미 민간기업, 정부 통제 아래 사이버 작전 참여

미국 정부가 검증된 민간기업을 해외 사이버 범죄조직 대응 작전에 참여시키는 새 프로그램을 만들었다. 민간기업의 독자적 해킹 보복을 허용한 것은 아니지만, 정부 통제 아래 감시와 교란 작전에 참여할 수 있는 길을 연 조치다.

백악관은 한국시간 13일 도널드 트럼프 미국 대통령 명의의 '초국가 사이버 범죄 대응 역량 확대' 메모를 공개했다. 메모는 국가조정센터가 민간기업 참여 프로그램을 만들도록 지시하고, 작전 대상을 해외 사이버 기반 초국가 범죄조직으로 한정했다.

참여 기업은 미국 법무부와 국토안보부의 승인과 감독을 받아야 한다. 작전은 정보 수집을 뜻하는 '사이버 감시 작전'과 정보 시스템의 교란·거부·저하·파괴를 포함하는 '사이버 효과 작전'으로 구분된다.

다만 백악관 문서는 민간기업이 임의로 공격자를 추적해 반격할 수 있다고 쓰지 않았다. 작전은 연방정부의 법적 권한 아래 수행돼야 하며, 법무부와 국토안보부 책임자의 서면 승인 없이는 실행할 수 없다.

참여 기업에는 최소 100만 달러(약 14억원)의 보증금 또는 에스크로가 요구될 수 있다. 계약을 어기면 해당 금액은 몰수될 수 있다. 시행 지침은 메모 발효 후 60일 안에 마련돼야 하며, 기업 자격과 표적 선정, 승인 절차, 보고 의무가 담긴다.

미국인이나 미국 내 시스템이 관련될 경우에는 별도 승인과 정화 절차가 필요하다. 작전 중 미국인, 미국 내 정보시스템, 미국인이 통제하는 시스템을 의도치 않게 겨냥한 사실을 알게 되면 즉시 작전을 중단하고 국가조정센터에 알려야 한다.

테크크런치(TechCrunch)는 이번 조치를 미국이 처음으로 일부 민간기업에 사이버 공격을 허용한 사례라고 보도했다. 동시에 해당 메모가 일반적인 해킹 보복을 허용한 것은 아니라고 전했다. 어떤 기업이 프로그램에 참여하고 있는지는 공개되지 않았다.

이번 조치는 기존 공공·민간 공조보다 범위가 넓다. 미국 법무부는 6월 3일 '디스럽션 위크(Disruption Week)' 결과를 발표하며 민간 부문과 함께 수백만 개 사기 계정을 차단하고 380만 달러(약 54억원) 이상의 암호화폐 동결을 지원했다고 밝혔다. 당시 민간 참여는 자발적 차단과 동결 공조에 가까웠다.

본지도 앞서 트럼프 대통령이 해외 초국가 범죄조직을 겨냥해 연방 집행기관의 사이버 도구 활용을 확대하는 메모에 서명했다고 보도했다. 이번 문서는 가상자산 탈취와 랜섬웨어, 금융사기 단속에 쓰일 수 있는 수사 수단을 넓히는 정책 흐름의 연장선에 있다.

제도상 핵심은 민간 역량을 쓰되 국가 권한의 테두리 안에 묶는 구조다. 통상 사이버 보안 기업은 침해지표 공유, 악성 인프라 추적, 계정 차단 지원처럼 방어와 수사 보조 역할을 맡아 왔다. 이번 프로그램은 그 역할을 정부 승인형 작전 참여로 넓힌다는 점에서 논쟁의 여지가 크다.

법적 책임도 쟁점이다. 로페어(Lawfare)는 민간기업이 독립적으로 공격적 사이버 작전을 수행할 수 있는 기존 연방 법적 틀이 없고, 컴퓨터사기남용법(CFAA)과 주법, 외국법 충돌 가능성이 남아 있다고 지적했다. 정부 감독이 있더라도 실제 작전 과정에서 책임 소재가 복잡해질 수 있다는 뜻이다.

시티즌랩(Citizen Lab)은 민간화된 사이버전이 감독을 어렵게 만들고 오판과 확전 위험을 키울 수 있다고 봤다. 해외 범죄조직을 겨냥한 작전이라도 제3자 인프라나 외국 관할권을 건드릴 가능성이 남아 있기 때문이다.

제이크 윌리엄스(Jake Williams) 헌터 스트래티지 연구개발 부사장은 테크크런치에 미국인이 해외에서 비정규 전투원으로 분류될 수 있다고 말했다. 민간 인력이 정부 작전에 참여할 때 법적 보호와 외국 정부의 대응 문제가 함께 제기된다는 의미다.

정책 기조도 달라졌다. 백악관은 3월까지만 해도 민간기업의 직접 사이버 공격 캠페인 참여론에 선을 그었다. 8월 메모는 방어 협력에서 정부 통제형 작전 참여로 한 단계 이동한 문서로 평가된다.

국내 가상자산 시장에도 간접 영향이 있다. 국제 사기 조직과 랜섬웨어, 탈취 자금 세탁은 거래소와 지갑 사업자, 수사기관이 함께 대응해야 하는 영역이다. 본지는 최근 중국계 해킹 조직 주얼버그가 사이버 첩보 활동과 암호화폐 사기를 같은 인프라에서 병행한 것으로 조사됐다고 전한 바 있다.

실제 작전 범위는 앞으로 나올 시행 지침에서 더 구체화된다. 백악관 메모는 기업 자격, 표적 선정, 승인 절차, 보고 의무를 60일 안에 정하도록 했다.