국가 편인지 가릴 새도 없이, 미국은 민간 기업에 반격권부터 줬다

지난주 트럼프 행정부가 낸 대통령 각서 하나가 미국 사이버 정책의 오랜 금기를 건드렸어. 민간 기업이 자신을 공격한 사이버범죄 조직을 직접 되받아칠 수 있게 허가한 거야.¹

필자들은 이 각서가 2026년 국가 사이버 전략과 정렬되는 강경한 태세를 반영하지만, 권한 근거·기업의 법적 보호·표적 범위 같은 핵심 세부는 아직 빠져 있다고 봐.¹

왜 지금 이 얘기가 나왔나

그동안 미국 기업은 해커를 되받아친 게 아니라 방어만 할 수 있었어. 구글은 위협 교란 전담팀을 꾸려 적대 행위자의 행동을 능동적으로 바꾸는 일을 해왔고, 마이크로소프트는 디지털범죄전담반으로 적대 인프라를 무력화해 왔지만, 둘 다 법적으로 제한된 방어 조치에 머물렀어.¹

배경에는 액수가 있어. 미국이 사이버범죄로 매년 잃는 돈은 어림잡아 200억 달러가 넘고,¹ 2023년 국가 사이버 전략은 이 문제를 아예 국가안보 위협으로 못박았어.¹ 피해 규모가 이 정도인데 국가급 인텔리전스 역량을 갖춘 대기업들이 손 놓고 지켜만 봐야 하냐는 불만이 쌓여온 거야.

어디까지 반격이 허용되나

그런데 이 각서가 준 권한에는 뚜렷한 선이 있어. 랜섬웨어 조직, 대량 사이버 사기범, 동아시아 사이버 스캠 조직처럼 국가와 무관한 범죄자만 표적으로 삼을 수 있고, 국가와 연계된 행위자는 명시적으로 공격 대상에서 빠져.¹

문제는 그 경계가 현실에서 잘 안 보인다는 거야. 필자들은 지난 5~10년 사이 국가 행위자와 범죄 조직의 경계가 점점 흐려졌다고 봐.¹ 허가받은 표적과 금지된 표적을 가르는 기준 자체가 흔들리고 있는 셈이야.

각서가 그은 표적 경계선과 그 경계가 흐려지는 지점, 감독 부처의 권한 공백을 함께 보여준다.

누가 감독하고, 무슨 권한으로

권한 근거도 아직 정리가 안 됐어. 이 프로그램은 법무부(DOJ)와 국토안보부(DHS)에 보고하는데,¹ 전통적으로 공격적 사이버 작전은 군의 Title 10이나 정보기관의 Title 50 권한 아래서만 이뤄져 왔어. FBI(DOJ 산하)와 DHS 정보분석국은 Title 50 권한은 있지만 Title 10 권한은 없어.¹

필자들의 권고

필자들은 의회가 참여 기업에 우선 포괄적 법적 보호를 주고 1년 뒤 다시 평가해야 한다고 권고해.¹ 각서 자체는 기존 방산업체 대신 “더 작고 민첩한 기업”이 참여할 길을 명시적으로 열어뒀어.¹

다음에 볼 것

이 프로그램이 실제로 굴러가려면 권한 근거부터 정리돼야 해. 지금은 대통령 각서 한 장뿐이고, 의회의 법적 보호나 국가·범죄 경계를 가릴 구체적 절차는 아직 없어.

각주

1. CSIS, Nikita Shah·Emily Harding, 「The Presidential Memo on Combating Transnational Cybercrime: Implications for Industry and Government」(2026-08-20) 분석 ↩︎ ↩︎² ↩︎³ ↩︎⁴ ↩︎⁵ ↩︎⁶ ↩︎⁷ ↩︎⁸ ↩︎⁹ ↩︎¹⁰ ↩︎¹¹