2026년 기준, 미 연방 공무원 의무 앱에 러시아 설립 기업 Elfsight 코드가 포함되어 보안 및 데이터 유출 우려가 커지고 있습니다.
미 연방 필수 앱에 러시아 코드, 2026년 보안 비상
2026년, 미국 연방 공무원, 특히 연방항공청(FAA) 직원들을 포함한 수많은 연방 직원들이 의무적으로 설치해야 하는 백악관 앱이 심각한 보안 논란에 휩싸였습니다. 140만 달러 규모의 이 앱에는 러시아에서 설립된 소프트웨어 공급업체 엘프사이트(Elfsight)의 코드가 포함된 사실이 보안 연구원들에 의해 밝혀졌습니다. 이들은 정부 애플리케이션의 핵심 기능을 외부 코드가 제어하고 있음을 발견했으며, 이는 미국 국가 안보와 연방 공무원 데이터 보호에 대한 중대한 우려를 낳고 있습니다. 2022년 러시아-우크라이나 분쟁 이후 미국과 동맹국들이 러시아 기업과 개인에 대한 제재를 강화하는 상황에서, 러시아와 깊이 연관된 소프트웨어가 연방 시스템에 통합된 배경에 대한 의문이 커지고 있습니다.
엘프사이트의 이중적 정체성과 러시아 내 성장
엘프사이트는 2016년 러시아 툴라에서 안드레이 유수포프와 블라디미르 페도토프에 의해 공동 설립되었습니다. 현재 이 회사는 안도라에 본사를 둔 ‘유럽 소프트웨어 제공업체’로 자신을 홍보하고 있지만, 초기 설립된 러시아 법인은 여전히 활발하게 운영되며 인상적인 성장을 보이고 있습니다. 2025년 엘프사이트의 러시아 법인은 약 1억 2,650만 루블(약 160만 달러)의 매출을 기록하여 전년 대비 71%라는 높은 성장률을 달성했습니다. 심지어 2026년 현재까지도 러시아 개발자들을 적극적으로 채용하고 있으며, 최근 채용 공고에는 모스크바 기반의 지원 전문가를 모집하며 월 6만에서 10만 루블의 급여를 제시하기도 했습니다. 이러한 이중적인 기업 구조는 엘프사이트의 실제 운영 및 통제 주체에 대한 의문을 증폭시킵니다.
데이터 주권과 잠재적 침해 위험
러시아 법률은 사용자 데이터를 처리하는 기업들에게 해당 데이터를 러시아 내에 저장하고 필요시 국가 당국에 제출하도록 강제할 수 있습니다. 이는 미 연방 공무원의 민감한 정보가 러시아 당국의 손에 넘어갈 수 있는 잠재적인 위험을 내포합니다. 엘프사이트 고객 지원 담당자는 러시아 당국으로부터 데이터 요청을 받은 적이 없다고 주장하지만, 이러한 주장은 법적 의무와는 별개의 문제입니다. 보안 기업 아토믹 컴퓨터(Atomic Computer)의 심층 네트워크 분석 결과에 따르면, 엘프사이트의 서버가 백악관 앱 내에서 실행되는 자바스크립트 파일을 결정하고 제어하는 것이 확인되었습니다. 또한, 앱의 유튜브 섹션을 통해 로드되는 구글 더블클릭(DoubleClick) 광고 도메인과 함께 엘프사이트로부터 10개 이상의 쿠키가 수신된 사실도 밝혀져 데이터 프라이버시 침해 가능성을 시사합니다.
백악관 해명의 허점과 상충되는 현실
백악관 대변인 올리비아 웨일스는 해당 앱이 사용자 위치를 수집하지 않으며 모든 정보가 “안전하고 보안되어 있다”고 강조했습니다. 한 백악관 관계자는 엘프사이트의 역할이 샌드박스 웹뷰 내에서 세금 계산기를 로드하는 것에 국한되며, 쿠키나 파일과는 단절되어 있다고 덧붙였습니다. 또한 엘프사이트가 UFC, FIFA, NBA, 까르띠에 등 세계적인 브랜드에서 널리 사용되고 있으며, 전체 보안 검토를 통과했다고 주장했습니다. 그러나 이러한 공식적인 해명은 엘프사이트 설립자들이 제재 대상인 러시아 은행 계좌를 유지하고 계속해서 러시아를 방문했다는 기록과 심각하게 배치됩니다. 심지어 한 설립자는 러시아 세무 당국으로부터 별도 투자 플랫폼과 관련하여 조사를 받은 사실을 개인 메시지에서 언급하기도 했습니다. 이는 앱의 보안 승인이 얼마나 철저하게 이루어졌는지에 대한 의구심을 증폭시킵니다.
국가 안보를 위협하는 미궁 속의 승인
엘프사이트 설립자들의 이러한 법적 노출과 러시아와의 지속적인 연계는 러시아에 기반을 둔 공급업체가 연방 정부 장치의 필수 애플리케이션 내 코드를 사실상 통제하고 있음을 의미합니다. 러시아-우크라이나 분쟁으로 국제적 긴장이 고조되고 제재가 강화되는 2026년 시점에서, 이러한 명확한 러시아 연관성을 가진 앱이 백악관과 연방 정부 장치에서 사용 승인을 받은 이유는 여전히 미궁에 빠져 있습니다. 현재까지 엘프사이트와 백악관 모두 이러한 승인 결정에 대한 합리적인 해명이나 명확한 정당성을 제시하지 못하고 있습니다. 이는 미 연방 정부의 디지털 보안 정책과 데이터 무결성에 대한 국민적 신뢰를 저해하며, 국가 안보에 대한 심각한 우려를 지속적으로 제기하고 있습니다.
