중국, 팔로알토 정식 심사 착수…마이크론처럼 구매금지 될까

중국 국가인터넷정보판공실(CAC) 산하 사이버보안심사판공실이 8월 6일(현지시각) 미국 사이버보안 기업 팔로알토 팔로알토 네트웍스(Palo Alto Networks)가 중국에서 판매하는 제품을 대상으로 정식 사이버보안 심사에 착수한다고 발표했다. 국가안전법과 사이버보안법, 사이버보안심사조치에 근거한 조치라는 설명이다. CAC는 “핵심정보기반시설의 안전하고 안정적인 운영을 보장하고 사이버 위험과 취약점을 예방해 국가안전을 수호하기 위한 것”이라고 밝혔다. 아직 어떤 제품이 심사 대상인지, 어떤 취약점이 문제인지, 심사가 언제 끝나는지에 대한 구체적 설명은 나오지 않았다. 이런 불투명성은 앞서 마이크론 마이크론 테크놀로지(Micron Technology) 심사 때도 나타난 패턴으로, 당시 심사는 결국 마이크론 제품 구매 금지라는 실제 제재로 이어진 전례가 있다.

심사 배경과 절차

CAC는 이번 조치를 발표하면서도 팔로알토 제품이 국가안전에 위험을 초래한다고 결론짓지 않았고, 전면적인 판매 금지도 선언하지 않았다. 다만 심사 대상이 사이버보안 제품이고 공고문이 핵심정보기반시설의 안전한 운영을 특히 강조한 점을 고려하면, 금융·에너지·통신·교통 등 분야의 정부기관, 중앙 국유기업, 핵심정보기반시설 운영자들은 심사 결과가 나올 때까지 신규 구매를 즉시 중단할 가능성이 크다. 상업적으로는 이미 사실상의 임시 제한에 가깝다는 분석이 나온다.

이번 발표는 하루 전 중국이 다수의 미국 기업에 제재를 가하고 드론 공급망 통제를 강화한 것과 맞물려 있다. 이 조치는 미국이 앞서 외국산 로봇 기기와 전력 인버터 수입·판매를 사실상 금지하고 수십 개 중국 기업을 제재한 데 대한 대응이라는 설명이 뒤따랐다. 중국과 미국은 관세 전쟁 재발을 피하면서도 각자 공급망의 취약점을 줄이려는 이른바 ‘디리스킹’ 경쟁을 이어오고 있는 상황이다.

팔로알토는 어떤 회사이고 왜 표적이 됐나

팔로알토 팔로알토 네트웍스는 미국 캘리포니아주 산타클라라에 본사를 둔 세계 최대 사이버보안 전문기업 중 하나다. 대표 제품은 차세대 방화벽이며, 기업용 VPN 글로벌 프로텍트(GlobalProtect), 클라우드 보안 플랫폼 프리즈마(Prisma), 엔드포인트 탐지·보안운영 플랫폼 코텍스(Cortex), 악성코드 분석 서비스 와일드파이어(WildFire), 위협 인텔리전스 조직 유닛42(Unit 42)를 운영한다. 2025 회계연도 매출은 약 92억 2000만 달러에 달했다.

팔로알토 제품이 문제되는 이유는 배치 위치에 있다. 차세대 방화벽은 단순히 IP·포트 단위로 걸러내는 전통적 보안장비와 달리 OSI 7계층인 애플리케이션 계층에서 동작한다. 딥패킷인스펙션(암호화된 트래픽 내부를 들여다보는 기술) 방식으로 특정 애플리케이션을 식별하고, 웹·파일공유 프로토콜에 숨은 위협을 탐지하며, 데이터센터 내부 서버 간 트래픽까지 통제한다. 단순한 문지기가 아니라 능동적인 관측 지점이라는 의미다. 와일드파이어는 의심 파일을 아시아태평양 지역 클라우드로 전송해 분석하는데, 이 클라우드는 싱가포르에 있으며 중국 본토에 별도 클라우드가 있다는 공개 정보는 없다. 사이버보안심사조치는 심사관들이 국외 데이터 전송 위험이나 해외 본사의 원격 접근 가능성을 반드시 점검하도록 규정하고 있는데, 이 구조는 두 조건 모두에 해당한다는 지적이 나온다. 다만 고객이 텔레메트리 일부 기능을 끄거나 현지화된 프라이빗 클라우드 장비를 쓸 수도 있어, 기본적으로 어떤 데이터가 수집돼 해외로 전송되는지는 기술적 검토가 필요한 문제이지 곧바로 ‘백도어’ 발견으로 단정할 수는 없다.

지난해 말부터 이어진 사용 중단 조치

이번 정식 심사는 갑자기 나온 것이 아니다. 2026년 1월 중국 당국은 일부 국내 기관에 팔로알토 팔로알토 네트웍스, 포티넷(Fortinet), 체크포인트(Check Point), 크라우드스트라이크(CrowdStrike), 브로드컴 산하 VMware, 센티널원(SentinelOne), 알파벳 산하 맨디언트(Mandiant), 마스터카드 산하 레코디드퓨처(Recorded Future), 위즈(Wiz) 등 10여 개 미국·이스라엘 기업의 사이버보안 소프트웨어 사용을 중단하라고 지시했다. 전환 기한은 2026년 상반기로 제시됐다. 블룸버그가 확인한 당시 지침은 서구 소프트웨어가 민감 정보를 수집해 해외로 전송할 수 있다는 우려를 근거로 들었다. 그에 앞서 2025년 12월에는 중국 증권감독 관련 기관의 한 통지문이 팔로알토를 구체적으로 지목해, 미국·서구 정보기관과 연계된 기업의 사이버보안 제품에 문제가 있다고 밝힌 사실도 블룸버그 보도로 확인됐다.

전환 기한이 이미 지난 지금, 베이징은 법적 강제력이 없는 조달 지침 단계에서 법적 절차와 강제력을 갖춘 사이버보안심사판공실 심사 체계로 대응을 끌어올린 셈이다. 팔로알토는 정보기관과의 연계 의혹을 부인했으며, 이번 정식 심사에 대한 언론 문의에는 즉답하지 않았다. 한편 로이터는 2026년 2월, 팔로알토 경영진이 37개국에 영향을 미친 글로벌 스파이 캠페인을 중국 정부로 직접 지목한 유닛42의 위협 보고서 표현을 1월 사용 중단 조치 이후 완화하도록 지시했다고 보도했다. 중국을 지목하면 중국 내 사업에 대한 추가 보복을 부를 수 있다는 우려가 배경으로 거론됐다. 같은 보도에 따르면 유닛42 연구자들은 포렌식 증거를 근거로 중국 지목 입장을 유지했지만 경영진은 이를 다르게 설명했다. 팔로알토는 표현 변경이 상업적 고려 때문이라는 점을 부인했다.

중국 시장에서의 위치와 남은 변수

팔로알토는 베이징, 상하이, 광저우 등에 사무소를 두고 있고 중국 내 직원 수는 70명이 넘는다. 다국적기업이나 대기업을 상대로 방화벽, VPN, 클라우드 보안 서비스를 제공해왔다. 실제 사례로 컨설팅사 소트웍스(Thoughtworks) 중국법인은 직원 2817명을 대상으로 팔로알토 방화벽, 글로벌 프로텍트, 와일드파이어를 도입한 적이 있다.

그러나 팔로알토는 중국 사이버보안 시장의 주류 업체는 아니다. IDC 데이터에 따르면 2024년 기준 중국 사이버보안 하드웨어 시장 규모는 약 210억 위안이었고, 상위 5개 업체는 산포드(Sangfor), 벤유스텍(Venustech), H3C, 화웨이, 톱섹(Topsec)으로 각각 9% 이상의 점유율을 기록했다. 팔로알토는 이 5위권에 들지 못했다. 중국 매출을 별도 공시하지 않기 때문에, 팔로알토의 전체 시장 점유율은 9.3% 미만이며 실제로는 한 자릿수 초반일 가능성이 크다는 정도만 추정할 수 있다. 다국적기업이나 글로벌 통합 네트워크 구조가 필요한 고급 제조업체 사이에서는 상대적으로 영향력이 있지만, 정부·국유기업·핵심정보기반시설 시장에서는 오랫동안 자국산 육성 정책과 국산 대체 흐름에 밀려온 처지다.

관건은 이번 심사가 마이크론 사례처럼 실제 구매 금지 조치로 이어질지 여부다. 사이버보안심사조치는 2021년 12월 중국 정부기관 13곳이 마지막으로 개정한 규정으로, 제품이 불법적으로 통제·조작될 수 있는지, 수출통제 같은 외교적 이유로 공급이 중단될 수 있는지, 승인 없이 민감 데이터가 유출될 수 있는지를 심사관들이 점검하도록 하고 있다. 이 기준들은 원격 관리 기능, 클라우드 연동 위협 정보 업데이트, 애플리케이션 계층 트래픽 검사 등 차세대 방화벽의 핵심 기능과 그대로 맞닿아 있다. 심사 결과가 나오기 전까지 팔로알토는 중국 내 남은 사업 기반을 지키기 위한 대응책 마련에 나설 것으로 보인다.