우크라이나 전쟁은 미군의 개인정보 데이터 취약성을 높여

포격과 기갑 공격이 진행되는 가운데 표적 피싱 및 악성 데이터 마이닝을 포함하여 러시아의 우크라이나 침공의 몇 가지 조용한 측면에 더 세심한 주의가 필요하다.

러시아 운영자 또는 최소한 그들의 지지자들은 맬웨어가 포함된 이메일로 우크라이나인, 특히 군인의 받은 메일함에 넘쳐났다. 이 전술은 구금 및 해를 입히기 위해 우크라이나인 목록을 작성하는 노력을 강화하기 위해 허위 정보를 배포하고 개인 데이터를 축적하는 데 사용될 수 있다. 이와 유사하게, 수천 건의 문자 메시지가 지역 경찰과 군인들에게 발송된 것으로 알려졌다. 이러한 위험은 우크라이나에만 있는 것이 아니며, 미국 지도자들은 지금 미국을 강화하고 유사한 전술로부터 군인들을 보호하기 위한 조치를 취해야 한다.

정보 전쟁에서 군인과 퇴역 군인이 고가치 표적으로 간주되는 것은 뉴 노멀이다. 러시아의 허위 정보 노력은 소셜 미디어에서 개별 퇴역 군인 및 퇴역 군인(예: 베트남 퇴역 군인)에 대한 가짜 계정을 만드는 것과 같은 전술을 사용하여 이미 미국인을 표적으로 삼았다. 그러나 위협은 소셜 미디어에만 국한되지 않는다. 표적 광고를 위해 수집된 데이터로 인해 군사 작전에 상당한 위험이 있었다. 이 데이터는 잘못된 정보와 잘못된 정보를 전달하는 데 사용될 수 있으며, 악의적인 사용자가 데이터를 구매하거나 액세스하여 무기화하는 경우 선전을 증폭시킬 수도 있다.

이름, 서비스 식별자 및 주소는 일부 법률에 따라 개인 식별 정보(PII)로 처리되어 잠재적으로 이 문제를 완화할 수 있다. 그러나 광고 식별자나 전화번호 자체에서 나온 정보인지 여부에 관계없이 휴대전화의 간단한 정보로 사람들을 쉽게 식별할 수 있다. 광고 식별자는 온라인 광고주에서 데이터 중개인에 이르기까지 수많은 기관에서 다른 추적 정보와 집계하여 사람의 거주지 및 정치적 선호도와 같은 일상 생활 패턴을 나타낼 수 있다. 이것이 운동화 판매에 관한 것이라면 위험이 적다. 그러나 이 데이터가 개인을 표적으로 삼고 괴롭히는 벡터가 되면 국가 안보 문제가 된다.

그 영향은 군대에 지시될 때 심각해진다. 그리고 이것은 가상이 아니다. 군 구성원은 이미 표적이 되어 디지털 개인 정보 보호 문제에 직면해 있다. 예를 들어, 한 군인은 COVID-19 발병 초기에 환자 0으로 잘못 식별되어 그녀에 대한 온라인 공격이 급증했다.

그리고 표적 광고를 판매하는 ID.me와 같은 회사가 군인 및 재향 군인 목록을 수집하면 위협이 확대된다. 군인들은 보통 군인 할인을 위해 신분증을 제시하지만, 이제는 일부 회사에서 실제 신분증을 제시하지 않고 ID.me를 통해 등록해야 한다. ID.me 데이터의 정확성과 안면 인식 문제에 대한 논란으로 인해 한 연방 기관은 이미 이를 사용하여 정부 서비스에 액세스해야 한다는 요구 사항을 철회했다.

생체 인식 데이터 및 공개적으로 사용 가능한 정보를 서비스 데이터와 연결하는 것은 서비스 구성원과 그 가족을 식별하고 표적으로 삼으려는 악의적인 행위자에게 기회의 대상이 된다. 군 구성원은 군이 해결하기를 주저하는 경우에도 이 위협에 깨어 있다. 국방부 정책 위반에도 불구하고 군 구성원은 업무 관련 문자 메시지를 위해 Signal과 같은 앱을 점점 더 많이 사용한다. 그러나 상업적으로 사용 가능한 앱을 사용한다는 것은 앱 개발자를 신뢰한다는 것을 의미하며, 우크라이나에서 러시아의 군사 활동을 추적하는 것이 보여주듯이 운영 보안에 자체 위험이 따른다. 직원이 승인된 방법을 사용해야 한다는 국방부의 응답은 대부분의 군인이 정부 발행 장치에 액세스할 수 없다는 사실을 놓치고 있다.

보안 및 개인 정보 보호를 강화하려면 세 단계를 거쳐야 한다.

의회는 특히 군인 데이터를 보호하는 연방 데이터 보안 및 개인 정보 보호 법안에 따라 행동하거나 독립 법안을 통과시켜야 한다. 데이터 개인 정보 보호 법안은 수년 동안 보류되었지만 우크라이나의 분쟁은 전면적인 적대 행위가 시작될 때 개인을 보호하는 것이 국가 안보 문제가 된다는 것을 보여준다. 법률은 최소한 민간 기업이 군인과 그 직계 가족에 대한 정보를 수집하고 판매하는 방법을 통제해야 한다. 이는 모든 미국인을 위한 일관된 데이터 개인 정보 보호 및 보안 조치의 기초가 될 수 있다.

군대는 또한 소셜 미디어의 위험과 회사가 군인 데이터를 수집하는 방법에 대해 군대를 더 잘 교육해야 한다. 예를 들어, TikTok은 이미 정부 기기에서 금지되어 있지만 수많은 군인들이 개인 기기에서 TikTok을 사용한다. 때로는 군복을 입고 나타나기도 한다. TikTok의 개인 정보 보호 정책에는 음성 및 기타 생체 정보를 유지할 수 있으며 광고 식별자와 위치 정보가 사용된다. 그리고 이것은 중국 회사의 것이지만 미국 기반 회사도 위험이 있다. 민감한 정보는 데이터에서 수집할 수 있기 때문이다. 이 문제를 해결하기 위해 군대는 국방부 네트워크에서 사용자 추적을 제한하고 군인 데이터를 수집 및 판매하는 회사와 협력하여 보안을 공동으로 개선해야 한다.

궁극적으로 국방부는 개인 정보를 국가 안보 우선 순위로 수용해야 한다. 국방부의 격차를 메우기 위해 순수한 민간 제품이 필요하지 않도록 신기술이 개발되어야 한다. 개인 소유의 기기에서 큰 번거로움 없이 사용할 수 있는 승인된 보안 메시징 앱과 같은 간단한 것이 도움이 될 것이다. 국방부는 필요한 시스템에 대한 액세스 없이 남겨진 서비스 구성원이 없도록 해야 하며, 이로 인해 보호되지 않을 수 있으며 덜 안전한 상업적 대안이 사용되는 것을 방지하기 위해 제품 사용성을 개선해야 한다. 군은 전반적으로 PII를 넘어 개인 정보 보호에 대해 더 폭넓은 관점을 취할 필요가 있다. 단조로운 훈련 요구 사항에도 불구하고 종종 그렇게 잘 보호되지 않는다.

미국은 우리 군인과 그 가족, 재향 군인 및 국가 안보를 전반적으로 더 잘 보호하기 위해 지금 행동해야 한다. 우크라이나의 비극적인 상황이 보여주듯이 정보전 공간에 존재하는 위협은 더욱 확대될 것이다.