13일(현지시간) 뉴욕타임스(NYT)에 따르면 도널드 트럼프 미 대통령이 전날 밤 서명한 국가안보각서에 따라, 선별된 기업들은 법무부·국토안보부와 함께 일정 조건 아래 해외 사이버범죄 조직을 공격할 수 있게 됐다. 백악관은 랜섬웨어 같은 피해를 줄이는 데 도움이 된다고 설명했지만, 전직 관료와 보안 전문가들 사이에서는 혼란을 부를 수 있다는 우려가 나온다.
도널드 트럼프 미국 대통령. (사진=AFP)
허용되는 행위의 폭이 넓다. 범죄 조직을 들여다보는 감시는 물론, 정보 시스템과 네트워크를 교란하거나 조작하고 파괴하는 작전까지 가능하다. 가상 공간뿐 아니라 실제 시설도 대상에 포함된다. 이는 공화당과 민주당 행정부를 가리지 않고 수십년간 이어온 정책을 뒤집는 결정이다.
그동안 미 정부는 기업의 방어력을 키우는 데 무게를 두고, 공격 작전은 군과 정보기관에만 맡겨왔다. 민간에 공격을 맡기자는 구상 자체는 오래전부터 있었지만 어느 행정부도 공개적으로 지지한 적은 없었다. 사이버 충돌을 키우고, 미 기업이 법적 책임이나 국제법 위반 논란에 휘말리며, 예상치 못한 확전으로 번질 수 있다는 우려 때문이었다.
이번 각서 역시 이런 문제들을 정면으로 다루지는 않은 채, 눈덩이처럼 불어나는 사이버 공격 피해를 “민간의 창의성”을 빌려 막겠다는 취지만 밝혔다.
무제한 허용하는 것도 아니다. 참여를 원하는 기업은 먼저 심사를 통과해야 하고, 위반 시 100만달러(약 14억 2040만원)의 벌금을 무는 계약을 정부와 맺어야 한다. 실제 공격에 나서기 전에는 법무부와 국토안보부에서 서면 승인을 받아야 한다.
인명 피해나 중상을 낳을 가능성이 있는 공격, 국제법상 무력 사용이나 무력 공격에 해당하는 수준의 공격은 허용되지 않는다. 각서에는 기밀 부속 문서가 딸려 있어 민간의 해킹이 정부 작전과 충돌하지 않도록 조율하는 절차를 담았다. 공격 대상도 외국 정부와 무관한 초국가 범죄 조직으로 제한되며, 연결고리가 있다는 명확한 정보가 있을 때만 예외를 둔다.
(사진=AFP)
전문가들은 실행 가능성을 의심한다. 가장 큰 걸림돌은 공격 배후를 정확히 짚어내는 일이다.
닉 카 마이크로소프트 위협정보 책임자는 사회관계망서비스(SNS)에 “범죄 조직의 배후를 가려내는 일이 얼마나 어려운지, 이를 반복해 제대로 해낼 수 있는 조직이 얼마나 적은지가 가장 걱정된다”고 적었다. 정부 기관도 예외가 아니라는 것이다. 다만 그는 이번 조치가 그런 역량을 끌어올릴 수 있다고 덧붙였다.
지난 6월까지 미 사이버안보·기반시설안보국(CISA) 정책 담당 부국장을 지낸 마이클 가르시아도 배후 추적 능력이 나아지긴 했지만 완벽하지 않다며 “은폐는 여전히 대단한 전술”이라고 말했다. 러시아어를 쓰는 해킹 조직이 외국 정부와 연결돼 있는지, 때로 정보기관 일을 대신하는지는 여전히 흐릿하다.
승인받은 기업이 정작 정부 기관보다 넓은 권한을 갖게 될 수 있다는 지적도 나온다. 반면 조 바이든 전 행정부에서 국방부 사이버 정책을 총괄한 미케 오양은 “지금의 사이버 작전 속도는 군만으로는 감당할 수 없다”고 말했다.
이번 조치로 미국은 오랫동안 민간 계약 해커를 활용해온 중국·러시아와 닮은꼴이 된다. 중국 해킹 생태계 전문가인 다코타 캐리 센티넬원 자문역은 “여러 면에서 중국의 해킹 실력은 그들이 우리 교육 제도를 베낀 데서 나왔다”며 “이제는 미국이 민간 해커를 대리인으로 세우는 중국식 제도를 베끼려는 것으로 보인다”고 말했다.
실제로 어떤 기업이 참여할지는 불투명하다. 지정학 위험을 자문하는 로펌 레이섬앤왓킨스의 버네사 레 파트너 변호사는 “정부의 엄호나 지시 아래 역해킹을 하더라도, 기업이 사업과 고객에 대한 위험이 커지는 것을 어떻게 관리하고 언제 어떻게 공시할 것인지가 상장사들에 새로운 숙제로 떠올랐다”고 짚었다.
