미국 상원의원 와이든, 마이크로소프트를 국가 안보 위협으로 지목

미국 론 와이든 상원의원은 최근 FTC 위원장에게 서한을 보내, 그가 “심각한 사이버 보안 태만”이라고 묘사하는 것으로 인해 마이크로소프트를 국가 안보 위협으로 지목했다. 

서한에서 와이든은 마이크로소프트가 여러 고-profile 사이버 보안 사건에서 수행한 역할에 대한 조사를 촉구하며, 회사의 관행이 중요 인프라와 미국 국가 안보를 위험에 빠뜨렸다고 주장했다.

와이든, 마이크로소프트를 비난

9월 10일 서한에서 앤드류 퍼거슨 FTC 위원장에게 보낸 편지에서 와이든 상원의원은 기술 거인의 “심각한 사이버 보안 태만”이 최소한 Windows 운영체제의 기본 구성 설정으로 인해 미국 의료 기관을 포함한 중요 인프라에 대한 랜섬웨어 공격을 초래했다고 주장했다.

와이든은 마이크로소프트를 “자신의 피해자들에게 소화 서비스를 판매하는 방화업자”에 비유했으며, 그에 따르면 정부 기관과 다른 회사들은 기업 IT 분야에서 “거의 독점”을 가지고 있기 때문에 회사의 제품을 사용할 수밖에 없다고 말했다.

와이든은 2024년 5월 병원 운영사 아센션에 대한 랜섬웨어 공격을 주요 예시로 들었다.

회사에 따르면 해당 사례는 거의 560만 명의 개인 의료 및 보험 데이터를 노출시켰다. 그는 병원 운영사가 아센션 노트북의 계약자가 마이크로소프트의 빙 검색 엔진에서 제공된 악성 링크를 클릭했다고 직원들에게 알렸다고 썼다.

와이든은 마이크로소프트가 구식 암호화 기술과 기본 구성 설정을 지원한 것이 아센션 익스플로잇을 초래했다고 주장했다. 또한 그는 회사가 기업들이 위협을 완화하는 방법을 적절히 교육하지 않았다고 말했다.

마이크로소프트 대변인은 수요일에 와이든이 언급한 암호화 표준인 RC4가 실제로 구식이지만 회사의 트래픽에서 “0.1% 미만”을 차지하며 고객들이 이를 사용하지 않도록 장려한다고 확인했다.

“그러나 그 사용을 완전히 비활성화하면 많은 고객 시스템이 중단될 것이다,”라고 대변인은 말했으며, 회사는 경고와 지침을 제공하는 동시에 고객들이 이를 사용하는 범위를 점진적으로 줄이고 있다.

RC4는 2026년 1분기부터 특정 Windows 제품에서 기본값으로 비활성화될 예정이며, 회사는 기존 배포에 대해 “추가적인 완화 조치”를 포함할 것이라고 말했다.

와이든, 법원 시스템의 사이버 보안 관행 검토를 요구

와이든의 마이크로소프트 관련 조치는 그가 연방 법원 시스템의 사이버 보안 관행에 대한 포괄적인 검토를 시작하도록 존 로버츠 대법관에게 촉구한 지 얼마 지나지 않아 이루어졌다.

그의 요청은 전자 사건 관리 시스템의 대규모 해킹 이후 이루어졌으며, 이는 5년 동안 두 번째 주요 침해 사건이다.

최신 침해 사건은 올해 6월에 기록되었으며, 이는 법원들이 2015년부터 행정부 기관에서 표준이었던 기본 보안 조치인 다중 인증 구현을 최종적으로 발표하도록 압박했다.

와이든의 관점에서 법원 사이버 보안의 태만은 진행 중인 조사와 연방 증인과 관련된 민감한 정보가 외국 적대세력에 의해 악용될 수 있기 때문에 국가 안보에 심각한 위험을 초래한다.

사건 관리 시스템에 위치한 봉인된 법원 제출 서류에는 종종 국가 안보 출처와 방법에 대한 매우 민감한 정보, 주요 연방 증인들의 이름, 또는 진행 중인 조사의 세부 사항이 포함된다.

이러한 정보가 외국 적대세력이나 범죄 카르텔의 손에 들어간다면 미국인의 안보에 큰 피해를 줄 수 있다. 뉴욕 타임즈가 “해외 연관성이 있는 범죄 활동과 관련된 문서”가 최근 해킹의 표적이었음을 보도한 것은 상황을 더 악화시킨다.