먼저 100만 달러를 내야 다른 사람의 컴퓨터 시스템을 공격할 자격을 얻는다—이것이 이번 각서에서 가장 구체적인 문구다. 도널드 트럼프 미국 대통령은 새로운 국가안보 대통령 각서에 서명해, 민간 기업이 연방정부를 대신해 '초국가적 범죄 조직'을 겨냥한 사이버 공격을 벌일 수 있도록 허용했다. 백악관 측 설명에 따르면, 랜섬웨어, 성 착취, 금융 사기, 피싱 공격에 대응하기 위해 '민간 부문의 역량과 혁신'을 활용하겠다는 취지다.
지금까지는 '컴퓨터 사기 및 남용 방지법'(CFAA)이 해킹 침입이나 무단 접속 행위를 불법으로 규정하는 주요 근거였고, 이 법은 기업과 개인 모두에게 동일하게 적용됐다. 2022년 법무부는 보안 연구 목적의 화이트해커 행위는 더 이상 기소하지 않겠다고 밝힌 바 있는데, 이번 각서는 법무부의 '기소 재량권' 범위를 연구 목적을 넘어 실제 공격 작전으로까지 대폭 확대했다.
세부 사항은 현재 거의 백지 상태다. 각서는 국토안보부 산하 전담팀에 향후 60일 이내에 참여 기업 심사 기준과 공격 작전의 실제 집행 절차를 마련하도록 요구하고 있다. 지금까지 알려진 구체적인 기준은 단 하나뿐이다: 참여를 원하는 기업은 100만 달러의 보증금을 내야 하며, 정부 지침을 따르지 않을 경우 이 돈은 몰수된다.
이번 각서는 미국 내에서의 법적 보호와 명확한 금전적 인센티브를 제공하지만, 정작 중요한 문제 하나는 다루지 않고 있다: 만약 이들 기업이나 직원이 공격 작전으로 인해 공격 대상 컴퓨터가 위치한 외국에서 기소당할 경우, 미국 정부가 어떻게 대응할 것인가 하는 문제다. 이 각서는 미네소타주와 미시간주에서 여러 차례 발생한 수도 시설 사이버 공격이 이란과 연관된 것으로 판명된 이후 서명됐다. 미국 스스로도 과거 외국 해커들을 여러 차례 기소한 전례가 있다—즉 이번 계약을 맡는 미국 기업들은 앞으로 자국이 즐겨 쓰던 바로 그 각본을, 이번엔 다른 나라가 자신들에게 적용하는 상황과 마주할 수도 있다는 의미다.
