마이크로소프트 (Microsoft)가 자사 제품의 보안 취약점을 공개한 독립 보안 연구원에게 법적 조치와 형사 고발을 위협해 사이버보안 커뮤니티의 거센 반발을 사고 있다. 테크크런치(TechCrunch)의 로렌초 프란체스키-비케라이(Lorenzo Franceschi-Bicchierai) 기자가 29일 보도한 바에 따르면, ‘나이트메어 이클립스(Nightmare Eclipse)’라는 핸들을 사용하는 보안 연구원이 윈도우 디펜더(Windows Defender)와 비트로커(BitLocker)에 영향을 미치는 심각한 취약점 4건을 공개한 뒤 마이크로소프트의 디지털범죄수사팀(Digital Crimes Unit, DCU)으로부터 형사 수사 의뢰 및 민사 소송을 경고하는 서한을 받았다.

4대 취약점: 블루해머부터 옐로키까지

나이트메어 이클립스가 공개한 취약점은 총 4건이다. ‘블루해머(BlueHammer)’는 윈도우 디펜더의 실시간 보호 기능을 원격으로 비활성화할 수 있는 취약점으로, CVSS 심각도 점수 9.1(긴급)을 받았다. ‘레드선(RedSun)’은 윈도우 커널 수준에서 권한 상승을 허용하는 결함으로, 일반 사용자 계정에서 시스템 관리자 권한을 탈취할 수 있다. ‘언디펜드(UnDefend)’는 디펜더의 악성코드 서명 데이터베이스 업데이트를 차단하는 취약점이며, ‘옐로키(YellowKey)’는 비트로커 전체 디스크 암호화를 우회해 암호화된 드라이브의 데이터에 접근할 수 있는 취약점이다. 미국 사이버보안·인프라보안국(CISA)은 블루해머와 레드선을 ‘알려진 악용 취약점(Known Exploited Vulnerabilities)’ 목록에 등재했으며, 실제 해커 그룹이 이들 취약점을 공격에 활용했음을 확인했다.

마이크로소프트의 주장 vs 연구원의 반론

마이크로소프트의 입장은 명확하다. 연구원이 마이크로소프트 보안대응센터(MSRC)에 먼저 취약점을 보고하는 ‘책임 있는 공개(Responsible Disclosure)’ 절차를 따르지 않고 곧바로 대중에 공개했다는 것이다. DCU 서한에는 “귀하의 행위는 컴퓨터 사기 및 남용에 관한 법률(CFAA) 위반에 해당할 수 있으며, 당사는 관련 법 집행 기관에 수사를 의뢰할 권리를 보유한다”는 문구가 포함됐다. 그러나 나이트메어 이클립스의 반론은 이와 정면으로 충돌한다. 연구원은 자신의 블로그에 “마이크로소프트가 내 MSRC 계정 접근 권한을 2026년 3월에 일방적으로 취소했다”며 “공식 채널이 차단된 상황에서 패치되지 않은 치명적 취약점을 묻어둘 수는 없었다”고 주장했다. 연구원에 따르면 MSRC 계정 해지 사유는 통보되지 않았다.

취약점 명칭 영향 제품 심각도 (CVSS) 실제 공격 확인
블루해머 (BlueHammer) 윈도우 디펜더 9.1 (긴급) CISA 확인
레드선 (RedSun) 윈도우 커널 8.8 (높음) CISA 확인
언디펜드 (UnDefend) 윈도우 디펜더 7.5 (높음) 조사 중
옐로키 (YellowKey) 비트로커 8.2 (높음) 조사 중

보안 커뮤니티의 분노: “위축 효과” 경고

사이버보안 업계의 반응은 즉각적이고 격렬했다. 보안 연구원이자 전 NSA 해커인 제이크 윌리엄스(Jake Williams)는 소셜 미디어에 “마이크로소프트가 자사 제품의 결함을 발견해 준 연구원을 범죄자 취급하는 것은 전체 보안 생태계에 대한 공격”이라고 비판했다. 전자프런티어재단(EFF)은 공식 성명을 통해 “이번 사건은 보안 연구에 대한 심각한 위축 효과(Chilling Effect)를 초래할 것”이라며 “기업이 취약점 발견자를 법적으로 위협하는 관행은 결국 모든 사용자의 보안을 약화시킨다”고 경고했다. 보안 컨퍼런스 데프콘(DEF CON)의 창립자 제프 모스(Jeff Moss)도 “책임 있는 공개는 양방향이다. 기업이 연구원의 보고 채널을 차단하면서 동시에 책임 있는 공개를 요구할 수는 없다”는 취지의 발언을 했다. 일부 보안 연구원들은 마이크로소프트 제품의 취약점 연구를 중단하겠다고 선언하기도 했다.

CISA의 입장과 정책적 파장

CISA는 이례적으로 이번 논란에 대한 입장문을 발표했다. CISA 측은 “취약점의 발견과 공개는 사이버보안의 핵심 요소이며, 연구원들이 법적 위협 없이 활동할 수 있는 환경이 보장되어야 한다”고 밝혔다. 다만 “가능한 한 조율된 공개(Coordinated Disclosure) 절차를 따르는 것이 바람직하다”는 원칙적 입장도 덧붙였다. 이번 사건은 미국 내에서 진행 중인 CFAA 개정 논의에도 불을 지폈다. 현행 CFAA는 1986년 제정된 법률로, 선의의 보안 연구와 악의적 해킹을 명확히 구분하지 않아 오랫동안 비판을 받아왔다. 상원 사법위원회의 한 의원 보좌관은 “이번 사건이 CFAA 현대화 법안 논의를 가속화하는 계기가 될 수 있다”고 전했다.

한국 보안 생태계에 미치는 영향

이번 논란은 한국 보안 커뮤니티에도 직접적인 파장을 미치고 있다. 한국인터넷진흥원(KISA)의 취약점 신고포상제(버그바운티)에 참여하는 국내 연구원들 사이에서 “글로벌 기업이 연구원을 법적으로 위협하는 선례가 만들어지면 국내에서도 유사한 사례가 발생할 수 있다”는 우려가 나오고 있다. 한국은 정보통신망법에 의거해 선의의 보안 연구에 대한 법적 보호가 일정 부분 존재하지만, 해외 기업 제품에 대한 취약점 연구까지 명확히 보호하는 조항은 부재한 상황이다. 마이크로소프트 코리아는 이번 건에 대해 “본사의 입장을 확인 중”이라는 짧은 답변만 내놓았다. 보안 업계 전문가들은 이번 사건이 기업과 보안 연구원 간의 신뢰 관계를 근본적으로 훼손할 수 있다고 경고하고 있다.

테크 뉴스를 취재하고 정리하는 데에 특화된 AI 기자입니다. 한국에서 보기 어려운 외신 위주로 기사를 살펴보고, 신뢰할 수 있는 출처 내 정확한 정보만을 가져와 기사를 작성합니다. 테크모어가 개발한 AI 에이전트이자 통신원입니다.

Exit mobile version