미국 정부의 카스퍼스키 판매 금지: 개인정보 보안 이슈도 있을까?

미국 정부가 카스퍼스키에 대해 칼이 아니라 망치를 빼들었습니다. 카스퍼스키를 건든게 이번이 처음이 아닙니다. 왜 하필 ‘카스퍼스키(Kaspersky)’를 때리는 걸까요? 단순히 러시아 기업이라서?라고 생각하기 보단 다른 부분도 함께 생각해보면 더 재미있을 것 같습니다. 이렇게 한번 생각해볼까요? “왜 하필 안티바이러스 앱 판매 금지를 시킨걸까?”

저는 유료 안티 바이러스 백신 프로그램을 쓰지 않은지 상당히 오래되었습니다. 여러분이 내 컴퓨터가 깨끗한지 확인하기 위해서 백신 프로그램을 돌리면 내 컴퓨터에 있는 모든 파일을 하나하나 다 검사하게 됩니다.

저는 오래전부터 이 자체가 꽤 무섭다고 느껴졌어요. 안티바이러스 프로그램 회사는 이 모든 정보를 수집할 수 있고 나쁜 마음을 먹는다면 얼마든지 수익을 위해서 써먹을수도 있겠다는 막연한 생각이 들었거든요. 이와 관련된 이야기도 함께 해볼게요.

카스퍼스키 미국 내 사용 금지

바이든 행정부는 러시아 국적의 사이버 보안 회사인 카스퍼스키(Kaspersky)가 미국에서 안티바이러스 제품을 판매하고 서비스 제공하는 것이 ‘국가 안보 우려’가 될 수 있다고 금지했습니다. 백신 앱 하나가 국가 안보를 해칠 수 있다고 판단한거예요. 프로그램 하나가 그렇게 파급 효과가 큰 것일까요??

미 상무부는 “앞으로 미국 내에서 카스퍼스키 판매 및 이미 판매되어 사용중인 카스퍼스키에 대한 업데이트 제공도 없을 것”이라고 단호하게 성명을 발표했습니다.

그리고 미 상무부 장관 지나 레이몬도(Gina Raimondo) 역시 “러시아는 자국 기업을 이용해 미국의 정보를 수집하고 무기화할 능력이 있으며 그 의지를 여러 번 보여줬다.”고 말했습니다.

미국의 워딩이 꽤 강합니다. 의지가 확고한게 느껴져요.

이유는?

러시아 정부가 자국 기업인 카스퍼스키를 통제할 수 있기 때문이라고 합니다. 수 많은 개개인의 컴퓨터 뿐 아니라, 기업들도 사용중이기 때문에 미국 내 지속적인 운영이 국가 안보 위험을 초래한다고 판단한 긴 조사 후 발표되었습니다.

영향은 어떨까?

카스퍼스키 매출이 2022년 회계년도 기준으로 무려 7억5200만 달러 입니다. 미국에서의 매출이 어느정도인지 모르겠지만 소프트웨어, 하드웨어 어느 분야든 미국 시장에서 사업을 할 수 없게 되면 그 타격은 회사가 휘청이게 될 정도가 됩니다.

그리고 미국 정부가 국가 보안을 이유로 차단했다? 동맹 국가들이 가만히 있을까요. 미국 정부의 결정으로 카스퍼스키의 이미지는 ‘러시아 정부의 도구’로 ‘낙인’찍힌 것이나 다름없습니다.

돈 내고 구매한 미국인들은?

미 상무부는 유저들이 다른 안티 바이러스 소프트웨어 사용할 것을 권장하고 있지만 개인 유저들의 사용을 강제로 막진 않았습니다. 원할 경우 계속 사용은 가능하지만 카스퍼스키 미국 지사는 9월 29일까지 운영할 수 있다고 뉴스에 나옵니다. 앞서 밝혔듯 앞으로 ‘업데이트’가 문제인데 안티 바이러스는 특히 업데이트가 매우 중요한 소프트웨어인데 이것을 막으면 사실상 개인 사용자들도 쓰지 말라는 것이나 다름없습니다.

미국 정부가 카스퍼스키 두들겨 팬 역사

카스퍼스키가 갑자기 눈탱이 얻어맞은게 처음은 아닙니다.

• 2017년 9월, 국토안보부(DHS) 금지 조치: DHS(미 국토안보부)는 2017년 9월에 모든 연방 행정부 기관에 카스퍼스키 제품 사용을 중단할 것을 명령했습니다. 당시 국토안보부 장관 대행이었던 일레인 듀크는 안티 바이러스 백신의 광범위한 접근 권한이 악용될 수 있다는 지침을 내렸습니다.
• 2018년 국방수권법: 2018년 국방수권법에 따라 모든 연방 및 군 기관에서 카스퍼스키 제품 사용이 금지되었습니다. 이 법은 카스퍼스키 제품이 미국 국가 안보에 위협이 된다는 이유로 발효되었습니다. 카스퍼스키는 이러한 결정을 부당하다고 주장하며 법적 대응을 시도했지만, 2018년 5월에 소송이 기각되었습니다​​.
• 연방통신위원회(FCC) 2022년 결정: 2022년 3월, FCC는 카스퍼스키를 국가 안보에 위협이 되는 기업 목록에 추가했습니다. FCC는 카스퍼스키 제품이 미국의 통신 네트워크에 위험을 초래할 수 있다고 판단했습니다. 카스퍼스키는 이 결정에 대해 강력히 반발하며, 자신들이 그러한 활동에 관여한 적이 없다고 주장했고 소를 제기했지만 연방 지방법원은 이를 모두 각하했습니다.

왜 하필 카스퍼스키? – 안티바이러스 프로그램은 양날의 검

안티바이러스 보안 소프트웨어가 생각보다 위험할 수 있어요. 카스퍼스키가 위험하다는 뜻이 절대 아닙니다. 큰 권한을 넘겨줘야하기 때문에 그만큼 위험성도 존재한다는 것 입니다.

광범위한 시스템 접근 권한

안티바이러스 소프트웨어는 중요한 보안 도구이지만, 그 자체로도 위협이 될 수 있는 여러 요인이 존재합니다. 이러한 이유로 안티바이러스 소프트웨어를 선택할 때는 신뢰할 수 있는 공급자를 선택이 가장 중요하죠.

안티바이러스 소프트웨어는 시스템의 전반적인 부분에 접근할 수 있는 높은 수준의 권한을 가집니다. 이는 악의적인 의도를 가진 행위자가 악용할 경우 정말 끔찍해지겠죠? 내 컴퓨터에 어떤 파일들이 존재하고 어떤 내용인지까지 많은 부분을 수집할 수 있는 가능성도 생각해 봐야 합니다.

뇌피셜 아니냐구요? – Avast 고객정보 판매 사건

어베스트(Avast) 백신은 한국에서도 상당히 유명한 회사 입니다.

번역 및 한줄 요약하면 아래와 같습니다.

‘FTC(연방거래위원회)’는 고객의 검색 정보를 수집해서 제3자에게 판매한 혐의로 1,650만달러의 벌금을 요구함 (자세히 읽기)

유명 회사들도 이러고 있습니다. 그러니 미국 정부의 우려는 전혀 근거없는 것은 아니긴하죠.