혹시 이런 생각, 한 번쯤 해보신 적 있으신가요? “당하기만 하는 우리는 왜 늘 방어만 해야 할까?” 2026년 8월, 미국 민간 기업 해킹 허용 정책이 현실이 되면서 이 오래된 질문이 다시 뜨겁게 타오르고 있습니다. 마치 만화 속 ‘해적 사냥꾼’처럼, 정부가 기업의 손에 해킹 권한을 쥐여준 셈인데요. 과연 진실은 무엇인지, 팩트만 골라 쉽게 정리해 드리겠습니다.
트럼프 대통령 각서, 정확히 무슨 내용인가
2026년 8월 12일, 미국 백악관에 문서 한 장이 올라왔습니다. 제목은 ‘초국가적 사이버 기반 범죄 대응 역량 확대(Expanding Capabilities to Combat Transnational Cyber-Enabled Crime)’. 트럼프 대통령이 서명한 국가안보 대통령 각서(NSPM)입니다.
핵심은 이렇습니다.
- 국가조정센터(NCC)가 프로그램을 만들어, 검증된 미국 민간 기업이 해외 사이버 범죄 조직을 상대로 작전을 수행하도록 허가합니다.
- 작전은 두 종류입니다. 몰래 정보를 캐내는 사이버 감시 작전(Cyber Surveillance Operations), 그리고 상대 시스템을 교란·마비·파괴하는 사이버 효과 작전(Cyber Effects Operations).
- 쉽게 말해 하나는 ‘해킹으로 정보 수집’, 다른 하나는 ‘해킹으로 시스템 무력화’입니다.
여기서 오해하기 쉬운 지점이 있습니다. 이건 기업이 공격당했을 때 스스로 ‘반격 해킹(hack back)’을 하는 제도가 아닙니다. 정부가 직접 운영하고, 모든 작전을 사전에 승인하는 계약 기반 프로그램입니다. 참여 기업은 법무부(DOJ) 또는 국토안보부(DHS)와 계약을 맺어야 하죠.
왜 지금인가 — ’28조 원 피해’와 방어의 한계
미국이 이렇게까지 나선 이유는 명확합니다. 바로 눈덩이처럼 불어난 피해액입니다.
백악관 팩트시트에 따르면, 2025년 한 해 미국인이 사이버 기반 범죄로 신고한 피해액만 약 208억 달러(약 28조 원)에 달합니다. 불과 몇 달 전인 2026년 3월 발표 당시 언급된 125억 달러에서 크게 뛴 수치입니다. 랜섬웨어, 피싱, 금융 사기, 사칭 스캠이 주범으로 지목됐습니다.
문제는 ‘방법’입니다. 미국 안에 있는 범죄자라면 영장을 발부해 서버를 털거나 체포할 수 있습니다. 하지만 이들 대부분은 미국 밖에 근거지를 둔 조직입니다. 조사하려면 상대국 정부와 공조해야 하고, 이 과정은 시간이 오래 걸립니다. 그사이 피해자는 계속 늘어나죠.
그래서 미국은 결론을 내립니다. “국내는 우리가 처리하겠지만, 국외는 방법이 마땅치 않으니 해킹으로 대응하겠다.” 이 각서는 2026년 3월 서명된 행정명령 14390의 연장선이기도 합니다. 그때 이미 ‘민간 부문 참여’라는 밑밥이 깔려 있었던 셈입니다.
아무나 해킹? 의외로 촘촘한 ‘5중 안전장치’
“기업에 해킹을 풀어줬다”는 말만 들으면 무법천지가 떠오릅니다. 그런데 각서를 뜯어보면, 오히려 악용을 막으려 꽤 신경 쓴 흔적이 보입니다.
- 대상 한정: 공격 대상은 미국을 노리는 해외 초국가적 사이버 범죄 조직(CE-TCO)뿐입니다. 미국 내 범죄 조직은 대상이 아닙니다.
- 국가 배후 제외: 외국 정부 소속이거나 정부 지시로 운영되는 단체는 제외됩니다. 다만 ‘명확한 정보가 없으면 정부와 무관한 것으로 간주’한다는 단서 때문에, 실효성 논란도 있습니다.
- 정부 승인 필수: 기업이 마음대로 공격할 수 없습니다. “여기를 해킹하겠습니다”라고 제안서를 올리고, 프로그램 총괄 이사(법무부·국토안보부 지명)의 서면 승인을 받아야 작전이 시작됩니다.
- 레드라인 존재: 인명 손실이나 국제법상 무력 사용·무력 공격 수준의 ‘중대한 결과’를 초래하는 작전은 승인 자체가 불가능합니다.
- 미국인 표적화 시 즉시 중단: 작전 도중 대상이 미국인·미국 시스템으로 드러나면, 즉시 작전을 멈추고 최소화 절차를 밟은 뒤 NCC에 보고해야 합니다.
여기에 참여 기업은 기술력·시설 보안·인력 검증 등 최소 기준을 통과해야 하고, 연 1회 재평가를 받습니다. 한 번 선정됐다고 영원한 자격이 아니라는 뜻입니다.
[[내부링크: 국방 AX Sprint — AI 국방 혁신 → 안전장치 섹션 하단 배치]]
‘보증금 100만 달러’의 진짜 의미
각서에서 자주 회자되는 조항이 바로 ‘최소 100만 달러 보증금(bond or escrow)’입니다. “역시 돈부터 챙기는군”이라는 반응도 있지만, 취지는 조금 다릅니다.
이 보증금은 참여 기업이 계약을 어겼을 때 몰수됩니다. 즉, 기업이 함부로 선을 넘지 못하게 잡아두는 ‘목줄’ 역할이죠. 미국인이 피해를 보거나 보안 사고가 났을 때 책임을 담보하는 장치입니다. 다만 이 조건은 재량 사항이라, 어떤 계약에 적용될지는 아직 확정되지 않았습니다.
‘사이버 사략선’의 진짜 원조는 따로 있다
많은 언론이 이번 각서를 ‘현대판 사략선(privateer)’이라 불렀습니다. 사략선은 과거 국가가 민간 선주에게 허가장을 내주고, 적국 배를 공격·나포하도록 합법적으로 허용한 제도입니다.
그런데 진짜 원조 ‘사략면허 법안’은 따로 있습니다. 2025년 8월, 데이비드 슈바이커트 의원(애리조나)이 발의한 ‘스캠 팜 사략·보복 허가법(H.R. 4988)’입니다. 이 법안은 헌법 제1조의 ‘사략면허(Letter of Marque and Reprisal)’ 권한을 되살려, 대통령이 민간에 직접 허가장을 발급하도록 합니다.
트럼프 각서와의 차이는 아래 표에서 한눈에 확인하실 수 있습니다.
| 구분 | 트럼프 대통령 각서 (NSPM) | 슈바이커트 법안 (H.R. 4988) |
|---|---|---|
| 형식 | 대통령 각서(행정 조치) | 법안(입법 필요) |
| 현재 상태 | 서명 완료, 절차 수립 중 | 발의 후 계류 중 |
| 통제 방식 | 정부 승인·감독 하 작전별 허가 | 대통령이 사략면허 발급 |
| 대상 범위 | 해외 범죄 조직(CE-TCO) 한정 | 외국 정부까지 포함 가능 |
| 규제 강도 | 상대적으로 촘촘함 (‘순한 맛’) | 훨씬 광범위 (‘원조’) |
정리하면, 트럼프 각서는 작전마다 정부 승인을 받고 대상도 좁힌 ‘순한 맛’ 버전입니다. 문제는, 만약 이 프로그램이 잘 정착되면 계류 중인 강력한 법안이 뒤이어 현실화될 수 있다는 점입니다. 사람들이 우려하는 지점이 바로 여기입니다.
이거 진짜 괜찮을까 — 찬반이 갈리는 이유
보안 업계의 반응은 반으로 갈렸습니다.
찬성 측 논리는 이렇습니다. 콜롬비아대 연구원 제이슨 힐리는 “과거였다면 혐오했을 발상이지만, 이미 현실이 달라졌다”는 취지로 지지했습니다. 전직 사이버 담당관 조슈아 스타임머는 “중국과 러시아는 이미 이런 일을 대규모로 하고 있고, 우리만 안 했을 뿐”이라며 대등한 대응을 강조했습니다.
반대·우려 측의 논리도 만만치 않습니다.
- 범죄자 특정의 어려움: 해커가 남의 PC를 경유해 공격하면, 미국 입장에선 그 무고한 PC 주인이 ‘공격자’로 보일 수 있습니다.
- 프라이버시 침해: 글로벌 인프라를 가진 빅테크가 이 사업에 집중할 경우, 방대한 정보 수집이 프라이버시를 위협할 수 있습니다.
- 이윤 추구의 역효과: ‘현상금 사냥꾼’이 된 기업이 실적에 몰두하면, 오히려 감시 사회를 부추길 수 있다는 지적입니다.
- 대(對)해킹의 시대: 다른 나라도 유사 법안을 만들면, 서로가 서로를 해킹하는 갈등 국면이 올 수 있습니다. 국제 공조가 약해지는 흐름과 맞물려 더 우려되는 부분입니다.
우리에게 남기는 질문 — 정보보안 업계의 전망
한 가지는 분명합니다. 이 정책은 보안 시장을 더 뜨겁게 달굴 것입니다. 국가가 합법적으로 해킹 작전을 수행할 기업을 모집한다면, 이를 전문으로 하는 회사가 새로 생겨날 수밖에 없습니다.
이 흐름은 미국에만 머물지 않습니다. AI 시대에 사이버 범죄가 급증하는 만큼, 방어와 공격 양쪽 모두에서 인력 수요가 커질 전망입니다. 국내 정보보안 업계에도 기회이자 과제가 될 수 있습니다.
구체적인 운영 절차는 각서 서명 후 60일 이내, 즉 2026년 10월 중순경에 윤곽이 드러날 예정입니다. 그때가 되면 논쟁은 한층 더 뜨거워질 것입니다.
[[내부링크: AI 시대 사이버 보안 위협 트렌드 → 결론 직전 배치]]
자주 묻는 질문 (FAQ)
Q1. 이 각서로 미국 기업이 아무나 해킹할 수 있나요? 아닙니다. 대상은 미국을 노리는 해외 사이버 범죄 조직(CE-TCO)으로 한정되며, 작전마다 정부의 사전 승인이 필요합니다.
Q2. 북한·중국·러시아 국가 해커도 대상인가요? 원칙적으로 외국 정부 소속·지시 단체는 제외됩니다. 다만 ‘연관성을 입증할 명확한 정보가 없으면 정부와 무관한 것으로 간주’한다는 단서가 있어, 실효성 논란이 있습니다.
Q3. 기업이 ‘반격 해킹(hack back)’을 하는 건가요? 아닙니다. 이건 정부가 운영·승인하는 계약 기반 프로그램이며, 기업이 자체 판단으로 반격하는 제도가 아닙니다.
Q4. 언제부터 실제로 시행되나요? 운영 절차가 서명 후 60일 이내에 수립될 예정이므로, 2026년 10월 중순 이후 구체적인 형태가 공개될 것으로 보입니다.
‘천박한 힘의 논리’인가, 불가피한 진화인가
정리하면, 2026 미국 민간 기업 해킹 허용 정책은 세 가지로 요약됩니다. 첫째, 해외 사이버 범죄 조직만 대상으로 한 ‘순한 맛’ 제도라는 것. 둘째, 정부 승인·보증금·즉시 중단 등 촘촘한 안전장치가 걸려 있다는 것. 셋째, 그럼에도 ‘대해킹 시대’와 프라이버시 침해라는 근본적 우려가 남아 있다는 것입니다.
이 변화는 이미 시작됐습니다. 여러분은 ‘민간을 활용한 역해킹’이 불가피한 진화라고 보시나요, 아니면 위험한 판도라의 상자라고 보시나요? 10월 중순 세부 절차가 공개되기 전, 지금 이 흐름을 미리 알아두는 것만으로도 한발 앞서 나가실 수 있습니다. 관련 방산·사이버 이슈가 궁금하시다면, 함께 정리한 클러스터 글도 꼭 확인해 보시기 바랍니다.