Extreme Networks의 수출통제 및 OFAC 제재 위반과 자진신고: Near Miss 제도 최초 적용 사례

I. 배경

2026년 10월 27일 미국 법무부(Department of Justice, 이하 “DOJ”)와 재무부 해외자산통제국(Office of Foreign Assets Control, 이하 “OFAC”)은 미국 네트워크 장비업체 Extreme Networks, Inc.(이하 “Extreme”)의 대러시아 제재 위반 사건에 대한 합의를 각각 발표하였습니다. DOJ는 벌금·몰수금 총 975,721.84달러(약 13억 474만 원)1의 지급을 조건으로 불기소합의(Non-Prosecution Agreement, 이하 “NPA”)를,2 OFAC은 1,529,685달러(약 20억 4,549만 원)의 민사합의를 체결하였습니다.3

본 사건은 DOJ가 올해 초 발표한 기업집행 및 자진신고 정책(2026 Corporate Enforcement and Voluntary Self-Disclosure Policy, 이하 “CEP”)상 ‘Near Miss’ 제도를 최초로 적용한 사례입니다. ‘Near Miss’는 자진신고 요건을 완전히 충족하지 못하더라도 충분한 조사 협조와 시정조치가 이루어진 경우, 불기소합의(Non-Prosecution Agreement, 이하 “NPA”) 체결 및 벌금 감경 등 자진신고에 준하는 혜택을 부여하는 제도입니다. 본 사건은 자진신고가 다소 지연되더라도 이후의 조사 협조 및 시정조치에 따라 제재 결과가 달라질 수 있으며, 동일한 자진신고에 대해서도 DOJ와 OFAC의 평가가 달라질 수 있음을 보여줍니다.

본 뉴스레터에서는 DOJ와 OFAC의 주요 판단과 집행 결과를 살펴보고, 해외 자회사 또는 유통업체를 통해 국제거래를 하는 우리 기업의 시사점을 정리합니다.

II. 주요 내용 

1. 위반 경위 및 제재 위험신호에 대한 실사 미흡

(1) 거래 및 제재 배경

Extreme의 러시아 자회사 Extreme Networks Rus LLC(이하 “Extreme Russia”)는 2018년 3월 다른 미국 업체의 러시아 고객계약 등을 인수하였으며, 여기에는 러시아 방공 미사일 생산업체 Moscow Machinery Building Plant Avangard(이하 “MMZA”)가 최종사용자로 명시된 계약도 포함되어 있었습니다. Extreme 미국 본사는 해당 인수를 검토 및 승인하였으나, OFAC의 이른바 “50% Rule”(제재대상자가 지분을 50% 이상 보유한 법인도 제재대상으로 간주하는 원칙)에 따른 최종 실소유자 확인 등 제재 관련 실사는 충분히 이루어지지 않았습니다.

MMZA는 2002년부터 러시아 국영 방산기업 JSC Concern VKO Almaz-Antey(이하 “Almaz-Antey”)가 과반 지분을 보유한 자회사였습니다. Almaz-Antey는 2014년 7월 미국 특별지정제재대상자 명단(Specially Designated Nationals and Blocked Persons List, 이하 “SDN List”)에 등재되었으므로, MMZA 역시 2022년 6월 28일 SDN List에 직접 등재되기 전부터 50% Rule에 따라 제재대상에 해당하였습니다.

Extreme Russia는 2018년 9월부터 2021년 5월까지 MMZA로부터 하드웨어 및 소프트웨어에 관한 구매주문서 9건을 수령하고, 해당 제품을 미국에서 수출하였습니다.4

그 과정에서 Extreme Russia의 일부 직원들은 미국 본사의 수출통제 심사를 회피하기 위하여 실제 최종사용자가 MMZA라는 사실을 숨기고, 다른 러시아 기업인 Dmitrovskiy Experimental Mechanical Plant(이하 “DEMZ”)를 최종사용자로 허위 기재하였습니다. 또한 Extreme Russia는 MMZA와 직접 소통하고 회의를 진행하면서도 내부 데이터베이스에는 DEMZ를 최종사용자로 기재하는 등 MMZA의 존재를 은폐하였습니다.

한편 Extreme 미국 본사의 심사 과정에서도 다음 위험신호(red flag)가 확인되었으나 거래가 승인되었습니다.

• (거래서류상 최종목적지 불일치) 구매 주문서 9건에는 모두 최종사용자가 DEMZ로 기재되어 있었으나, 이 중 7건에는 MMZA의 이메일 주소 또는 모스크바 사무소 주소가 최종 목적지로 기재되어 있었습니다.
• (유통업체 답변의 번복) Extreme이 DEMZ와 MMZA의 관계를 문의하자, 유통업체는 처음에는 MMZA의 도메인이 DEMZ의 것이라고 답하였다가 이후 실수라고 번복하며 DEMZ 웹사이트를 제시하였습니다. 그럼에도 Extreme은 MMZA와의 관련성에 대한 추가 확인을 최종사용 확인서 제출로 갈음하자는 유통업체의 제안을 받아들였습니다.
• (포털 등록 정보의 불일치) MMZA 직원들은 Extreme Russia의 지시로 고객지원 포털에 회사명을 DEMZ로 기재하면서도 MMZA 이메일 주소를 사용하였습니다. 그럼에도 Extreme은 해당 등록을 승인하였고, MMZA 이메일 주소로 보낸 실사 질의에 답변을 받지 못한 경우에도 등록을 승인하였습니다.

(2) 위반행위 및 당국의 판단 

DOJ는 2018년 3월부터 2022년 3월까지 이어진 일련의 행위에 대해 Extreme이 MMZA에 장비·소프트웨어·서비스를 공급한 행위를 제재법령 위반으로, Extreme Russia 일부 직원이 최종사용자를 고의로 은폐하여 허위 전자수출정보(Electronic Export Information)가 제출되도록 한 행위를 수출통제 위반으로 보았습니다. Extreme은 불기소합의 과정에서 미국의 수출통제∙제재 규정 위반 및 미국정부 기망을 위한 공모(conspiracy), 국제비상경제권한법(International Emergency Economic Powers Act) 및 수출통제개혁법(Export Control Reform Act of 2018)의 고의적 위반, 허위 수출정보 신고, 밀수출 등을 인정하였습니다.5

반면 OFAC은 앞서 언급된 9건의 거래를 우크라이나·러시아 관련 제재규정(31 C.F.R. § 589.201) 위반 혐의가 있는 거래로 판단하였습니다. 특히 MMZA의 제재대상 여부에 대한 실사가 미흡하였고, MMZA가 실제 최종사용자임을 알 수 있는 여러 위험신호를 간과하였으며, 해당 거래가 러시아 방산업체에 경제적 이익을 제공하여 미국의 대외정책 목표를 실질적으로 저해하였다는 점 등을 고려하여 중대한 위반 사례(egregious case)로 분류하였습니다.

2. 위반 인지 후 대응: DOJ 및 OFAC 자진신고 결과

(1) 자진신고 경위 

Extreme은 2022년 3월 러시아 사업을 중단한 후 같은 해 4월 위 내용 관련하여 내부고발을 접수하여 외부 자문을 받아 내부조사를 진행하였고, 수 개월 후 추가 의혹이 제기되자 내부조사를 확대하였습니다. 조사가 진행 중이던 2022년 10월, 한 기자가 Extreme Russia와 MMZA의 거래 및 현지 직원들의 고의적 위법행위 가능성에 대해 논평을 요청하자, Extreme은 해당 기사가 보도되기 전 DOJ 국가안보국(National Security Division)에 자진신고하고 OFAC과 상무부에도 자진신고를 제출하였습니다.

(2) DOJ – 통합 CEP상 첫 ‘Near Miss’ NPA 체결 

2026년 3월 10일 발표된 DOJ의 CEP에 따르면,6 기업이 적시에 자진신고하고, 조사에 완전히 협조하며, 적절한 시정조치를 취하고, 가중사유가 없는 경우 원칙적으로 불기소 혜택을 받을 수 있습니다(CEP Part I).  나아가 CEP는 자진신고 요건을 완전히 충족하지 못하거나 일정한 가중사유가 있더라도, 조사에 완전히 협조하고 적시에 적절한 시정조치를 취하였으며 중대하거나 복수의 가중사유가 없는 경우, 불기소합의(NPA) 체결, 외부 독립 준법감시인 선임 의무 면제 및 양형기준상 벌금 하한액의 50~75% 감경 등의 혜택을 부여하는 ‘Near Miss’ 제도를 두고 있습니다(CEP Part II). 

본 사건은 이러한 Near Miss 제도가 적용된 첫 사례로, DOJ는 Extreme이 내부고발 약 6개월 후 언론보도 임박 시점에 신고하여 CEP상 적시성·자발성 요건을 충족하지 못하였다고 보면서도, ① 초기의 불완전한 의혹까지 선의로 조사하고 신고하려 한 노력을 상당히 중시하였습니다. 또한 ② 약 40만 건의 문서 제출·내부조사 결과 공유·임직원 면담 지원·공소시효 정지 동의 등 전면적 협조에 대해 협조한 것에 대한 가산점을 부여하고, ③ 러시아 자회사 폐쇄, 유통계약 종료 및 컴플라이언스 강화 등 적시의 시정조치를 인정하였습니다. 아울러 ④ 위반이 러시아 자회사 소수 직원에 의해 이루어졌고 관련 매출이 50만 달러 미만이었다는 점도 고려하였습니다. 그 결과 DOJ는 Extreme이 CEP 요건을 ‘상당 부분 충족(substantial compliance)’하였다고 보아, 기소 대신 NPA 체결, 외부 독립 준법감시인 선임 의무 면제 및 벌금 감경이라는 Near Miss의 혜택을 부여하였습니다.7

이에 따라 DOJ는 형사벌금 487,860.92달러(약 6억 5,237만 원)와 같은 금액의 몰수금을 합한 총 975,721.84달러(약 13억 474만 원)를 조건으로 Extreme과 NPA를 체결하고, 3년 동안 컴플라이언스 프로그램 유지와 매년 이행 보고를 요구하였습니다. 이 프로그램에는 유통업체 등 제3자에 대한 위험 기반 실사와 감독, 계약상 제재 준수 진술·약정 및 위반시 해지권, 인수합병 시 제재 실사 등이 포함됩니다. 또한 Extreme은 합의 기간 동안 DOJ 조사에 계속 협조하고 새로운 수출통제·제재 위반 정황을 즉시 보고해야 합니다. 이 의무를 위반하면 본 사건으로 기소될 수 있습니다.

(3) OFAC - 자진신고 인정 및 민사합의 

OFAC은 9건의 위반 혐의(apparent violations)에 대해 자진신고를 인정하면서도 중대한 위반 사례로 평가하였습니다. OFAC 경제제재 집행지침(Economic Sanctions Enforcement Guidelines)은 자진신고 여부와 중대성에 따라 기본 제재금 산정 기준을 달리 정합니다(31 C.F.R. Part 501, Appendix A). 이에 따라 OFAC은 법정 최고액의 절반인 1,699,650달러(약 22억 7,277만 원)를 기본 제재금으로 산정한 뒤, 위반 혐의 직전 5년간 OFAC 집행 이력이 없고 시정조치를 실시한 점 등을 고려하여 1,529,685달러에 합의하였습니다.8 Extreme은 최소 5년간 제재 컴플라이언스 프로그램을 유지하고 매년 이행을 인증해야 합니다. 다만 OFAC 합의는 위반의 인정이나 최종 확정을 의미하지 않습니다(OFAC Settlement, § IV.3). 

DOJ는 Extreme의 자진신고가 적시성 요건을 충족하지 못하였다고 판단한 반면, OFAC은 자진신고를 인정하여 기본 제재금을 법정 최고액의 절반으로 산정하였습니다. 이는 동일한 사실관계라 하더라도 집행기관에 따라 자진신고에 대한 판단이 달라질 수 있음을 보여줍니다.

III. 시사점

1. 제재 스크리닝은 단순 명단 대조를 넘어 지분관계 확인까지 포함해야 합니다.

이번 사건은 해외 자회사나 유통업체가 제공하는 거래정보만으로는 실제 제재 위험을 파악하기 어려울 수 있음을 보여줍니다. 특히 MMZA는 SDN List에 직접 등재되기 전부터 OFAC의 50% Rule에 따라 제재대상에 해당하였으며, 실제 최종사용자가 다른 러시아 기업 명의로 처리되면서 미국 본사의 심사를 피했습니다. 결국 거래 상대방과 최종사용자의 이름이 제재 명단에 없다는 사실만으로는 충분하지 않습니다. 지분구조를 확인하여 제재대상자가 지배하는 법인인지까지 검토해야 합니다.

2. 위험신호가 있으면 단순 최종사용 확인서로는 부족합니다. 

이 사건에서는 여러 위험신호가 나타났습니다. OFAC은 앞뒤가 맞지 않는 해명과 의심스러운 최종사용자 진술 자체가 특히 주의해야 할 위험신호라고 강조하였습니다. 위험신호가 있으면 실사를 한층 더 강화해야 한다는 입장도 밝혔습니다. 결국 최종사용 확인서는 위험신호가 없을 때 쓰는 보조 수단입니다. 위험신호가 드러난 상황에서는 독립적인 사실 확인을 거친 뒤 거래 여부를 판단해야 합니다. 

3. 본사의 통제 절차는 실제로 작동할 때만 의미가 있습니다.

Extreme은 러시아 관련 거래를 모두 자동으로 보류하고 미국 본사의 컴플라이언스 조직이 심사하는 절차를 갖추고 있었습니다. 그러나, 해외 자회사 및 유통업체에 의해 수출통제 및 제재 이슈가 발생하게 되었는데도, NPA에서는 그 행위의 책임이 미국 본사에 귀속되었습니다. OFAC도 해외 계열사에 대한 감독이 효과적이지 않으면 모회사에 위험이 전가될 수 있다고 하였습니다. 컴플라이언스 절차가 있더라도 이를 준수하지 않거나 잠재적 위험을 제대로 조사하지 않으면 충분하지 않다는 점도 분명히 하였습니다.

우리 기업도 미국 제재가 적용될 수 있는 거래에서 직접 거래상대방뿐 아니라 실제 최종사용자를 확인하고, 거래서류상 당사자와 실제 최종사용자가 다르거나 관련 정보가 불일치하는 경우에는 현지 자회사·유통업체의 설명에만 의존하기 보다는 관련 정보를 추가 확인할 필요가 있는지 검토해야 합니다. 또한 해외 기업이나 사업을 인수할 때에도 기존 계약의 최종사용자 및 제재 위험을 확인하는 것이 중요합니다.

4. 자진신고가 지연되더라도 후속 대응에 따라 집행 결과가 달라질 수 있습니다.

이번 사건에서 DOJ는 Extreme의 자진신고가 적시성 요건을 충족하지 못했음에도, 초기 의혹에 대한 성실한 조사, 조사 결과의 제공, 적극적인 협조 및 시정조치 등을 고려하여 Near Miss에 따른 NPA 체결과 벌금 감경 등의 혜택을 부여하였습니다. 이는 기업이 해외 자회사나 유통업체의 위반 가능성을 뒤늦게 발견한 경우에도 자진신고의 실익이 반드시 사라지는 것은 아니라는 점을 보여줍니다. 따라서 위반 의혹이 발견되면 신고 여부만을 고려하기보다는 신속한 사실관계 확인과 증거 보존, 위반행위 중단 및 시정조치를 병행하면서 자진신고 기한을 검토할 필요가 있습니다. 다만 Near Miss에 따른 혜택은 자동으로 부여되는 것이 아니며, NPA 체결 이후에도 협조·보고 의무 등이 수반될 수 있습니다. 

5. 하나의 사안이라도 집행기관별 판단 기준과 합의 이후의 의무를 따로 관리해야 합니다. 

같은 신고를 두고 DOJ는 Extreme의 신고가 적시성 요건을 충족하지 못했다고 판단한 반면, OFAC은 자진신고를 인정하여 기본 제재금을 법정 최고액의 절반으로 산정하였습니다. 이는 동일한 사실관계와 신고 경위에 대해서도 집행기관별로 자진신고 인정 여부와 그 효과가 달라질 수 있음을 보여줍니다. 특히 우리 기업이 해외 자회사나 유통업체를 통해 미국산 제품을 거래하는 경우를 포함하여, 하나의 거래가 미국의 수출통제 및 제재 규정 위반이 동시에 문제될 수 있는 경우 위반 의혹을 발견한 초기 단계부터 DOJ, OFAC 및 BIS의 자진신고 요건과 신고 시점을 각각 검토할 필요가 있습니다. 한 기관의 자진신고 요건을 충족하지 못했다는 이유만으로 다른 기관에 대한 신고의 실익까지 없다고 판단해서는 안 됩니다.

*    *    *

법무법인 태평양 수출입규제대응센터는 전략물자 및 해외수출통제(ITAR, EAR 등), 방산물자 및 국방과학기술(방위산업기술 포함) 수출통제, 국가핵심기술(NCT) 및 국가첨단전략기술(NHT), 국가안보심의 및 투자심사, 국내외 수출입규제 대응 컴플라이언스 시스템 구축 및 지원, 관세청 등 수사 및 조사 대응, 외환거래 및 대외투자 관리, 국제분쟁 및 조사대응 등 광범위한 영역을 아우르고 있습니다. 각 분야에서 풍부한 경험과 전문성을 갖춘 다수의 전문가들이 협업하여, 개별 고객의 상황과 필요에 최적화된 맞춤형 자문 서비스를 제공하고자 합니다.
 

저자: 김지이나 변호사, 황호성 전문위원, 김보찬 외국변호사(미국 New York주)

1. 본 뉴스레터의 사실관계는 OFAC 민사합의서(Settlement Agreement)를 기준으로 작성하였으며, DOJ의 판단 및 집행 결과에 관한 부분은 NPA를 참고하였습니다. 두 문서는 일부 사실관계를 상이하게 기재하고 있습니다.

2. DOJ 보도자료 (2026. 10. 27.). “National Security Division Announces First “Near Miss” Non-Prosecution Agreement Under the Department-wide Corporate Enforcement Policy.”; 불기소합의서(NPA) https://www.justice.gov/opa/media/1468856/dl?inline

3. OFAC 보도자료 (2026. 10. 27.). “Settlement Agreement between the U.S. Department of the Treasury's Office of Foreign Assets Control and Extreme Networks, Inc.”. ; OFAC Enforcement Release; OFAC 민사합의서 https://ofac.treasury.gov/media/937286/download?inline 

4. Extreme은 2018년 9월경부터 2021년 5월까지 MMZA 관련 구매주문서 총 11건(매출 미발생 소프트웨어·클라우드 구독 관련 주문 2건 포함)을 처리하고, 별도로 수리·유지보수 거래 8건을 수행하였으며, 해당 기간 동안 약 487,860.92달러(약 6억 5,237만 원)의 매출이 발생하였습니다.

5. 18 U.S.C. §§ 371, 554; 50 U.S.C. §§ 1705, 4819; 13 U.S.C. § 305 참고. 

6. DOJ CEP https://www.justice.gov/dag/media/1430731/dl?inline (Part II 참고) 

7. DOJ NPA, para 2(a)-(d).

8. 다만 DOJ에 납부하는 형사벌금과 중복되는 487,861달러(약 6억 5,237만 원)를 조정하여 실제 OFAC 납부액은 1,041,824달러(약 13억 9,313만 원)로 정하였습니다.