랜섬웨어 조직, 美기업이 직접 때린다…트럼프, 수십 년 정책 뒤집어

[서울=뉴시스]박영환 기자 = 도널드 트럼프 미국 행정부가 사전 심사를 통과한 민간기업이 연방정부의 건별 승인을 받아 해외 사이버범죄조직의 시스템을 직접 감시하고 교란·파괴할 수 있도록 하는 제도를 도입하기로 했다. 방어와 정보 제공에 머물던 민간기업의 역할을 공격 작전 수행까지 넓히는 미 사이버안보 정책의 중대한 전환이다.

뉴욕타임스(NYT)는 13일(현지시간) 트럼프 대통령이 전날 서명한 국가안보 대통령 각서를 인용해 이같이 보도했다. 각서는 미 국토안보 태스크포스 산하 국가조정센터(NCC)가 법무부와 국토안보부의 공동 감독 아래 새 사이버작전 프로그램을 신설하도록 지시했다.

다만 작전이 곧바로 시작되는 것은 아니다. 법무부와 국토안보부가 각각 지명할 프로그램 공동책임자는 오는 10월11일까지 참여기업과 표적을 심사하고 정부 작전과의 충돌을 방지하는 절차를 마련해야 한다. 이 절차가 확정되기 전에는 작전을 승인할 수 없으며, 어떤 기업이 참여할지도 아직 알려지지 않았다.

작전 대상은 미국 정부·미국인·미국의 이해관계를 겨냥해 사이버범죄를 저지르는 해외 초국가적 범죄조직이다. 운영 절차가 마련되면 참여기업은 이들 조직의 시스템에 침투해 정보를 수집할 수 있다. 정보시스템과 네트워크, 이들이 제어하는 가상·물리 인프라를 조작하거나 교란하고 성능을 떨어뜨리거나 파괴하는 작전도 수행할 수 있게 된다.

기업이 임의로 공격 대상을 정해 보복하는 방식은 아니다. 참여기업은 인력과 시설에 대한 보안 검증을 거쳐 법무부 또는 국토안보부와 계약해야 한다. 두 부처가 각각 지명한 공동책임자는 모든 작전안을 검토한 뒤 서면으로 승인하고 구체적인 지침을 내려야 한다. 정부는 기업에 100만달러(약 14억원) 이상을 계약 이행 보증금으로 내거나 제3자 예치계좌인 에스크로에 맡기도록 요구할 수 있으며, 기업이 계약을 위반하면 해당 금액을 몰수할 수 있다.

공동책임자는 사망·중상을 초래할 가능성이 있거나 국제법상 무력 사용 또는 무력 공격에 해당할 수 있는 작전을 승인할 수 없다. 작전이 미국인이나 미국 내 정보시스템을 잘못 겨냥하면 참여기업은 해당 작전을 즉시 중단하고 관련 정보의 보유와 이용을 최소화한 뒤 국가조정센터와 법무부에 알려야 한다. 미국인을 대상으로 하거나 미국의 법적 의무가 적용되는 작전은 필요한 사법적 승인이나 기타 법적 승인을 거쳐야 한다.

NYT는 이처럼 여러 통제장치를 뒀지만 이번 조치가 미국의 수십 년간 사이버정책을 크게 바꾸는 것이라고 평가했다. 미국은 그동안 민간기업에는 주로 방어 역량 강화를 맡기고 공격 작전은 군과 정보기관이 수행하도록 해왔다. 민간기업을 공격 작전에 직접 참여시키자는 구상은 이전에도 제기됐지만 미국 행정부가 이를 공개적으로 공식 정책에 반영한 것은 처음이라고 신문은 전했다.

백악관은 랜섬웨어와 온라인 사기 등 사이버범죄에 대응하려면 민간기업의 신속한 대응력과 기술력이 필요하다는 입장이다. 각서 작성에 참여한 어맨다 네일러 백악관 국가안보회의 사이버정책 담당국장은 새 제도가 미국인을 사이버범죄와 사기로부터 보호하는 데 쓸 새로운 수단이 될 것이라고 밝혔다.

조 바이든 행정부에서 미 국방부의 사이버정책을 담당했던 미케 어양 카네기멜런대 방문교수도 지금처럼 잦은 사이버작전을 군만으로 감당하기는 어렵다고 평가했다. 다만 그는 새 제도의 성패가 각서의 비공개 부속서에 담긴 참여기업·표적 심사 절차에 달렸다고 지적했다. 기존 군 사이버작전 승인 절차는 까다롭지만 다른 작전과의 충돌 가능성 등을 함께 따진다고 설명했다.

그러나 민간기업이 실제 공격 작전에 나설 때 가장 큰 난점은 공격의 배후를 정확히 가려내는 일이다. 러시아어권 사이버범죄 조직 가운데는 독립적으로 돈을 벌면서도 때때로 외국 정보기관의 일을 맡는 집단이 있어 외국 정부·정보기관의 지휘를 받는지 판별하기 어렵다. 미 사이버안보·인프라보안국(CISA) 정책부문 부책임자를 지낸 마이클 가르시아는 공격의 배후를 가려내는 능력은 향상됐지만 공격자가 흔적을 감추는 수법은 여전히 통한다고 지적했다.

각서는 이런 배후 판별 문제에 적용할 기준과 정부 작전과의 충돌을 막는 절차도 제시했다. 해외 범죄집단이 외국 정부의 일부이거나 그 지휘를 받는다는 명확한 정보가 없으면 정부와 분리된 비국가 범죄조직으로 간주하도록 했다. 정부가 수행하는 작전과 민간기업의 작전이 겹치지 않도록 조정하고 표적을 심사하는 절차는 비공개 부속서에 담겼다. 전직 당국자들은 잘못된 표적 선정이 정부의 기존 사이버·정보작전을 방해하거나 예상하지 못한 확전으로 이어질 수 있다고 우려했다.

NYT는 이번 조치로 미국이 민간기업의 해킹 인력을 국가 임무에 활용해온 중국·러시아의 방식과 일정 부분 닮아갈 수 있다고 분석했다. 미국의 기존 방산·보안업체들은 국가안보국(NSA)과 미 사이버사령부에 주로 공격 도구와 위협 정보를 제공해왔으며 직접 공격을 수행하는 경우는 드물었다. 이번 제도는 공개된 각서에 따라 연방정부가 작전을 통제한다는 점에서 정부 개입을 부인할 여지를 남기는 중국·러시아의 방식과 차이가 있다. 중국의 해킹 생태계를 연구해온 보안업체 센티넬원의 다코타 캐리는 과거 중국이 미국의 사이버교육 체계를 본떴다면 이제는 반대로 미국이 중국의 민간 해킹 인력 활용 방식을 참고하려 한다고 평가했다.


◎공감언론 뉴시스 [email protected]