와이파이(Wi-Fi, IEEE 802.11)로 인해 우리는 카페, 도서관, 비행기, 기차 등의 공공장소에서도 자유롭게 인터넷을 사용할 수 있는 편의를 누리고 있다. 하지만 공개된 장소에서의 인터넷 사용이니만큼 해킹이나 감청의 위험이 도사리고 있고, 실제로 그런 사례들이 많이 발생하고 있다.
특히, 네트워크 상에서 자신이 아닌 다른 상대방들의 패킷 교환을 엿듣는 스니핑(sniffing) 해킹 기법은 암호화하지 않은 평문을 전송하는 와이파이 통신에서 사용하기 용이한 해킹기법이다. 이러한 스니핑은 자신이 아닌 다른 사람들의 패킷을 무단으로 수집하는 것이므로 어찌됐든 범죄행위 또는 사생활 침해에 해당하는 것처럼 보이기도 한다.
이러한 와이파이 스니핑에 대해 위법하다는 판례와 그렇지 않고 합법이라는 상반되는 미국 판례가 있는데, 이를 소개하고 이를 근거로 우리나라 통신비밀보호법에 위반되는지 여부도 제시해 보기로 한다.
2007년 5월 25일경 미국의 일부 도시에 대하여 스트릿뷰(street view) 서비스를 제공하기 시작한 구글(Google)은 3년 사이에 전세계의 도시뿐만 아니라 농촌 지역에 대해서도 스트릿뷰 서비스를 제공하기 시작했다. 구글의 스트릿뷰 서비스는 특수차량에 의하여 제작되는데, 이 특수차량은 전체 거리를 찍을 수 있는 9대의 카메라와 무선신호·데이터 수집·저장용 소프트웨어가 장착된 3G/GSM/Wi-Fi 안테나를 구비하고 있다.
그런데 문제는 특수차량의 와이파이 데이터 수집에 있었다. 구글의 특수차량에서 수집하는 와이파이 데이터는 주변 주민의 SSID 정보(Service Set Identifier, Wi-Fi network name), MAC Address(ID number of the Wi-Fi network's hardware), 사용자이름, 암호, 개인 이메일, 개인 전자문서까지 포함하고 있었기 때문이다.
한편, 와이파이 데이터를 수집당한 주변 주민들은 구글이 미국의 통신비밀보호법(Wiretap Act)을 위반했다는 이유로 캘리포니아 북부지방법원에 문제제기를 했다. 이에 캘리포니아 북부지방법원은 “와이파이 네트워크는 누구나 네트워크에 들어와서 인터넷을 이용할 수 있도록 되어 있기는 하지만, 스니핑이라는 해킹 기술을 쓰지 않는 한 와이파이 이용자의 통신 내용에 접근하기 어렵게 설계되어 있다. 따라서 스니핑이라는 것은 청취자가 라디오 주파수에 다이얼을 맞추는 것과는 차원이 다른 것”이라고 하면서 구글의 위법성을 인정했다.
나아가 설사 와이파이 네트워크가 누구에게나 공개되어 있고, 암호화되어 있지 않더라도 위법하기는 마찬가지라고 적시했다.
이 소송 당시 구글이 자신의 적법성을 강조하기 위해 내놓은 유사 판례(United States v. Ahrndt, D. Or. Jan. 28, 2010)가 있는데 흥미로워서 소개해볼까 한다.
2007년경 네트워크 장비의 오동작으로 이웃의 무선 네트워크에 접속하게 된 JH는 ‘파일공유’로 설정되어 있고 암호가 걸려 있지 않은 이웃의 아이튠즈(iTunes)에 접속했고, 특정 폴더에 아동 포르노물이 있음을 발견했다. 이에 JH는 아동 포르노물의 소지를 이유로 이웃을 수사기관에 신고했고, 결국 수사 끝에 이웃은 아동 포르노물 소지죄로 처벌될 위기에 봉착했다.
처벌될 위기에 처한 그 이웃은 법정에서 위법한 증거수집이라고 다투었으나, 법원은 “자발적으로 아이튠즈의 파일을 공유로 설정해 놓은 이상 제3자의 접속을 허용하는 것이기에 사생활 보호의 합리적 기대가 없다”고 판시하면서 이웃의 다툼을 배척했다.
또하느 최근에 구글 스트릿뷰 판결내용과 달리 와이파이 스니핑이 적법하다는 판결이 나와 관심을 끌었는데, Innovatio라는 IP 벤처회사는 와이파이를 사용하는 호텔, 커피숍, 식당, 슈퍼마켓 등이 와이파이 스니핑에 관한 자신의 특허권을 침해했다고 주장하자 와이파이 스니퍼를 제작하는 개발사들이 자신들의 스니퍼가 Innovatio의 특허권을 침해하지 않았다고 하면서 소송을 제기했다.
이 소송에서 일리노이 북부지방법원은 “많은 사람들이 와이파이 통신 중에 자신의 프라이버시가 지켜지기를 바라고 있기는 하지만, 현실적으로 와이파이 스니퍼는 조그만 대가만 지불하면 누구나 구입할 수 있다. 또한, 대중에게 공개되어 있어 암호화되지 않은 통신을 하고 있는 바 이러한 통신에 누구나 접근할 수 있는 가능성이 충분한 이상(readily accessible to the general public), 공개되어 있고 암호화되어 있는 않는 와이파이 데이터에 대한 스니핑이 미국 통신비밀보호법 위반이라고 볼 수 없다”고 판시함으로써 이전의 구글 스트릿뷰 사건의 입장과 다른, 와이파이 스니핑은 적법하다는 입장을 보였다.
현재 구글의 스트릿뷰 사건은 상급법원인 제9항소법원에 계류중이기에 최종적인 결론은 이 판결이 나오기까지 기다려봐야 하겠지만, 일리노이 북부지방법원의 판결은 가속화되어 가는 기술환경에 따라 스니핑에 대한 평가도 달라져야 한다는 의미를 담고 있어 이에 대한 찬반논쟁이 뜨거운 상황이다.
그렇다면 우리나라의 법 환경에서 와이파이 스니핑은 어떻게 평가될 수 있을까?
우리나라의 통신비밀보호법은 예외가 있는 미국의 통신비밀보호법보다는 엄격하게 규정되어 있기 때문에 와이파이 스니핑이 위법한 전기통신감청에 해당하고 만일 와이파이 스니핑을 한 사람이 있다면 통신비밀보호법으로 처벌될 가능성이 매우 클 것으로 보인다. 일부 미국 판례를 맹신하고 와이파이 스니핑이 허용된다는 잘못된 편견을 갖지 않도록 주의가 필요하다.
* 법무법인 민후 김경환 대표변호사 작성, 블로그(2012. 11. 22.), 보안뉴스(2012. 11. 22.) 기고.
