미국 정부가 민간 보안 기업에 해외 사이버 범죄 조직의 시스템을 직접 파괴할 수 있는 '공격 면허'를 부여하기로 결정하며 사이버 안보 정책의 패러다임을 완전히 뒤바꿨다. 도널드 트럼프 대통령은 최근 서명한 국가안보 각서를 통해, 일정 자격을 갖춘 민간 업체가 연방정부의 승인 아래 해외 해킹 조직을 감시하고 교란하거나 아예 인프라를 무력화하는 작전을 수행할 수 있도록 길을 열어주었다. 이는 그동안 정보 제공과 방어에만 국한됐던 민간의 역할을 국가 차원의 공격 작전 영역까지 확장한 파격적인 조치로 평가받는다.

 

이번 정책의 핵심은 국토안보 태스크포스 산하에 신설될 사이버 작전 프로그램이다. 법무부와 국토안보부의 공동 관리하에 운영될 이 프로그램은 참여 기업을 엄격히 심사하고 구체적인 공격 표적을 선정하는 절차를 10월 초까지 마련할 계획이다. 작전 대상은 미국 시민이나 국가 이익을 위협하는 해외 초국가적 범죄 조직으로 한정된다. 승인을 받은 기업은 해당 조직의 네트워크에 침투해 정보를 빼내는 것은 물론, 가상 인프라를 조작하거나 물리적 서버를 파괴하는 수준의 고강도 타격 작전까지 수행할 수 있게 된다.

 

정부는 민간의 돌발 행동을 막기 위해 촘촘한 통제 장치를 마련했다. 참여 기업은 인력과 시설에 대한 철저한 보안 검증을 통과해야 하며, 모든 작전은 정부 공동책임자의 서면 승인과 구체적인 지침이 있어야만 실행 가능하다. 특히 기업이 계약을 위반하거나 임의로 행동할 경우를 대비해 100만 달러 이상의 보증금을 예치하도록 했으며, 인명 피해를 초래하거나 국제법상 무력 공격으로 간주될 수 있는 작전은 엄격히 금지했다. 만약 작전 중 실수로 미국 내 시스템을 겨냥할 경우 즉시 활동을 중단하고 정부에 보고해야 하는 의무도 부과됐다.

 

백악관이 이러한 위험을 감수하면서까지 민간의 손을 빌리기로 한 이유는 갈수록 교묘해지는 랜섬웨어와 온라인 사기에 신속하게 대응하기 위해서다. 군과 정보기관의 인력만으로는 하루에도 수만 건씩 발생하는 사이버 범죄를 모두 감당하기 어렵다는 현실론이 작용했다. 민간 보안업체들이 보유한 최첨단 기술력과 기동성을 국가 안보 작전에 직접 투입함으로써, 범죄 조직이 수익을 올리기 전에 선제적으로 싹을 자르겠다는 전략이다. 이는 사이버 공간에서의 주도권을 민간의 힘을 빌려 탈환하겠다는 의지로 풀이된다.

 

그러나 민간 기업이 실제 작전에 나설 때 직면할 가장 큰 난관은 공격의 배후를 정확히 식별하는 문제다. 해외 사이버 범죄 조직 중 상당수는 겉으로는 독립적인 집단처럼 보이지만, 실제로는 특정 국가 정보기관의 지휘를 받거나 협력하는 경우가 많아 민간의 공격이 자칫 국가 간 전면전으로 번질 위험이 크다. 이에 대해 각서는 명확한 국가 개입 증거가 없는 한 비국가 범죄 조직으로 간주한다는 기준을 제시했으나, 잘못된 표적 선정으로 인해 기존 정부의 첩보 작전이 방해받거나 예상치 못한 외교적 확전이 일어날 수 있다는 우려가 여전하다.

 

이번 조치는 미국이 과거 비판해왔던 중국이나 러시아의 민간 해커 활용 방식과 일정 부분 닮아있다는 점에서 국제적인 논란을 예고하고 있다. 그동안 미국은 민간 인력을 국가 임무에 동원하는 권위주의 국가들의 행태를 비난해왔으나, 이제는 반대로 그들의 효율적인 인력 활용 방식을 참고하는 모양새가 됐다. 다만 미국은 연방정부가 공개된 법적 절차에 따라 작전을 통제한다는 점을 차별화된 명분으로 내세우고 있다. 민간의 기술력이 국가의 창이 되는 이 새로운 실험이 글로벌 사이버 안보 지형을 어떻게 재편할지 전 세계가 주목하고 있다.