해킹범죄에 대하여는 전자금융거래법, 형법 등 여러 법령에 분산되어 규정되고 있지만 그 핵심은 정보통신망법이다. 이하 정보통신망법에 규정되거 있는 해킹 범죄를 살펴보고자 한다.
제2조 제1항 제1호
1. "정보통신망"이란 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다.
일단 해킹범죄에 주요한 대상은 '정보통신망'이다. 정보통신망법에는 유사한 용어가 많이 나오는데, 정보시스템, 정보통신시스템 등이 그러한 예이다. 일부 판결은 정보통신시스템이나 정보시스템이 정보통신망을 포함하는 듯하게 이해하는 경우도 있으나, 완전히 잘못된 것이다. IT 분야에서 판결에 오류가 있는 경우가 꽤 많은데 대표적으로 잘못된 것이 이러한 이해이다. 정보통신망은 정보통신시스템이나 정보시스템을 포함하는 의미로 봐야 한다.
제2조 제1항 제7호
7. "침해사고"란 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위를 하여 발생한 사태를 말한다.
침해사고란 해킹 등을 원인으로 하여 나타난 결론을 의미한다. 해킹 등의 유형으로는 무권한접근(= 협의의 해킹), 컴퓨터바이러스 논리폭탄 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법이 있다.
제48조(정보통신망 침해행위 등의 금지) ① 누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하여서는 아니 된다.
② 누구든지 정당한 사유 없이 정보통신시스템, 데이터 또는 프로그램 등을 훼손ㆍ멸실ㆍ변경ㆍ위조하거나 그 운용을 방해할 수 있는 프로그램(이하 "악성프로그램"이라 한다)을 전달 또는 유포하여서는 아니 된다.
③ 누구든지 정보통신망의 안정적 운영을 방해할 목적으로 대량의 신호 또는 데이터를 보내거나 부정한 명령을 처리하도록 하는 등의 방법으로 정보통신망에 장애가 발생하게 하여서는 아니 된다.
가장 대표적인 해킹 조문은 제48조이다. 제1항은 무권한접근(= 협의의 해킹), 제2항은 악성프로그램, 제3항은 서비스거부 등으로 나누어서 규정하고 있다. 대표적인 해킹 유형이 조문별로 나누어서 규정되어 있다고 보면 된다.
제1항 무권한접근은 접근권한 없이 또는 허용된 접근권한을 넘는 침입을 의미한다. 접근권한이 있는지 아니면 허용된 접근권한을 넘었는지를 어떻게 판단하는지가 핵심인데, 주관적 의사와 객관적 코드 등을 종합적으로 판단하면 된다. 예컨대 특정 방법에 대하여 약관에서 금지하고 있었는데 그 약관에서 금지하고 있는 방법으로 시스템에 접근했다면 이 역시 무권한접근에 해당한다.
제2항 악성프로그램은 바이러스 등을 의미하는데, 이에 한정하지 않고 훨씬 더 범위가 넓다. 여기서 핵심은 '운용 방해'인데, 운용방해의 범위를 어떻게 이해하느냐에 따라 이 조문의 적용범위가 넓어지기도 하고 좁아지기도 한다. 운용방해는 모호한 개념으로서 자의적인 해석이 가능하다는 단점이 있지만, 주의할 점은 업무방해의 '방해'와는 다른 관점에서 접근하는 것이 옳은 결론에 도달할 확률이 높다. 더불어 '전달 또는 유포'의 개념에 대하여 투입으로 이해하지 않고 배포로 이해하는 게 다수의 판례이다. 잘못된 해석이라 생각한다.
제3항 서비스거부 등은, 디도스 등의 방법으로 장애가 발생한 경우에 처벌하는 범죄이다. EMP 공격도 여기에 해당한다. 제3항의 경우는 장애가 발생해야 한다는 점에서 제1항과 제2항과는 구별된다. 다만 제3항은 목적범이기 때문에 목적이 있는 상태에서 장애가 발생해야 한다는 점에서 유의해야 한다.
제49조(비밀 등의 보호) 누구든지 정보통신망에 의하여 처리ㆍ보관 또는 전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해ㆍ도용 또는 누설하여서는 아니 된다.
제49조는 타인의 데이터나 타인의 비밀을 침해하는 경우에 적용된다. 일응 제48조 제2항과 혼동하는 경우가 많고 구별이 쉽지 않은 것이 사실이다. 개인적으로는 양자를 구별해야 할 것으로 보인다.
* 법무법인 민후 김경환 대표변호사 작성, 블로그(2020. 4. 1.) 기고.
