트럼프, 민간기업에 해외 랜섬웨어 조직 파괴 작전 승인…예치금 100만달러 조건

도널드 트럼프 미국 대통령이 8월 12일(현지시각) 검증된 민간 기업에 해외 사이버범죄 조직을 상대로 공격적 사이버 작전을 수행할 권한을 부여하는 국가안보 대통령 각서(NSPM)에 서명했다. 데이터와 시스템을 파괴하는 작전까지 허용하는, 미국 역사상 처음으로 민간의 공세적 사이버 작전을 정부가 승인하는 프로그램이다. 참여 기업은 최소 100만 달러(약 14억 1500만원, 1달러 1415원 기준) 예치금을 걸어야 하고, 모든 작전은 법무부(DOJ)와 국토안보부(DHS) 관계자의 사전 승인을 받아야 한다. 불과 몇 달 전까지만 해도 백악관 당국자들은 이런 방식의 정책을 공식적으로 배제한다고 밝혔던 터라, 정책 방향이 급선회했다는 평가가 나온다.

감시냐 파괴냐…각서가 그린 두 갈래 작전

이번 각서가 허용하는 활동은 크게 두 가지다. 하나는 “사이버 감시 작전(Cyber Surveillance Operation)”으로, 발각되지 않은 채 해외 시스템에 무단 접근해 정보를 수집하는 행위다. 다른 하나는 “사이버 효과 작전(Cyber Effects Operation)”으로, 시스템과 그 안의 데이터를 조작·교란·거부·훼손·파괴하는 행위까지 포함한다. 프로그램은 국가조정센터(National Coordination Center, NCC)가 운영하며, 법무부와 국토안보부가 선정한 실행책임자(Executive Director)들이 작전 패키지 하나하나를 검토·승인한다.

세부 운영 규칙은 아직 확정되지 않았다. 법무부와 국토안보부는 각서 서명 후 60일 안에 참여 기업 검증 기준과 운영 절차, 승인 프로세스를 마련해야 한다. 대상 기업은 대형 보안업체뿐 아니라 특정 분야에 특화된 소규모 기업도 포함될 예정이다. 참여 기업이 의도치 않게 미국인이나 미국 영토 내 시스템을 공격하면 즉시 작전을 멈추고 정부에 통보해야 한다. 법률 자문사 와일리(Wiley)는 이 프로그램이 3월 6일(현지시각) 서명된 행정명령 14390호 “미국 시민 대상 사이버범죄·사기·약탈적 수법 대응”을 기반으로 한다고 설명하면서, 이 각서가 민간의 무단 “해킹백”을 허용하는 게 아니라 참여 기업이 정부의 명시적 승인·지시·감독 아래서만 움직이는 구조라고 짚었다. 언론이 통칭하는 “해킹백”이라는 표현과 실제 법률적 성격 사이엔 다소 간극이 있는 셈이다.

표적은 누구인가…러시아발 랜섬웨어 조직까지 사정권

각서에 따르면 해외 조직은 “명백한 정보”로 특정 정부 소속이거나 그 정부의 완전한 지시 아래 움직인다는 사실이 확인되지 않는 한 표적이 될 수 있다. 이 기준대로면 러시아 정부의 묵인 속에 활동하지만 공식적인 국가 통제를 받지는 않는 랜섬웨어 조직들, 즉 러시아 기반 랜섬웨어 생태계의 상당 부분이 표적 범위 안에 들어간다. 법무부와 국토안보부 책임자는 인명 손실이나 국제법상 무력공격에 해당할 만한 작전은 승인할 수 없지만, 그런 작전의 승인 권한은 각서의 비공개 부속서에 별도로 규정돼 있어 완전히 금지된 것은 아니다.

와일리에 따르면 참여 기업은 미국 핵심 기반시설에 대한 임박한 사이버공격을 발견하거나, 승인받은 작전이 인명 손실 또는 무력공격급 사건 같은 “중대한 결과”로 이어질 수 있다고 판단하면 국가조정센터에 즉시 통보해야 하고, 센터는 이를 다시 법무부에 알려야 한다. 이번 조치는 이란 소행으로 추정되는 해커들이 미국 45개 지방자치단체 상수도 시설을 공격한 사건, 그리고 미국 사이버보안·기반시설안보국(CISA)이 이란 해커들의 수도·에너지 업체 산업제어장치(PLC) 공격을 경고한 사례 이후 나왔다. 다만 국가가 직접 지시한 해커는 정작 이 프로그램 자체의 표적 정의에서는 벗어난다는 아이러니가 지적된다. 앞서 의회는 지난해 예산 법안에서 공세적 사이버 작전에 10억 달러(약 1조 4150억원)를 배정했고, 구글은 지난해 8월 사이버범죄자를 겨냥한 교란 작전에 참여할 준비를 하고 있다고 밝힌 바 있다.

“해적과 싸우지 않겠다”던 백악관, 왜 돌아섰나

역설적인 대목은 불과 몇 달 전 백악관 관계자들이 정반대 입장을 밝혔다는 점이다. 3월 국가사이버국장실(Office of the National Cyber Director) 수석보좌관이던 토머스 린드(Thomas Lind)는 한 콘퍼런스에서 정부가 민간의 공세적 작전을 승인할 계획이 없다고 말했다. 그는 “우리는 해적과 해적으로 싸우는 데 관심이 없다”고 했다. 같은 주 션 케언크로스(Sean Cairncross) 국가사이버국장도 공세적 작전을 벌이는 기업들은 정부가 산업계에 요청한 “더 많은 협력”의 의미가 아니라고 선을 그었다.

가디언(the Guardian)에 따르면 3월 발표된 국가 사이버보안 정책에는 정부가 해외 적대세력에 맞서 “민간 부문을 풀어놓기(unleash the private sector)” 위한 인센티브를 만들겠다는 내용이 이미 담겨 있었다. 법률 전문가들은 당시부터 기업들이 국제 디지털 분쟁에 얽혀 들 경우 어떤 위험에 노출될지 의문을 제기해왔다. 점점 강력해지는 인공지능 모델들이 노후한 보안 시스템을 뚫을 수 있다는 사실이 확인되면서 국제사회의 우려도 커졌다고 가디언은 전했다. 실제로 올해 초 미국 여러 주의 핵심 기반시설이 공격을 받아 상수도 시설 운영에 차질이 빚어지기도 했다.

전문가들 “총론엔 공감하지만”…책임 소재가 관건

CNN에 따르면 전직 미 사이버사령부 소속 앤드루 스코카(Andrew Schoka)는 “연방 차원의 명확한 조율이나 지시 없이 사설 해커들이 여기저기서 뛰어다니는 상황이 될 수 있다는 게 진짜 위험”이라고 말했다. 그는 사이버 작전 간 충돌을 조정하는 일이 이미 연방기관들에도 큰 과제인데, 여기에 더 큰 역량과 속도를 가진 민간 기업들까지 더해지면 복잡성이 커진다고 설명했다.

전직 FBI 사이버 담당 간부 신시아 카이저(Cynthia Kaiser)는 크리스토퍼 레이(Christopher Wray) 전 FBI 국장이 밝힌 “중국 정부 후원 해커가 FBI 사이버 인력보다 50배 많다”는 통계를 근거로, 민간의 조력이 FBI와 사이버사령부가 중국 같은 국가 행위자 대응에 집중할 여력을 만들어줄 수 있다고 평가했다. 다만 그는 “세부사항이 관건”이라며 “기업들이 참여를 결정하기 전에 책임 보호 장치, 정부 감독의 형태, 미국 인프라가 해외 범죄에 악용될 가능성 등에 대해 더 명확한 정보가 필요할 것”이라고 말했다.

베라코드(Veracode) 공동창업자 크리스 위소팔(Chris “Weld Pond” Wysopal)은 이미 스캠 피해가 폭증하면서 일부 개인이 자체적으로 해킹백에 나서던 상황을 이번 정부 프로그램이 좀 더 체계적으로 정리할 수 있다고 봤다. 그러나 그는 정부 승인을 받은 작전이라도 잘못되면 파장이 크다고 우려했다. 예를 들어 스캠 조직을 겨냥해 해외 데이터센터를 공격했다가 그 안에 있는 병원 시스템까지 의도치 않게 건드릴 수 있다는 것이다. 그는 또 해외 정부가 참여 기업 소속으로 출장을 간 직원들을 구금이나 심문의 합법적 대상으로 간주할 수 있다고 지적했다. 사이버보안 업체 헌터 스트래티지(Hunter Strategy)의 제이크 윌리엄스(Jake Williams) 부사장도 테크크런치(TechCrunch)에 이번 작전에 관여하는 미국인들이 해외 체류 중 “비정규 전투원으로 분류되기 쉽다”고 우려를 전했다.

전직 사이버사령부 관계자 제이슨 키크타(Jason Kikta)는 이번 각서가 미국 시민의 시민적 자유를 지키기 위한 명확한 절차를 담지 않았다고 지적했다. 그는 “이름이 공개되지 않은 정무직 임명자들이 내리는 판단에 대한 명확한 감독이나 검토 절차가 없다”고 말했다. 이어 “각서를 옹호하는 쪽은 여전히 법무부와 국토안보부의 권한 안에서 활동이 제약된다고 말하겠지만, 이 명령은 결국 책임을 참여 기업 쪽으로 떠넘기는 구조”라고 덧붙였다.