미국이 민간 보안기업에 내준 해킹 면허

사이버 공격을 당한 기업이 공격자의 서버로 직접 쳐들어가 훔쳐간 데이터를 지우거나 상대 시스템을 마비시키는 일.
보안업계에서 오래전부터 '해킹 되받아치기(hack back)'라고 부르던 이 행위는 지금까지 어느 나라에서도 합법이 아니었다.
미국의 컴퓨터사기남용법(CFAA)은 권한 없는 접근 그 자체를 범죄로 규정하기 때문에, 피해자가 반격하는 순간 피해자도 똑같이 범죄자가 되는 구조였다. 보안 담당자들 사이에서는 "우리가 공격자 서버 주소를 알아도 할 수 있는 게 로그를 정리하는 것뿐"이라는 자조가 늘 따라다녔다. 그런데 미국 백악관이 이 오래된 금기의 한쪽 문을 열어젖혔다.

미국 주요 언론들은 현지시간 8월 13일 백악관이 국가안보 대통령각서(NSPM)에 서명했다는 소식을 일제히 전했다.
정부 심사를 통과한 민간 보안기업이 연방정부의 통제와 감독 아래 해외 사이버 범죄조직을 상대로 공격적 작전을 수행할 수 있게 하는 내용이다. 서명 시점은 매체에 따라 이달 초에서 12일 사이로 조금씩 다르게 전해지지만 골자는 같다.
미국 역사상 처음으로 민간 기업이 정부의 명시적 승인 아래 해외 시스템을 공격할 통로가 생겼다는 것이다.
CNN은 이를 두고 국가로부터 약탈 면허를 받았던 옛 사략선에 빗대 '사이버 사략선(cyber privateers)'이라는 표현을 썼다.

무엇이 허용되고, 무엇은 빠졌나

각서가 겨냥하는 대상은 '해외 사이버 기반 초국가 범죄조직'이다. 보도된 범위를 보면 랜섬웨어를 유포해 몸값을 뜯어내는 조직, 대규모 피싱 캠페인을 돌리는 집단, 금융 사기와 사칭 사기를 벌이는 조직, 그리고 성착취 협박(섹스토션)으로 개인을 괴롭히는 범죄망까지 포함된다. 최근 몇 년간 이런 조직들은 개별 해커의 취미 수준을 완전히 벗어났다.
랜섬웨어를 서비스처럼 빌려주는 RaaS 모델, 협상 전담 인력, 심지어 피해 기업을 압박하기 위한 홍보 담당까지 두는 기업형 구조로 진화했고, 실제로 병원과 학교, 지방정부가 며칠씩 마비되는 사고가 반복됐다.

허용되는 행위의 범위는 문서에 '사이버 효과 작전(Cyber Effects Operations)'이라는 이름으로 정의돼 있다.
정보시스템과 네트워크, 그 시스템이 제어하는 물리적·가상 인프라, 또는 그 안에 담긴 정보를 조작·교란·거부·저하·파괴하는 활동을 통칭한다. 쉽게 말해 상대의 서버를 들여다보는 감시부터, 계정을 잠그고 데이터를 지우고 인프라를 못 쓰게 만드는 파괴적 조치까지 포괄한다는 뜻이다. 지금까지 이런 작전은 사이버사령부나 정보기관의 영역이었다.
그 영역에 계약서를 든 민간 회사가 들어설 수 있게 된 셈이다.

다만 이 조치를 '반격 전면 합법화'로 읽으면 곤란하다. 각서는 민간 기업이 스스로 판단해 마음대로 보복할 권한을 준 것이 아니다.
작전은 연방 수사기관의 합법적인 수사·보호·정보 활동을 지원하는 목적이어야 하고, 정부의 통제와 감독을 받아야 하며, CFAA를 비롯한 현행법을 여전히 준수해야 한다고 못 박고 있다. 보도된 대상도 국가 배후 해킹조직이 아니라 범죄조직에 한정된다.
중국이나 러시아 정부와 연계된 것으로 알려진 공격 그룹을 민간 기업이 직접 때리는 그림은, 적어도 이번 문서에는 담기지 않았다.

실제 작전이 어떤 모습일지도 짚어볼 필요가 있다. 보안업계가 지금까지 법적 위험을 무릅쓰지 않고 해오던 일은 범죄조직이 쓰는 서버의 주소를 추적하고, 유출된 자료가 어디에 올라오는지 관찰하고, 그 정보를 수사기관에 넘기는 데서 멈췄다.
이번 각서가 허용하는 범위는 그 선을 넘는다. 범죄조직이 피해자 컴퓨터를 원격 조종하는 데 쓰는 명령제어 서버를 무력화하거나, 훔쳐간 데이터가 보관된 저장소에 접근해 유출을 차단하는 식의 조치가 정부 승인 아래 가능해진다.
몇 년 전 유럽 수사기관들이 대형 랜섬웨어 조직의 서버를 압수하고 협상 사이트를 폐쇄했던 작전을 떠올리면 이해가 쉽다.
그 역할의 일부를 민간이 맡게 되는 것이다.

"미국 사이버 정책의 상당히 큰 전환이다. 다만 그동안 논의돼 온 전면적인 해킹 되받아치기에는 아직 미치지 못한다." — 크리스 와이소팔, 베라코드 공동창업자

보증금 100만 달러, 오폭하면 즉시 중단

아무 보안업체나 참여할 수 있는 것은 아니다. 각서는 프로그램에 들어오려는 기업이 먼저 정부의 엄격한 심사를 통과한 뒤 법무부(DOJ) 또는 국토안보부(DHS)와 계약을 맺도록 했다. 기술 역량에 대한 평가 절차도 따로 두게 했고, 대형 업체만 독식하지 않도록 규모가 작은 회사도 참여할 수 있어야 한다는 조건까지 붙었다. 전체 프로그램은 국토안보 태스크포스 산하의 국가조정센터(NCC)가 총괄하며, 참여 기업은 활동 내역을 정기적으로 연방 당국에 보고해야 한다.

가장 눈에 띄는 장치는 돈과 중단 의무다. 참여 기업은 최소 100만 달러 규모의 보증금 또는 에스크로를 예치해야 하고, 규정을 어기면 이 돈을 몰수당한다. 작전 도중 의도하지 않은 대상을 건드렸다는 사실이 확인되면 즉시 작전을 멈추고 국가조정센터에 알려야 한다. 사고가 날 수 있다는 것을 전제로 설계된 조항이라는 점이 오히려 이 프로그램의 성격을 잘 보여준다.
정리하면 이렇다.

• 진입 조건 — 정부 사전 심사 통과, DOJ 또는 DHS와의 계약, 기술 역량 평가
• 금전적 담보 — 최소 100만 달러 보증금·에스크로, 위반 시 몰수
• 사고 대응 — 비의도 표적 확인 시 작전 즉시 중단 및 NCC 통보, 정기 보고 의무

여기서 자연스럽게 따라붙는 의문이 하나 있다. 현행법을 준수하라면서 어떻게 남의 시스템에 무단으로 들어가는 작전을 허용할 수 있느냐는 것이다. 핵심은 '권한 없는 접근'이라는 요건에 있다. 연방 수사기관과 계약을 맺고 그 통제 아래 움직이는 활동은 개별 기업이 독단적으로 벌이는 침입과 법적 성격이 다르다는 해석이다. 다만 이 해석이 실제 법정에서 어디까지 버틸지는 아직 검증되지 않았다. 작전 대상이 된 해외 기업이 미국 법원이나 자국 법원에 소송을 걸었을 때 어떤 판단이 나올지, 계약서 한 장이 어느 정도의 방패가 되는지는 첫 사건이 터져야 알 수 있다.

이번 각서는 하늘에서 뚝 떨어진 것이 아니다. 트럼프 대통령이 2026년 3월 6일 서명한 행정명령 14390이 출발점이었다.
미국인을 노리는 사이버 기반 범죄에 대응할 행동계획을 각 부처가 마련하라는 내용으로, 국가조정센터의 운영 틀을 만들었지만 민간의 공격 작전을 정식으로 허가하는 데까지는 가지 않았다. 이번 NSPM은 그 틀 위에 실제 권한을 얹은 후속 조치다.
몇 달에 걸쳐 단계적으로 준비돼 온 정책이라는 뜻이고, 그만큼 쉽게 뒤집히지 않을 가능성이 크다.

---

20년 묵은 '사략선 면허' 논쟁이 결론에 닿았다

민간에 공격 권한을 주자는 발상 자체는 새롭지 않다. 미국 보수 진영 일부에서는 오래전부터 옛 해양법의 '사략 면허장(letters of marque)' 개념을 사이버 공간에 도입하자고 주장해 왔다. 국가가 직접 나서기 어려운 영역에서 검증된 민간 세력에게 자격을 주고 성과를 내게 하자는 논리다. 의회에서도 비슷한 시도가 있었다. 피해 기업의 제한적 반격을 허용하자는 이른바 능동적 사이버 방어 법안이 수년에 걸쳐 여러 차례 발의됐지만, 부작용 우려에 막혀 번번이 통과되지 못했다.
이번 조치는 그 막힌 길을 입법이 아닌 행정 권한으로 우회했다는 점에서 의미가 크다.

왜 하필 지금인가. 배경에는 감당하기 어려워진 피해 규모가 있다. 미국 소비자들이 2025년 한 해 동안 사이버 기반 범죄로 신고한 피해액만 208억 달러를 넘어섰다. 신고되지 않은 피해까지 더하면 실제 규모는 훨씬 클 것이다.
반면 수사 성과는 더디다. 범죄조직은 대부분 미국의 사법권이 미치지 않는 국가에 자리를 잡고 있고, 국제 공조로 검거하려면 수개월에서 수년이 걸린다. 그 사이 조직은 이름만 바꿔 다시 등장한다. 정부 조직만으로는 속도를 못 따라간다는 판단이 이번 결정의 밑바닥에 깔려 있다.

인력 구조의 변화도 무시할 수 없는 배경이다. 사이버사령부와 정보기관에서 실전 경험을 쌓은 인력 상당수가 민간 보안기업으로 옮겨간 지 오래다. 정부가 훈련시킨 공격 역량이 이미 민간에 축적돼 있다면, 그 역량을 제도권 안으로 끌어들여 쓰는 편이 낫다는 논리가 힘을 얻는다. 이번 각서가 참여 기업의 기술 역량을 별도로 평가하도록 규정한 것도 같은 맥락으로 읽힌다.
실력 없는 업체가 계약만 따내는 상황을 막겠다는 뜻이지만, 반대로 보면 이 시장에 뛰어들 준비가 된 회사들이 이미 존재한다는 이야기이기도 하다.

보안업계 반응은 극명하게 갈린다. 트럼프 1기 백악관에서 사이버 정책을 맡았던 조시 스타인먼처럼 환영하는 목소리도 있다.
반면 사이버 국가임무부대를 이끌었던 제이슨 킥타는 이 프로그램의 구조 자체를 정면으로 문제 삼았다.
위협을 찾아내는 회사가 그 위협을 처리하는 대가로 돈을 받는 구조에서, 위협은 결코 줄어들지 않는다는 지적이다.

"청구할 수 있는 위협을 끝없이 만들어내는 영구기관이다." — 제이슨 킥타, 전 사이버 국가임무부대 지휘관

오폭과 확전, 그리고 한국에 남는 질문

가장 현실적인 걱정은 '오폭'이다. 사이버 공격은 공격자가 자기 집에서 곧바로 접속하는 경우가 거의 없다.
여러 나라의 취약한 서버를 경유지로 삼아 신원을 감추는 것이 기본이며, 그 경유지는 대개 보안이 허술한 중소기업이나 병원, 대학, 지방 소도시의 서버다. 민간 기업이 공격 인프라라고 판단해 무력화한 시스템이 사실은 아무 잘못 없는 제3국 기업의 서버일 수 있다는 뜻이다. 각서에 '비의도 표적 확인 시 즉시 중단' 조항이 들어간 것도 이 시나리오가 이론이 아니라 충분히 예상되는 일이기 때문이다.

국제법 문제도 남는다. 한 나라의 민간 기업이 다른 나라 영토에 있는 서버를 파괴하는 행위는 그 나라 입장에서 보면 명백한 주권 침해다. 미국이 이 길을 열었다면 다른 나라들도 같은 논리로 자국 기업에 권한을 줄 수 있다.
국가 간 규범이 정립되지 않은 상태에서 민간 행위자들이 국경을 넘나들며 서로를 때리기 시작하면, 상황이 어디까지 번질지 누구도 통제하기 어렵다. 사이버 공간에서 '누가 먼저 때렸는가'를 증명하는 일은 물리 세계보다 훨씬 어렵고, 그래서 오해에서 시작된 확전을 막을 장치도 그만큼 부실하다.

한국 기업 입장에서는 두 가지를 짚어둘 만하다. 첫째, 이번 조치는 어디까지나 미국 내 이야기다.
국내에서는 정보통신망법이 정당한 접근 권한 없이 타인의 정보통신망에 침입하는 행위를 금지하고 있어, 피해 기업이 공격자를 역추적해 반격하는 행위는 여전히 명백한 불법이다. 공격받은 흔적을 찾았다면 반격이 아니라 침해사고 신고와 증거 보전이 정답이다.
둘째, 국내 서버가 해외 범죄조직의 경유지로 이용되고 있다면 이야기가 조금 달라진다.
방치된 서버 하나가 남의 나라 승인 작전의 사정권 안에 들어갈 가능성을 완전히 배제하기 어렵기 때문이다.

결국 기업이 지금 할 수 있는 일은 극적이지 않다. 쓰지 않는 서버와 계정을 정리하고, 외부에 열린 관리 포트를 닫고, 백업을 분리 보관하고, 로그를 최소 몇 달치는 남겨두는 기본 작업이다. 화려한 반격 도구보다 이런 정리가 훨씬 실질적인 방어가 된다.
그리고 이번 결정이 실제로 랜섬웨어 조직의 수를 줄일지, 아니면 비판론자들의 말대로 새로운 청구서만 늘릴지는 앞으로 몇 년간의 결과로 판가름날 것이다. 사이버 공간의 규칙이 조용히, 그러나 되돌리기 어려운 방향으로 한 칸 옮겨간 것만은 분명하다.