미국 의원들, 인도 용병 해킹 기업 3곳의 제재 명단 등재 요청

미국 민주당과 공화당 소속 의원들로 구성된 한 단체가 유료 사이버 공격을 수행한 혐의를 받는 인도 기업 3곳을 미국 상무부의 거래제한 목록에 올려 달라고 요청했다. 요청 대상은 BellTroX, CyberRoot, 그리고 과거 Appin이라는 이름으로 운영됐던 Sunkissed Organic Farms다.

민주당 소속 Ron Wyden 오리건주 상원의원과 Sheldon Whitehouse 로드아일랜드주 상원의원, 그리고 공화당 소속 Pat Harrigan 노스캐롤라이나주 하원의원은 수요일 Howard Lutnick 상무부 장관에게 서한을 보냈다. 의원들은 상무부가 거래제한 목록을 활용해 미국 기업들이 이 세 기업과 거래하는 것을 제한해야 한다고 촉구했다.

거래제한 목록은 무엇을 의미하는가?

거래제한 목록에 등재되면 사실상 미국 기업이 등재된 기업과 거래하는 것이 금지되거나 크게 제한된다. 또한 소프트웨어 라이선스와 클라우드 인프라 같은 핵심 기술에 대한 접근도 제한될 수 있다. 그러나 이 서한은 정책적 요청일 뿐 제재 부과 결정은 아니며, 상무부가 이를 승인할지는 아직 분명하지 않다.

의원들은 이 세 기업이 10년 넘게 미국인, 사업가, 변호사를 겨냥한 사이버 공격과 첩보 활동을 수행했다고 밝혔다. 서한에 따르면 도난한 정보는 진행 중인 소송에 영향을 미치는 데 사용됐으며, 해당 기업들은 자신들의 의혹 대상 활동에 관한 정보 공개를 제한하기 위한 압박 및 은폐 캠페인에 참여했다는 혐의도 받고 있다.

혐의의 배경

이번 요청은 임원, 의원, 군 관계자의 이메일 계정과 개인 기기에 침투하기 위해 고객이 공격자에게 돈을 지불하는 유료 해킹 업계의 활동을 기록한 보도와 조사 이후 나왔다. 이러한 침투의 목적은 법적 분쟁에서 우위를 확보하거나 그 결과에 영향을 미치는 것이다.

Appin은 앞서 인도 법원으로부터 전 세계적 법원 명령을 받아 Reuters가 해당 기업을 다룬 보도를 일시적으로 삭제하도록 강제했으며, 이후 명령이 해제되면서 Reuters는 해당 보도를 다시 게재했다. Electronic Frontier Foundation은 Techdirt와 MuckRock Foundation이 자신들이 협박 및 검열 캠페인이라고 규정한 활동과 관련된 법적 위협에 직면했을 때 이들을 변호했다고 밝혔다.

의원들의 서한에는 유료 해킹 기업들이 카타르 정부의 요청에 따라 활동했으며, 표적 중에는 전직 미국 공화당 의원도 포함됐다는 혐의가 담겼다. 앞선 보도는 Appin을 FIFA 관계자들을 겨냥한 공격 캠페인과 연결했으며, 이 캠페인은 2022년 월드컵 개최 계획을 보호하기 위해 카타르가 지시한 것으로 전해졌다. 보도 전까지 카타르 정부나 관련 기업들은 논평 요청에 응답하지 않았다.

이번 요청이 중요한 이유

이번 요청은 이 사안을 보도와 조사 단계에서 유료 해킹 서비스 제공업체에 경제적·기술적 제한을 부과할 수 있는 정부 절차로 옮긴다. 상무부가 승인할 경우 직접적인 영향은 대상 기업들이 미국의 서비스와 기술을 이용할 수 있는 능력에 미치게 된다. 그러나 결정 자체와 제한의 범위, 그리고 해당 혐의가 공식적으로 입증될지는 여전히 미지수다.