물리적 환경의 법과 제도를 그대로 적용하기엔 현실적으로 어려워

[보안뉴스 최정식 발행인] 2020년 12월 미국 법무부는 국제적 해킹 사건에 연루된 북한 정찰총국 소속 해커 세 명을 기소했다. 그들은 해외 은행과 기업으로부터 13억 달러어치 이상의 현금과 가상화폐를 훔치고, 여러 악성 가상화폐 앱을 개발해 배포했다. 그중 한 명은 이미 2014년 미국 영화사 소니픽처스 사를 해킹한 혐의로 2018년 기소되었고, 나머지 두 명은 이번에 추가됐다. 이들에게 적용된 법률은 최대 징역 5년 형을 선고받을 수 있는 ‘컴퓨터 사기와 남용 음모 혐의’ 한 건과 최대 징역 30년 형을 받을 수 있는 ‘유선 사기와 은행 사기 혐의’ 등이다.


[이미지=utoimage]

그런데 일부 학계에서는 소니픽처스 사 해킹 사건에 주목했다. 한 국가의 후원을 받은 사이버전사가 상대방의 특정 시스템을 대상으로 사이버공격을 조직적으로 수행한다면 국제법을 어떻게 적용해야 할지에 대해서였다. 예를 들면, 사이버공격을 감행한 조직원인 해커를 전투원으로 인정해야 하는가, 해킹 도구도 무기로 봐야 하는가 등이었다. 또한, 해당 인물의 신병을 확보한다면 어떤 대우를 해야 할 것인가, 어떤 방식으로 기소할 것인가? 이 경우, 사이버공간의 특성상 비례성·적시성·시의성 등도 고려해야 한다. 더욱이 사이버 공간은 물리적 공간과 달리 공공·군사·민간 시설이 명확하게 구분되지도 않는다. 그리고 “미국과 북한처럼 디지털 환경의 격차가 크다면 이러한 규칙을 적용하는 것이 과연 실효성이 있을까?” 등의 의견도 제시되었다. 즉, 미국과 북한처럼 물리적 환경과 상황이 전혀 다른 나라들의 사이버환경들에 적용할 여러 법률적 검토가 필요했다.

이 검토에 참여한 학자들 중 대부분은 “사이버 환경에서 벌어지는 상황이 물리적 환경에서 벌어지는 상황과 같은 기준과 잣대를 적용하는 것이 적합하다”는 의견을 내놓았다. 사이버공간을 구성하는 시스템은 결국 서버, 네트워크, 클라우드 등 물리적 환경에서 작동하는 제품과 서비스이기 때문이다. 결국 이러한 시스템의 장애나 중단으로 인해 발생하는 피해에 대해서는 현행법으로도 충분히 책임을 물을 수 있다는 것이 다수의 의견이었다.

이는 아직까지 사이버공격이 국가적 분쟁으로 치달은 사례가 없고, 절대 다수의 시스템이 민간 영역의 기반시설이기 때문이라는 점이 작용한 듯하다. 이에 미국은 사이버공격에 가담한 해커를 사법적으로 기소하고, 이를 후원한 기업과 국가에도 동일한 방식으로 징벌적 경제제재를 단행했다. 다만, 국가가 조직적으로 후원한 사실을 명백하게 보여줄 증거를 찾기가 쉽지 않다 보니, 이에 대한 책임을 어느 수준으로 정하는 것이 적절한지에 대한 논의는 아직도 계속되고 있다.

이러한 분위기에서 최근 미국은 기업, 대학, 정부기관을 대상으로 사이버공격을 수행한 중국 국가안전부 소속 해커 네 명을 기소했다. 이들은 국방·교육·의료·바이오·제약·항공 등 중국 기업에 도움이 될 만한 기업정보를 훔치려 했고, 에볼라, 메르스 등 전염병 연구자료도 목표로 했다. 이들 역시 ‘컴퓨터 사기 및 남용 음모 협의’와 ‘경제 스파이 공모 혐의’로 기소되어 최대 20년 형을 받을 수 있다. 더불어 그들이 소속된 기관은 최소 3만여 기관에 피해를 준 마이크로소프트 사의 메일 서비스 해킹에도 관여했다는 의심을 받고 있다.


▲최정식 보안뉴스 발행인[사진=보안뉴스]
이에 미국은 사이버공격을 수행한 외국 해커를 범죄 사범으로 보고 미국 국내법을 적용, 집행하려 하고 있다. 특히, 국가가 후원하는 해킹 조직이 미국의 정보 시스템에 침투하려는 시도는 국내·외적으로 용납될 수 없는 범죄라고 비난하면서 해당 국가에 대한 경제적 제재와 더불어 군사적 행동도 불사하겠다고 공언하고 있다.

이러한 상황에서 미국은 중국산 제품의 수입을 규제하고 있으며, 특히 국가 공공부문의 시설에 중국산 제품을 도입하는 것을 사실상 금지하고 있다. 아울러 미국과 협력하는 국가에도 이러한 원칙을 세울 것을 강력하게 권고하고 있다. 이는 미국의 국가안보를 위한 것이지만, 중국은 국제법과 국제규범을 위반했다면서 강력히 반발하고 있다. 아마도 이러한 논란은 상당 기간 동안 계속될 것이다.

사이버공격에 관한 국제법과 국제규범이 명확하게 마련되어 있지 않다. 그래서 물리적 환경의 법과 제도를 그대로 적용하기도 현실적으로 어렵다. 하지만 사이버공간에 적용할 수 있는 규범이 앞으로도 계속 정해지지 않는다면, 그래서 갈등과 충돌을 제어할 수 없다면, 그것 또한 바람직하지 못한 일이다. 이는 비단 미국과 중국만의 문제가 아니다. 우리나라도 예외일 수 없다.
[글_ 최정식 보안뉴스 발행인]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>