개했다. 법무부는 쉬와 공동피고인 장위가 2020년부터 2021년 사이 미국 내 대학과 연구자들을 겨냥한 침입, 그리고 2021년 전 세계 수천 대 컴퓨터를 흔든 HAFNIUM 익스체인지 서버 침투에 관여했다고 주장한다. 즉 이번 뉴스는 새 사건의 시작이 아니라, 작년 체포 사건이 이제 실제 인도 직전 단계까지 왔다는 후속 국면이다.

왜 이게 새 국면이냐면, 미국의 대중국 사이버전 언어가 ‘비난’에서 ‘동맹 집행’으로 한 칸 내려왔기 때문이다

미국은 지난 몇 년 동안 중국발 해킹을 꾸준히 공개 비난해 왔다. 연구기관 표적화, 산업기밀 절취, 클라우드 침입, 마이크로소프트 익스체인지 악용 같은 이슈가 반복됐다. 하지만 공개 비난이 곧바로 법집행 성과로 이어지는 건 아니다. 상대가 중국 국적자이고, 제3국에서 신병을 확보해야 하며, 배후에 중국 국가안전부(MSS) 같은 정보기관이 거론될 경우 더더욱 그렇다.

그래서 이번 이탈리아 결정이 의미 있는 이유는, 미국의 대중국 사이버 기소가 ‘중국을 비판하는 문장’ 차원을 넘어 실제로 유럽 동맹국의 사법·행정 결정에 영향을 미치는 단계로 내려왔기 때문이다. 말하자면 워싱턴이 사이버 사건을 발표하고 끝내는 게 아니라, 동맹 네트워크를 통해 피의자를 붙잡고 넘겨받는 집행 인프라를 작동시키고 있다는 뜻이다.

더구나 혐의 내용이 그냥 회사 해킹 하나가 아니라 팬데믹 연구와 HAFNIUM 두 축이라는 점이 중요하다

미국 법무부 발표는 이 사건을 단순한 금전 해킹으로 설명하지 않는다. 첫째, 쉬와 공범들이 2020년 초 미국 대학, 면역학자, 바이러스학자를 겨냥해 코로나19 백신·치료·검사 연구를 훔치려 했다고 본다. 법무부는 중국 국가안전부 상하이국 소속 인물이 특정 연구자 메일함 침투를 지시했고, 쉬가 그 결과물을 보고했다고 적었다. 둘째, 법무부는 이들이 2021년 마이크로소프트 익스체인지 서버 제로데이 악용 캠페인인 HAFNIUM에도 관여했다고 주장한다.

여기서 중요한 건 사건의 스케일이다. Microsoft는 2021년 당시 HAFNIUM을 중국 기반의 국가 후원 그룹으로 평가했고, 익스체인지 서버의 복수 취약점이 악용돼 이메일 접근과 추가 악성코드 설치가 가능했다고 설명했다. 미국 법무부는 이 캠페인이 미국 내 6만 개 이상 조직을 겨냥하고 1만2700곳 이상을 실제 피해자로 만들었다고 말했다. 그러니 이번 송환 결정은 개인 한 명의 노트북 범죄를 다투는 게 아니다. 팬데믹 시기 연구 절취와 글로벌 기업용 메일 인프라 침입이라는, 국가적 의미가 큰 두 축을 묶은 사건이다.

이 점에서 이번 뉴스의 진짜 포인트는 ‘중국 해커 체포’보다 유럽이 미국의 사이버 안보 서사를 법적 사실관계로 받아들이기 시작했다는 데 있다

사이버 안보 담론은 쉽게 공중전이 된다. 어느 나라가 해킹 배후라고 말하고, 상대 국가는 정치적 모함이라고 반발하고, 그 사이에서 실제 책임 추궁은 느슨해지기 쉽다. 중국 외교부도 지난해 Reuters 질의에 대해 미국이 사이버 이슈를 이용해 중국을 악의적으로 비방한다고 반발했고, 제3국을 통한 중국인 인도에 반대한다고 밝혔다. 쉬 본인도 변호인을 통해 오인 체포를 주장해 왔다.

그런데도 이번 이탈리아 결정이 무거운 이유는, 이런 상투적 공방을 넘어 유럽 사법권이 미국의 사건 서류를 검토하고도 송환 가능 판단을 내렸다는 데 있다. 물론 유죄가 확정됐다는 뜻은 아니다. 하지만 적어도 미국의 사이버 기소가 외교적 수사에 그치지 않고, 동맹국 법원이 처리 가능한 수준의 혐의 구조와 증거 틀을 갖췄다고 인정받고 있다는 뜻은 된다.

그래서 이번 장면은 미중 사이버 갈등이 제재·성명 단계에서 ‘인도 가능한 국제 법집행 문제’로 바뀌고 있다는 신호에 가깝다

이건 앞으로의 대중국 압박 방식에도 함의를 남긴다. 미국이 중국계 해킹 문제를 다룰 때 예전엔 공개 기소와 기업 경고, 외교 항의, 제재 명단이 중심이었다면, 이제는 해외 여행·경유·제3국 체류라는 물리적 이동 경로 자체가 리스크가 된다. 국가 배후 해킹 혐의자라도 동맹국 관할권 안으로 들어오면 실제 신병 확보가 가능하다는 전례가 쌓이기 때문이다.

이건 중국 입장에선 단순 체면 문제가 아니다. 미국의 장기 수사와 동맹국의 사법 협력이 결합하면, 나중에라도 특정 인물을 안전지대 바깥에서 건져 올릴 수 있다는 메시지가 된다. 반대로 미국 입장에선 사이버 억지의 언어가 조금 달라진다. “우리는 너희를 비난한다”가 아니라, “시간이 걸려도 추적해 실제로 법정에 세우겠다”는 쪽으로 무게중심이 이동한다.

물론 여기서 과장하면 안 되는 것도 분명하다

확인된 사실은 이렇다. Reuters에 따르면 이탈리아 정부는 미국이 수배한 중국인 쉬쩌웨이를 미국으로 송환하기로 결정했다. 쉬는 2025년 7월 밀라노에서 체포됐고, 미국 법무부는 그가 코로나19 연구 절취와 HAFNIUM 익스체인지 침투에 가담했다고 주장한다. Reuters는 이달 초 이탈리아 법원이 그가 송환될 수 있다는 판결을 내렸다고 전했다. 미국 법무부는 쉬가 중국 국가안전부 상하이국 지시 아래 움직였다고 보고 있다.

아직 단정하면 안 되는 것도 있다. 첫째, 송환 결정은 유죄 판결이 아니다. 미국 법정에서 혐의가 입증돼야 한다. 둘째, 이번 한 건만으로 유럽 전체가 미국의 모든 대중국 사이버 주장을 자동 승인한다고 볼 수는 없다. 셋째, 쉬 측은 오인 체포를 주장해 왔고, 중국 정부도 미국의 장거리 관할권 남용이라고 반발한다. 그러니 “중국 국가해킹이 전부 법적으로 확정됐다”는 식의 문장은 과장이다.

그래도 분명한 한 가지는 있다. 이제 사이버 갈등은 서버 안에서만 끝나지 않고, 동맹의 공항과 법원으로 내려오고 있다

미정갤은 이런 뉴스를 보면 금방 “역시 중국” 같은 한 줄 반응으로 닫아 버리기 쉽다. 하지만 더 중요한 건 감정이 아니라 구조다. 이번 뉴스는 미국이 중국발 해킹을 다루는 방식이 성명서·기소장·제재 명단 수준을 넘어, 유럽 동맹국의 체포·송환 협력까지 동원하는 실물 법집행 체계로 굳어지고 있다는 사실을 보여 준다.

그 점에서 이탈리아의 쉬쩌웨이 송환 결정은 단순한 범죄 인도 뉴스가 아니다. 미중 사이버 충돌이 이제 기술회사 서버실과 외교 브리핑룸을 넘어, 동맹국 사법체계 안에서 실제 사람을 넘기는 단계까지 들어왔다는 신호다. 국가 간 해킹 갈등이 여기까지 내려오면, 그건 더 이상 수사적인 사이버전이 아니라 훨씬 비싸고 훨씬 집요한 법집행 경쟁이 된다.

한 줄 결론: 이탈리아의 중국 해커 송환 결정이 보여 주는 진짜 새 국면은 미국의 대중국 사이버 기소가 외교적 비난을 넘어 유럽 동맹의 실제 신병 인도 협력 단계로 내려왔다는 데 있다.