올해 6월, 러시아의 우크라이나 침공 2주기 맞아 제재 대상 1,200개에서 4,500여개로 폭증
미국, 6월 말 카스퍼스키 제품에 대해 국가안보 위협 이유로 판매금지 조치 내리기도

[보안뉴스 김영명 기자] 중국과 러시아 소속 기업의 제품이나 서비스를 퇴출시키려는 미국 행정부의 움직임이 빨라지고 있으며, 이러한 흐름은 사이버 보안 영역까지 확장되고 있는 추세다. 올해 4월 미국 하원에서는 ‘틱톡 강제 매각법’이 통과됐다. 이는 중국 바이트댄스가 서비스하는 동영상 플랫폼인 ‘틱톡(TikTok)’에서 중국 공산당 관련 콘텐츠가 여과없이 미국 청소년에 노출된다는 점, 자국 사용자 정보가 중국 정부에 유출될 수 있다는 점에서였다. 특히 미국 정부는 사이버 보안 기업 ‘카스퍼스키(Kaspersky)’를 콕 집어 제재를 가하고 있다. 미국이 틱톡 퇴출에 집착하는 것은 자국 사용자의 개인정보가 중국 정부에 유출될 경우 미국의 국가안보에 위협이 될 수 있다는 우려 때문이다.


▲미국의 러시아·중국을 겨냥한 경제 제재 관련 이미지[이미지=Konnect News]

우크라이나 침공 2주기 맞아 러시아 제재 확대
미국 정부는 러시아의 경제 제재도 확대하고 있다. 지난 6월 12일, 미국 정부는 러시아의 우크라이나 침공 2주기에 맞춰 러시아의 우크라이나 침공을 지원하는 개인과 기업의 제재 대상을 대폭 확대, 이들과 거래하는 중국 등 외국은행에 대한 고리를 봉쇄할 것이라고 발표했다.

이번 제재를 통해 미국은 러시아 제3자 제재 대상인 개인·단체의 수를 기존 약 1,200개에서 4,500여개로 증가시켰다. 기존 제재와 다른 점은 우크라이나 전쟁을 직접 지원하지 않더라도 다른 이유로 이미 제재를 받은 거의 모든 러시아 법인이 제재 대상에 포함된다. 러시아 최대 국영은행인 스베르방크(Sberbank) 등이 대표적이다.

이번 제재조치에 대해 미국 백악관 제이크 설리번(Jake Sulivan) 국가안보보좌관은 “이번 제재는 러시아에 대한 압박을 강화하기 위한 대대적인 조치가 될 것”이라며 “외국 금융기관들이 러시아와 거래하는 데 따르는 위험을 증가시킬 것”이라고 전했다.

최근에는 미국 정부의 적대국을 겨냥한 제재가 사이버 보안 분야로 확대됐다. 러시아의 사이버 보안 기업 카스퍼스키는 1997년 유진 카스퍼스키(Eugene Kaspersky)가 설립, 현재 전 세계 31개 지사를 두고, 200여개 국가에서 4억명이 넘는 사용자와 27만 기업 고객에게 서비스를 제공하고 있다.

이런 카스퍼스키를 대상으로 미국 정부는 올해 6월 20일, 카스퍼스키 제품이 국가안보에 위협이 된다는 이유로 판매금지 조치를 내렸다. 미국 상무부 산하 산업보안국(Bureau of Industry and Security, 이하 BIS)은 카스퍼스키 자회사 카스퍼스키랩(Kaspersky Lab)이 미국에서 또는 미국인에게 안티바이러스 소프트웨어와 사이버 보안 제품 및 서비스를 판매하는 것을 금지한다는 내용의 최종결정을 발표했다.

미국 정부의 카스퍼스키 제재 타임라인 살펴보면
미국 정부가 카스퍼스키를 퇴출하려는 시도는 이번이 처음은 아니다. 미국 국토안보부(DHS)는 2017년에 자국 연방기관을 대상으로 카스퍼스키랩 제품 사용을 금지했다. DHS는 카스퍼스키랩과 러시아 정부기관의 결탁 가능성을 우려했으며, 러시아 정보기관이 카스퍼스키랩 소프트웨어를 통해 미국 연방정부 시스템에 침범할 수 있다고 밝혔다.

이에 따라 DHS는 모든 연방기관에 30일 내에 카스퍼스키 안티바이러스의 사용 여부를 확인하고, 60일 내 해당 소프트웨어의 사용 중단 및 제거 계획을 수립해 90일 내로 제거를 완료하도록 지시했다. 이 같은 규제는 이스라엘 정부가 미국 정부에 카스퍼스키 소프트웨어의 위험성을 전하면서 진행된 것으로 밝혀졌다. 이스라엘 정보당국이 고용한 해커들은 러시아 해커들이 미국 국가안보국(National Security Agency, 이하 NSA) 등 정보기관의 컴퓨터망에서 기밀을 빼낸 사실을 알아챘다.


▲2017년 미국 정부의 카스퍼스키 의혹에 대한 입장문[자료=카스퍼스키]

2017년 12월, 미국 도널드 트럼프(Donald Trump) 전 대통령이 카스퍼스키랩의 제품과 서비스 사용을 금지하는 내용을 담은 ‘국방수권법(National Defense Authorization Act, 이하 NDAA)’에 서명하면서 카스퍼스키 퇴출에 힘을 실었다. 카스퍼스키랩은 러시아와의 공조 관계 의혹을 부인하며 워싱턴 D.C. 연방지방법원에 해당 제재 취소의 소(訴)와 권리침해의 예비적 금지명령을 신청하고, 2018년에는 ‘국방수권법’도 위헌이라며 추가 소송을 제기했다. 하지만 워싱턴 D.C. 연방지방법원은 카스퍼스키의 두 차례의 소를 모두 기각했다.

2022년에는 미국 연방통신위원회(FCC)는 국가안보를 위협하는 기업 목록에 카스퍼스키를 추가했다. FCC는 자국민의 안전과 국가 보안에 용인할 수 없는 위험을 초래할 것으로 간주되는 업체의 목록을 관리하는데 카스퍼스키도 포함됐다.

올해 6월 20일, 미국 BIS 산하 정보통신기술 및 서비스사무국(OICTS)은 카스퍼스키의 사이버 보안 및 안티바이러스 거래에 대해 검토하고 이러한 거래가 자국 안보에 해를 끼칠 수 있다는 판단에 7월 20일부터 자국 내 기업과 소비자에게 카스퍼스키의 소프트웨어 판매를 금지시켰다. 이 제품을 다른 브랜드로 아웃소싱해 판매하는 화이트 라벨 제품의 판매 역시 금지된다.


▲카스퍼스키가 미국 국가 안보에 위협이 되는 주요 우려사항[자료=미국 국가안보국]

미국 내 사용금지 조치에 대한 카스퍼스키 대응
미국 정부의 조치에 카스퍼스키는 올해 7월 2일 공식 입장문을 내고 법적 대응에 나서겠다고 밝혔다. 카스퍼스키는 입장문을 통해 “미국의 국가안보를 위협하는 활동에 전혀 관여하지 않았고 오히려 미국을 표적으로 삼는 위협 행위자들을 신고하는 데 기여했다”며 “이 같은 조치는 향후 사이버 범죄가 쉽게 발생할 수 있는 환경을 제공할 것, 고객들에게 심각한 혼란을 야기할 것”이라고 강하게 성토했다.

카스퍼스키는 또한 “어떤 정부로부터도 독립적임을 지속해서 증명해왔다”며 “또한 무결성과 신뢰성에 대한 지속적인 노력을 입증하기 위해 다른 사이버 보안 기업들과는 비교할 수 없는 아주 중요한 투명성 조치를 시행해 왔다”고 지적했다. 이어 “미국 상무부의 결정은 이러한 노력과 증거를 부당하게 무시한 처사”라며 “이번 조치는 향후 사이버 범죄가 쉽게 발생할 수 있는 환경을 제공할 것으로 보인다”는 의견을 피력했다.

영국 로이터는 미국 행정부의 이번 조치가 카스퍼스키 소프트웨어로 인한 러시아 사이버 공격의 위험을 제거하고, 우크라이나 전쟁을 벌이고 있는 러시아에 대한 미국의 제재가 고갈된 상황에서 러시아를 계속 압박하려는 조 바이든 행정부의 의지를 보여주는 것이라고 분석했다. 또한 미국 정부가 러시아, 중국 등 주요 적대국의 IT 기업과 자국 간 거래를 금지하거나 제한할 수 있는 권한을 활용하고 있다고도 설명했다.

이글루코퍼레이션 관계자는 “이번 미국의 결정은 미국의 동맹국, 특히 사이버 보안 분야에서 미국과 긴밀한 협력 관계에 있는 국가들은 물론 카스퍼스키의 제품을 사용하는 기업 모두에게 많은 영향을 미칠 것으로 보인다”며 “그러나 각 국가의 구체적인 대응은 자국의 안보 상황, 러시아와의 관계, 사이버 보안 정책 등에 따라 서로 다른 양상을 보일 수밖에 없는 만큼 미국의 조치가 각국, 그리고 개별 기업에 어떤 방식으로 영향을 미칠지는 조금 더 지켜보아야 할 것”이라고 설명했다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>