[뉴스] “눈에는 눈”…트럼프, 민간기업에 외국 사이버범죄 조직 ‘해킹 공격’ 허용

지난해 미국에서 발생한 랜섬웨어와 온라인 사기 피해액은 200억 달러를 넘어섰습니다. 공격을 막고 피해를 복구하는 기존 방식만으로는 급증하는 사이버 범죄를 감당하기 어렵다는 판단이 나온 배경입니다. 이에 미국 정부는 방어에 머물지 않고 공격자의 인프라를 직접 겨냥하는 이른바 ‘능동적 대응’을 추진하고 있습니다.

도널드 트럼프 대통령은 법무부와 국토안보부에 미국 민간기업이 외국 사이버범죄 조직을 감시하고 공격할 수 있도록 하는 방안을 마련하라고 지시했습니다. 정부 승인을 받은 기업은 해커들이 사용하는 서버를 무력화하거나, 범죄 조직의 컴퓨터에 스파이웨어를 침투시키는 작전에 참여할 수 있게 됩니다.

다만 기업이 자유롭게 보복 해킹을 할 수 있다는 의미는 아닙니다. 모든 작전은 사전에 정부 승인을 받아야 하며, 참여 기업은 최소 100만 달러의 보증금을 내야 합니다. 사망이나 부상을 초래할 수 있는 작전, 국제법상 ‘무력 사용’에 해당하는 행위도 금지됩니다. 법무부와 국토안보부는 60일 이내에 구체적인 시행 기준을 확정할 예정입니다.

이번 조치로 달라지는 핵심은 민간 보안기업의 역할이 방어에서 제한적 반격으로 넓어진다는 점입니다. 위협을 탐지하고 시스템을 복구하는 데서 나아가 공격자의 서버와 장비를 추적·교란하는 활동까지 제도권 안에서 검토되는 것입니다. 정부는 민간기업의 기술력과 대응 속도를 활용해 랜섬웨어 조직에 더 직접적으로 압박을 가하려는 것으로 풀이됩니다.

그러나 ‘눈에는 눈’식 사이버 반격이 항상 안전한 것은 아닙니다. 공격 대상의 실제 신원을 잘못 판단하면 제3국이나 무관한 기업의 시스템이 피해를 입을 수 있고, 해킹을 당한 범죄 조직이 미국 기업과 고객을 상대로 보복 공격에 나설 가능성도 있습니다. 특히 민간기업이 작전 과정에서 정부의 통제를 벗어난다면 법적 책임과 외교적 문제가 동시에 발생할 수 있습니다.

결국 이번 정책의 성패는 공격 권한 자체보다 승인 절차, 작전 범위, 책임 소재를 얼마나 엄격하게 통제하느냐에 달려 있습니다. 미국 정부가 추진하는 “눈에는 눈”…트럼프, 민간기업에 외국 사이버범죄 조직 ‘해킹 공격’ 허용 방안은 사이버 보안의 새로운 전환점이 될 수 있지만, 방어와 보복의 경계를 어디에 설정할지가 가장 큰 과제로 남았습니다.

“눈에는 눈”…트럼프, 민간기업에 외국 사이버범죄 조직 ‘해킹 공격’ 허용, 통제의 시험대

문제는 해킹 권한 자체가 아니라 그 권한을 누가, 어디까지 행사하느냐입니다. 미국 정부가 승인한 민간기업은 외국 해커가 사용하는 서버를 무력화하거나 컴퓨터에 스파이웨어를 침투시키는 등 기존의 방어 중심 대응을 넘어선 작전을 수행할 수 있게 됩니다.

다만 모든 작전은 정부의 사전 승인을 받아야 하며, 참여 기업은 최소 100만 달러의 보증금도 내야 합니다. 사망이나 부상을 초래할 수 있는 작전, 국제법상 ‘무력 사용’에 해당하는 행위 역시 금지됩니다. 형식만 보면 정부가 민간기업의 활동을 관리할 수 있도록 안전장치를 마련한 셈입니다.

그러나 사이버 작전은 현장에서 상황이 빠르게 바뀝니다. 승인받은 목표와 실제 침투 대상이 다를 수 있고, 해커의 서버가 제3자의 시스템과 연결돼 있을 가능성도 있습니다. 공격 과정에서 예상하지 못한 개인정보 유출이나 서비스 장애가 발생하면 책임이 누구에게 있는지도 복잡해집니다. 기업이 “정부 승인을 받았다”고 주장하더라도, 실제 작전의 세부 판단까지 정부가 실시간으로 통제하기는 어렵기 때문입니다.

특히 공격받은 기업이 곧바로 보복 공격의 표적이 될 수 있다는 점이 핵심 위험입니다. 외국 사이버범죄 조직이 해당 기업의 고객사나 협력업체를 우회 공격하면 피해가 연쇄적으로 확산될 수 있습니다. 민간기업이 독자적으로 추가 공격에 나설 경우, 제한적인 사이버 방어 조치는 ‘민간 주도의 사이버 전쟁’으로 변질될 가능성도 있습니다.

법무부와 국토안보부가 60일 안에 마련할 시행안에는 단순한 승인 절차를 넘어 명확한 통제 기준이 담겨야 합니다.

• 공격 대상과 허용되는 기술의 범위
• 작전 중단을 명령할 수 있는 정부 기관과 절차
• 민간인·제3자 시스템 피해 발생 시 책임 소재
• 작전 기록과 사후 감사 방식
• 보복 공격 발생 시 정부와 기업의 대응 분담

영국 서리대 앨런 우드워드 교수의 지적처럼 “권한을 부여할 수는 있지만 복종까지 부여할 수는 없다”는 점은 이번 정책의 본질을 짚습니다. 권한을 주는 것보다 어려운 일은 그 권한이 승인 범위를 벗어나지 않도록 감시하고, 문제가 발생했을 때 즉시 멈추게 하는 것입니다.

결국 이번 조치의 성패는 공격 역량이 아니라 통제력과 책임 체계에 달려 있습니다. 시행안이 이 경계를 분명히 세우지 못한다면, ‘눈에는 눈’이라는 대응 원칙은 사이버범죄 억제를 위한 방패가 아니라 새로운 공격 확산의 출발점이 될 수 있습니다.

Reference

매일경제: https://www.mk.co.kr/news/world/12128742