백악관이 검증된 민간기업들에 국제 범죄조직과 해커를 겨냥한 공격형 사이버 작전 수행을 사상 처음으로 허용하기로 했다고 13일(목) IT전문매체인 테크크런치(TechCrunch)는 보도했다.
백악관이 새로 공개한 대통령 각서에 따르면 트럼프 행정부는 이번 조치가 랜섬웨어 공격, 금융 사기, 성 착취(sextortion) 등 미국인을 노린 사이버 범죄 및 위협에 대응하기 위해 "민간 부문의 혁신적 역량"을 활용하려는 취지라고 밝혔다. 이 각서는 정부 프로그램에 참여하는 민간기업이 스파이웨어를 이용한 정보 수집 등 감시 활동은 물론, 범죄자의 데이터나 시스템 파괴를 목표로 한 교란 공격까지 수행할 수 있도록 허용하고 있다.
이는 미국 연방 해킹 관련 법률 아래 오랫동안 유지돼 온 정부 입장을 근본적으로 뒤집는 것이라고 테크크런치는 짚었다. 그동안 이 법률들은 법원의 사전 승인 없이 민간기업이 사이버공격이나 교란 작전을 수행하는 것을 전반적으로 금지해 왔다.
민간기업은 다른 모든 개인·법인과 마찬가지로 사이버공격을 금지하는 동일한 해킹 관련 법률의 규제를 받아왔으며, 여러 행정부를 거치며 미 정부는 민간 부문이 들어오는 공격을 방어할 수는 있어도 직접 공격을 개시하거나 운용할 수는 없다는 입장을 유지해 왔다.
다만 이번 대통령 각서는 새 정책의 방향만 제시했을 뿐 아직 초기 단계로, 프로그램이 구체적으로 어떻게 운영될지는 정부 차원에서 완전히 정해지지 않은 상태라고 매체는 전했다. 오랫동안 민간기업의 정부 해킹 작전 참여에 반대해 온 비판론자들의 반발과 법적 다툼이 뒤따를 가능성도 있다.
정부는 향후 두 달 안에 프로그램 참여 기업이 갖춰야 할 요건을 담은 세부 지침을 내놓을 예정이다. 각서에는 이 지침이 대기업뿐 아니라 특정 작전에 더 적합할 수 있는 소규모 민간기업까지 포괄적으로 고려할 것이라는 내용도 담겼다.
참여 기업은 100만 달러를 에스크로 계좌에 예치해야 하며, 정부가 작전 수행 규정을 위반한 사실을 확인하면 이 예치금은 몰수된다. 각서는 또 어떤 작전도 미국인이나 미국 내 시스템을 대상으로 삼지 않도록 하는 절차를 연방정부가 마련하도록 지시하고 있다. 모든 작전은 승인 전에 법무부와 국토안보부 대표의 서명을 받아야 하며, 오직 연방정부의 감독 하에서만 진행돼야 한다. 아울러 참여 기업이 전력망이나 상수도 시설 같은 미국 핵심 인프라를 겨냥한 임박한 사이버공격을 발견할 경우 정부에 즉시 통보해야 한다는 조항도 포함됐다.
테크크런치가 이메일로 문의했을 때 백악관 대변인은 현재 이 프로그램에 이미 참여 중인 민간기업이 있는지에 대한 질문에는 답하지 않고 백악관의 팩트시트를 참고하라고만 안내했다.
이번 각서는 기업이 사이버 위협에 스스로 "맞해킹(hack back)"하는 것까지는 허용하지 않는다. 비판론자들은 민간업계가 정부 작전에 관여하게 되면 외교·국제적 파장으로 이어질 수 있다고 지적한다. 예컨대 외국 정부가 자국이 미국 기업으로부터 공격받았다고 항의하는 상황이 벌어질 수 있다는 것이다.
사이버보안 업계의 한 베테랑은 이번 정책이 미국 민간 사이버보안 기업 직원들을 외국 정부에 의해 기소되거나 구금될 위험에 노출시킬 수 있다고 우려했다. 이는 미 검찰이 중국, 이란, 러시아 정부 소속 해커들을 미국을 겨냥한 사이버 범죄 혐의로 기소해온 것과 유사한 방식으로 되돌아올 수 있다는 것이다. 헌터 스트래티지(Hunter Strategy)에서 연구개발 부문 부사장을 맡고 있는 업계 베테랑 제이크 윌리엄스(Jake Williams)는 "이런 작전에 참여한 미국인들은 해외 여행 중 비정규 전투원으로 쉽게 분류될 수 있다"고 말했다.
윌리엄스는 테크크런치에 "미국인이 이런 작전에 참여했다는 주장이 굳이 사실일 필요조차 없다"며, 이번 정책 자체가 외국 정부가 그런 주장을 펼칠 명분을 만들어준다고 지적했다. 그는 이 정책을 "설익은(half-baked)" 것이라고 평가하면서, 비공개(기밀) 부속 문서가 미국의 공격형 사이버작전에서 구체적으로 어떤 표적을 어떻게 선정할지에 대한 일부 의문에는 답을 줄 수 있겠지만, 이 프로그램이 남용되지 않을 것이라고는 확신할 수 없다고 밝혔다.
트럼프 행정부는 이번 결정의 구체적 배경은 밝히지 않은 채, 정부가 미국인과 기업을 겨냥한 "커지는 위협"에 대응하고 있다고만 설명했다. 2025년 1월 2기 트럼프 행정부 출범 이후 연방 사이버보안 인력에 대한 대규모 감축과 해고가 이어지는 가운데, 미국은 다수의 국제 사이버 위협에 직면해 온 상황이다.
현재 미국 여러 주에서는 상수도 인프라를 겨냥한 사이버공격이 보고되고 있으며, 미 정보당국은 이를 비공개적으로 이란 정부 배후 해커들의 소행으로 지목한 것으로 알려졌다. 미시간, 미네소타, 조지아 등 10여 개 주 관계자들이 지역 상수도 사업자에 대한 침입을 신고했지만, 아직 수질 안전 경보가 발령된 사례는 없다고 전해졌다.
정보당국의 이 같은 위협 평가는 미국·이스라엘과 이란 간 수개월에 걸친 전쟁 이후 나온 것이다. 지난 2월 미국 주도로 시작된 전쟁으로 이란 최고지도자가 사망한 이후, 이란군은 서방 소유 데이터센터를 겨냥한 미사일 공격과 함께 미국 기업 및 핵심 인프라를 실질적으로 교란하는 사이버공격으로 맞대응해 온 것으로 알려졌다.
트럼프 행정부의 이번 사이버 각서는 전 세계 기업과 기관을 겨냥한 자율 AI 기반 사이버공격이 잇따르는 가운데 나왔다. 앤스로픽(Anthropic), 오픈AI(OpenAI), 메타(Meta), 영국 AI 안전연구소(AI Safety Institute)는 모두 자사가 테스트하던 최첨단 AI 모델이 기술적 통제를 벗어나 사이버공격을 감행한 사례를 보고한 바 있다.
