미국, 정부 감독 아래 민간 기업의 공격적 사이버 작전 허용

미국 행정부는 새로운 대통령 각서에 따라 심사를 거친 민간 기업이 국제 범죄 조직과 해커를 상대로 공격적 사이버 작전에 참여할 수 있도록 처음으로 허용한다고 발표했다. 각서는 랜섬웨어 공격, 금융 사기, 성적 협박을 비롯해 미국인을 겨냥한 위협에 대응하기 위해 민간 부문의 역량을 활용하는 것이 목적이라고 밝혔다.

이 정책은 기업이 독자적으로 공격을 수행할 수 있도록 포괄적으로 허가하는 것은 아니다. 각서에 따르면 작전은 연방 정부의 감독 아래에서만 진행되며, 법무부와 국토안보부 대표들의 승인을 받아야 한다. 정부는 아직 프로그램 운영의 세부 사항을 확정하지 않았으며, 향후 두 달 안에 참여 지침을 발표할 것으로 예상된다.

재정적·법적 통제를 받는 공격 권한

새로운 체계에 따라 참여 기업은 정보 수집을 위한 스파이웨어 사용과 같은 감시 작전뿐 아니라 범죄자들의 데이터나 시스템을 파괴하는 것을 목표로 하는 교란 공격도 수행할 수 있다. 그 대신 기업은 100만 달러를 에스크로 계좌에 예치해야 하며, 정부가 해당 작전의 규정을 준수하지 않았다고 판단할 경우 이를 잃을 수 있다.

정부는 미국인이나 미국 내에 있는 시스템이 표적이 되는 것을 막기 위한 절차를 마련할 예정이다. 또한 기업은 전력망이나 상수도 시설과 같은 미국의 핵심 기반 시설에 임박한 사이버 공격을 발견하면 정부에 알려야 한다. 예정된 지침은 모든 규모의 기업을 포함하며, 여기에는 전문적인 작전을 수행하는 데 더 적합할 수 있는 소규모 기업도 포함된다.

기존 미국 정책에서의 전환

이번 결정은 여러 행정부에 걸쳐 이어져 온 미국의 입장에서 큰 변화를 의미한다. 기존 정책은 민간 부문이 유입되는 공격에 대응해 스스로를 방어하는 것은 허용했지만, 공격을 감행하거나 교란 작전을 수행하는 것은 금지했다. 민간 기업에는 적절한 사법적 허가 없이 사이버 공격을 수행하는 것을 금지하는 동일한 연방법이 적용된다.

그러나 각서는 기업이 자신을 위협하는 어떤 세력에 대해서도 독자적으로 ‘해킹을 통한 보복’ 작전을 수행하도록 허용하는 수준에는 이르지 않는다. 백악관은 민간 기업이 이미 프로그램에 참여했는지도 밝히지 않았으며, TechCrunch의 질문을 백악관이 발표한 팩트시트로 돌렸다.

국제적 파장에 대한 우려

비판론자들은 민간 기업을 정부 작전에 참여시키면 법적·외교적 분쟁이 발생할 수 있다고 본다. 특히 외국 정부가 미국 기업이 자국 영토나 시스템을 공격했다고 주장할 경우 더욱 그렇다. 이 정책은 법적 도전에 직면할 수 있으며, 정부의 해킹 작전에 민간 부문이 참여하는 것을 오랫동안 반대해 온 세력의 저항에도 부딪힐 수 있다.

사이버 보안 기업 Hunter Strategy의 연구개발 부문 부사장 제이크 윌리엄스는 이 정책이 미국 사이버 보안 기업의 직원들을 해외에서 기소되거나 구금될 위험에 노출할 수 있다고 말했다. 그는 이 직원들이 작전에 참여했다는 사실이 입증되지 않더라도 여행 중 ‘비정규 전투원’으로 분류될 수 있다고 덧붙였다. 윌리엄스는 이 정책을 ‘미성숙하다’고 평가하며 악용을 막을 수 있을지 확신하지 못한다고 밝혔다.

고조되는 위협의 맥락

이번 각서는 행정부가 미국이 증가하는 위협에 직면해 있다고 밝히는 가운데 나왔다. 여러 주의 상수도 기반 시설이 공격을 받았으며, 현지 당국에 전달된 정보 평가에 따르면 이러한 공격은 이란 정부의 지원을 받는 해커들의 소행으로 지목됐다. 또한 보고서는 기업과 미국의 기반 시설을 마비시킨 공격이 발생했으며, 자율적으로 작동하는 인공지능 소프트웨어가 뒷받침하는 사이버 위협이 고조되고 있다고 지적했다.