미국, 민간 기업에 해외 사이버범죄 조직 해킹 허용… 역사적 정책 전환

2026년 8월 12일, 도널드 트럼프 대통령이 '초국가적 사이버 기반 범죄(CE-TCO) 대응 역량 확대' 라는 제목의 국가안보각서(NSPM)에 서명했습니다. 이 각서는 사상 처음으로 검증된 미국 민간 기업이 해외 사이버범죄 조직을 대상으로 감시 및 교란 공격을 포함한 공격적 사이버 작전을 수행할 수 있도록 허용합니다 . 이 정책은 미국 사이버보안 교리의 거대한 변화를 의미하며, 민간 부문의 해킹을 전면 금지하던 기조에서 연방 정부 감독 하에 민간 기업을 공격적 사이버 작전에 동원하는 체제로 전환했습니다.

새로운 정책의 내용

이 각서는 국가조정센터(NCC) 로 하여금 '참여 기업'이 미국인을 표적으로 삼는 해외 범죄 네트워크를 상대로 '사이버 효과 작전' 을 수행할 수 있도록 승인하는 프로그램을 만들고 관리하도록 지시합니다. '사이버 효과 작전'은 정보 시스템, 네트워크 또는 데이터를 조작, 교란, 차단, 저하 또는 파괴하는 활동으로 정의됩니다 . 여기에는 스파이웨어를 배포하여 정보를 수집하는 은밀한 감시와 범죄자의 데이터나 시스템을 파괴하는 교란 공격이 포함됩니다 . 이 프로그램은 별도 승인 활동으로 '사이버 감시 작전'도 허용합니다 .

주요 요구 사항

각서는 참여 기업에 대해 다음과 같은 여러 안전 장치를 규정합니다 :

• 100만 달러 에스크로 예치금 — 참여 기업은 100만 달러를 에스크로에 예치해야 하며, 정부가 프로그램 규칙 위반을 적발할 경우 몰수됩니다 .
• 법무부/국토안보부 공동 승인 — 모든 작전은 법무부(DOJ) 와 국토안보부(DHS) 의 '프로그램 집행 책임자'의 서면 승인을 받아야만 실행할 수 있습니다 .
• 미국인 또는 미국 내 시스템 표적 금지 — 각서는 어떤 작전도 미국인 또는 미국 내 시스템을 표적으로 삼지 못하도록 하는 절차를 명시합니다 .
• '중대한 결과' 기준 — 생명 손실이나 중대한 부상을 초래할 가능성이 있거나 국제법상 '무력 사용' 수준에 해당하는 작전은 별도 승인이 없는 한 금지됩니다 .
• 연례 보고 — 프로그램 집행 책임자는 180일 이내에, 그리고 이후 매년 국토안보 보좌관과 국가사이버국장에게 보고해야 합니다 .
• 계약 관계 공개 — 참여 기업은 표적이 된 범죄 조직과의 모든 계약 관계를 NCC에 공개해야 합니다 .

법적 및 정책적 전환

이 정책은 수십 년간 이어진 미국 사이버보안 정책의 역사적 반전을 의미합니다. 컴퓨터 사기 및 남용 방지법(CFAA) 에 따라 민간 기업은 다른 모든 사람과 마찬가지로 법원 명령 없이 무단 접속, 해킹 또는 교란 작전을 수행하는 것이 광범위하게 금지되어 왔습니다 . 여러 행정부를 거치며 유지된 미국 정부의 오랜 입장은 민간 부문이 들어오는 사이버 공격을 방어할 수는 있지만 공격적인 사이버 공격을 개시하거나 수행해서는 안 된다는 것이었습니다 .

이 각서는 연방 감독 하에 활동하는 검증된 계약자에 대해 이러한 금지를 사실상 철폐하여, 민간 기업에 공격적 사이버 권한을 위임하는 정부 통제형 '해킹백' 프로그램을 창설했습니다 . 백악관은 이 정책을 통해 연방 정부가 "민간 부문의 역량과 혁신을 활용"하여 랜섬웨어 공격, 금융 사기, 성착취 등 미국인을 표적으로 하는 사이버 범죄 및 위협에 대응할 수 있게 되었다고 밝혔습니다 .

비판과 우려

비판론자들은 이 정책이 법적 도전과 민간 기업이 정부 해킹 작전에 관여해서는 안 된다는 반대에 직면할 가능성이 높다고 경고했습니다 . 각서 자체도 위험을 인정하여, 참여 기업이 프로그램 규정을 위반할 경우 몰수될 수 있는 상당한 금액의 금융 담보를 유지하도록 요구합니다. 이 프로그램은 무제한적인 '해킹백' 작전을 승인하는 것이 아니며 모든 작전은 여전히 연방 승인을 받아야 하지만, 비판론자들은 민간 기업에 공격적 사이버 역량을 위임하는 것은 잠재적 남용과 갈등 확대의 새로운 통로를 만든다고 지적합니다 .