민간 기업이 해커를 직접 공격해도 될까? 기술은 되지만 법은 거의 안 된다는 이야기

민간 기업의 ‘해킹 백’, 기술보다 법이 먼저 막힘

• 출발점은 꽤 현실적인 시나리오임. 피싱과 랜섬웨어를 뿌리는 범죄 조직의 인프라를 이메일 회사 보안팀이 이미 파악했고, 심지어 복호화 키를 피해자에게 돌려보낼 수 있는 취약점까지 찾았다는 설정임

  • 기술적으로는 공격자 네트워크를 때려눕히고 피해를 줄일 수 있어 보임
  • 그런데 미국 법 기준으로는 그 행동 때문에 회사 직원이 연방 교도소에 갈 수도 있다는 게 문제임

• 미국 정부는 민관 협력을 더 세게 밀고 있지만, ‘협력’과 ‘민간 공격 허용’은 아직 다른 얘기임

  • 2026년 3월 미국 사이버 전략은 민간 부문이 적대자 네트워크를 식별하고 교란하도록 인센티브를 만들겠다고 말함
  • 2013년 이후로도 해킹 백, 사이버 사략선, 사략 허가장 같은 아이디어가 계속 나왔지만, 실제 권한은 여전히 FBI, 사이버사령부, 정보기관 쪽에 있음

• 방어와 공격의 경계가 흐려진 건 맞음. 특히 AI 때문에 속도전이 더 빡세졌음

  • 공격자는 AI로 취약점 악용, 피싱 자동화, 사기 시나리오 생성을 더 빠르게 돌릴 수 있음
  • 방어자도 로그 수 기가바이트에서 이상 징후 찾기, 피싱 탐지, 행동 기준선 분석, 예측형 위협 분석에 AI를 쓰게 됨
  • Anthropic의 Claude Mythos처럼 취약점을 자율적으로 찾고 고치는 모델은 앞으로 보안 개발과 네트워크 방어의 기본 장비가 될 가능성이 큼

CFAA가 긋는 선: 내 네트워크 안은 비교적 안전, 밖은 위험

• 미국의 핵심 해킹 방지법인 컴퓨터 사기 및 남용 방지법(CFAA)은 민간 해킹 백에 가장 큰 장애물임

  • 허가 없이 컴퓨터에 접근하거나, 코드·명령을 전송해 의도적으로 피해를 주는 행위를 금지함
  • 2021년 미국 대법원이 CFAA 적용 범위를 일부 좁히긴 했지만, 공격자 시스템에 무단 접근하는 행위까지 허용한 건 아님

• 2015년 사이버보안 정보공유법(CISA 2015)도 선을 꽤 명확히 그음

  • 기업은 자기 네트워크를 모니터링하고, 위협 지표를 다른 민간 조직이나 정부와 공유할 수 있음
  • 자기 시스템 안에서 방어 조치를 배포하는 것도 가능함
  • 하지만 공격자 인프라를 대상으로 한 사이버 작전은 명시적으로 금지선에 가까움

• 해킹 백은 ‘악당만 때리면 되지’로 끝나지 않음. 오폭하면 민사 책임까지 따라옴

  • 공격자는 클라우드, 감염된 기업 서버, 학술망, 개인 기기 같은 공유·탈취 인프라를 경유함
  • 겉보기엔 공격자 서버처럼 보여도 실제로는 무고한 제3자 시스템일 수 있음
  • 피해를 본 제3자는 CFAA 민사 소송, 손해배상, 금지명령, 불법행위 소송을 걸 수 있음

기술적 무력화는 고위험, 허니팟 방어는 저위험

• 공격자 인프라를 기술적으로 무력화하는 건 가장 위험한 축에 들어감

  • 데이터 회수, 분산 서비스 거부 공격(DDoS), 대응용 랜섬웨어·악성코드 배포는 모두 공격자 네트워크 접근이나 피해 유발을 전제로 함
  • 의도가 선하더라도 CFAA 관점에선 ‘좋은 해커라서 괜찮다’가 잘 안 통함

• 클라우드 환경에서는 피해 범위 통제가 더 어려워짐

  • 특정 가상 머신 하나를 겨냥했는데 물리 인프라나 공유 호스트에 영향을 줄 수 있음
  • 콘텐츠 전송 네트워크(CDN), 관리형 호스팅, 공유 서버에서는 ‘정확히 공격자만 때리기’가 거의 어려운 작업이 됨

• 반대로 자기 네트워크 안에서 하는 방어는 훨씬 안전한 편임

  • 피싱 공격자를 가짜 로그인 사이트로 유도해 패킷을 캡처하고 IP, 위치, 브라우저 헤더를 기록하는 식의 허니팟은 일반적인 방어 기법에 가까움
  • 악성 도메인 트래픽을 방어자 서버로 돌리는 싱크홀, 악성 파일을 안전하게 격리하는 malware trap도 같은 범주임

• 그래도 방어 도구가 조직 밖으로 ‘삐져나가는’ 순간 리스크가 생김

  • 카나리 토큰은 파일이나 링크에 심어두는 디지털 트립와이어라서 내부에서 접근 흔적을 잡는 건 괜찮음
  • 그런데 탈취된 뒤에도 외부 장비에서 계속 신호를 보내면 CFAA 위반 논란이 생길 수 있음
  • 공격자 장비에 쿠키·비컨을 심거나 키로깅·스크린샷 기능을 돌리면 감청법과 주법 위반까지 엮일 수 있음

위협 인텔리전스도 공짜 점심은 아님

• 공개 포럼 모니터링은 대체로 괜찮지만, 폐쇄형 범죄 커뮤니티에 들어가는 순간부터 법적 리스크가 올라감

  • 접근 통제를 우회했다면 일반 웹이든 다크웹이든 CFAA 문제가 생길 수 있음
  • 실제 사람, 특히 피해자의 신원을 써서 잠입하면 가중 신원 도용죄까지 걸릴 수 있고, 이 죄는 최소 2년 의무 형이 붙음

• 가짜 페르소나도 완전 무풍지대는 아님

  • 속임수로 권한을 얻은 접근이 무단 접근으로 해석될 수 있음
  • 웹호스트, 암호화폐 믹서, 범죄자들이 쓰는 제3자 서비스에서 계정을 만들 때 현지 고객확인 규정까지 고려해야 함

• 돈이 오가는 순간 리스크는 더 커짐

  • 포럼 입장료를 내거나 악성코드 샘플을 구매하면 공모, 방조, 돈세탁, 제재법 문제가 생길 수 있음
  • 온라인 별명 뒤의 실제 인물이 제재 대상인지 확인하기 어렵기 때문에, 암호화폐 업계의 체인 분석이나 사기 추적 업무는 특히 조심해야 함

에이전틱 AI는 방어를 빠르게 만들지만 책임을 지워주진 않음

• AI 에이전트가 네트워크를 계속 스캔하고 방어 조치를 자동 실행하는 시대가 오면, 법적 경계 관리가 더 중요해짐

  • 내부 스위치나 서버가 이미 공격자에게 장악된 상황이라면, AI가 그 노드를 정상 내부 자산처럼 보고 쿼리할 수 있음
  • 여기까지는 사전 승인된 내부 방어로 볼 여지가 있음
  • 하지만 AI가 공격자가 쓰는 제3자 클라우드나 외부 인프라까지 따라가면 무단 접근 문제가 다시 튀어나옴

• Mythos 같은 모델로 랜섬웨어 취약점을 찾는 것도 사용 위치가 중요함

  • 자기 시스템에 설치된 랜섬웨어를 분석해 복구하거나 방어하는 건 가능성이 있음
  • 같은 취약점을 이용해 공격자의 명령제어 서버를 때리는 건 CFAA 선을 넘을 수 있음

• AI를 쓴다고 책임 주체가 사라지지는 않음

  • 클라우드나 소프트웨어형 서비스 인프라에서 에이전트가 움직이면 네트워크 운영자, 소프트웨어 개발사, 배포한 조직 모두 책임 논의에 휘말릴 수 있음
  • 그래서 human-in-the-loop, 감사 로그, 설명 가능성, 경계 제한 정책이 필수로 따라와야 함

현실적인 길은 법원 명령을 끼고 가는 민사 절차

• 마이크로소프트는 이미 이 모델을 꽤 오래 써왔음

  • 2013년 디지털 범죄 대응 조직이 FBI와 함께 민사 압류 영장을 활용해 금융기관에서 5억 달러 이상을 훔친 봇넷을 교란함
  • 2020년에는 Trickbot 명령제어 서버 IP를 비활성화하는 긴급 법원 명령을 받아냄
  • 2025년에는 Microsoft 365 자격 증명을 훔치던 RacoonO365 피싱 서비스를 같은 전략으로 교란함

• 구글도 올해 새로 만든 사이버 교란 조직을 통해 비슷한 길에 들어섬

  • 대형 주거용 프록시 네트워크인 IPIDEA를 상대로 기술 분석을 법 집행기관·민간 파트너와 공유함
  • 법원 허가를 받은 도메인 테이크다운으로 공격자 도메인 수십 개를 제거함

• 결론은 꽤 차갑지만 명확함. 민간 기업이 공격자를 직접 해킹하는 길은 아직 거의 막혀 있음

  • 자기 네트워크 안에서는 적극 방어 여지가 넓음
  • 조직 바깥으로 나가면 형사·민사 책임이 빠르게 커짐
  • 위협 인텔리전스와 법률팀, 법원 명령, 법 집행기관 협업을 묶는 방식이 지금으로선 가장 방어 가능한 선택지임

---

기술 맥락

• 이 글에서 말하는 핵심 선택은 ‘공격자를 기술로 직접 무력화할 것인가, 아니면 법적 절차와 방어 경계 안에서 대응할 것인가’예요. 보안팀 입장에서는 전자가 빨라 보이지만, 공격자 인프라가 감염된 제3자 시스템일 수 있어서 피해자가 다시 가해자가 될 수 있거든요.

• CFAA가 중요한 이유는 기술적 의도보다 접근 권한을 먼저 보기 때문이에요. 내부 허니팟, 싱크홀, 카나리 토큰은 조직이 통제하는 환경에서 돌아가니 방어 논리로 설명하기 쉽지만, 공격자 서버에 명령을 보내거나 DDoS를 거는 순간 ‘무단 접근’과 ‘피해 유발’로 해석될 수 있어요.

• 에이전틱 AI가 들어오면 이 경계 관리가 더 어려워져요. AI가 빠르게 판단해 외부 인프라까지 추적하면 대응 속도는 올라가지만, 사후에 왜 그 시스템에 접근했는지 설명하고 책임을 나눠야 하거든요.

• 그래서 마이크로소프트와 구글 사례처럼 위협 인텔리전스를 법원 명령과 연결하는 방식이 실무적으로 설득력이 있어요. 기술팀은 증거와 인프라 지도를 만들고, 법률팀과 수사기관이 권한 있는 차단 절차를 밟는 구조라서 규모가 커져도 방어 가능한 모델이 되기 쉬워요.