서울중앙지방법원-2012고단6164

공소사실의 요지 가. 피고인 A 피고인 A은 B 주식회사의 대표이사이자 인터넷 사이트인 'B(E)'를 운용하면서 정보를 제공하거나 정보의 제공을 매개하는 정보통신서비스 제공자이다. 피고인 A은 2009. 10.경부터 2011. 12.경까지 사이에 B 인터넷 사이트(E) 및 개인정보를 저장, 보관는 DB 서버(IP F)로의 불법적인 접근 및 침해사고를 방지하는 침입차단시스템(Firewall) 및 침입탐지시스템(IDS : Intrusion detection system) 또는 침입방지시스템(IPS : Intrusion Prevention System)을 설치하지 않고, 대출보증인의 성명, 주민등록번호, 휴대전화번호, 주소 등 개인정보 115,715건(중복 제거 87,717건)이 저장된 'HOSYO' 테이블 등 24개 테이블 42,667,238건(중복 제거 1,791,240건)을 암호화하지 않은 채 위 DB서버에 그대로 보관하였다. 성명불상자는 2010. 4. 6.경 위 사이트 웹서버에 웹쉘(웹서버의 업로드 취약점을 이용하여 시스템에 명령을 내릴 수 있는 코드) 형태의 백도어 프로그램(사용자 인증 등 정상 절차를 거치지 않고 시스템에 접근할 수 있는 프로그램)인 'main_tr02.asp', 'menu16.asp'를 수정하여 저장하였다. G, H은 2011. 9. 26. 22:15경부터 2011. 9. 27. 17:06경까지, 성명불상자는 2011. 1. 15.경부터 2011. 11. 25.경까지 수 십회에 걸쳐 위 백도어 프로그램 'menu16.asp'를 통해 DB서버에 불법 침입한 뒤 DB서버에 저장된 테이블 중 'menu16.asp'(이용된 계정 ID=I, PW=J)로 접근가능하면서 고객명, 주민등록번호, 휴대전화번호 등 개인정보가 저장된 테이블 'HOSYO', 'KOTOWARI', 'KOZJH', 'RE_LOAN_SW', 'SW_LOAN' 등 5개 테이블 2,032,524건을 조회, 저장하는 등 개인정보를 유출하였다. 이로써 피고인 A은 침입차단시스템 등 접근 통제장치의 설치·운영하지 않고 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치 등 기술적·관리적 조치를 하지 않아 이용자의 개인정보를 누출하였다. 나. 피고인 B 주식회사 피고인 B 주식회사는 위 가항과 같은 일시 및 장소에서 피고인의 대표자인 A이 피고인 업무에 관하여 위와 같은 위반 행위를 하였다. 2. 판단 가. 피고인 A 부분 검사는 위 제1의 가항 기재 공소사실에 대해 정보통신망 이용촉진 등에 관한 법률 제73조 제1호, 제28조 제1항 제2호, 제4호를 의율하여 기소하였다. 피고인 A에게 위 조항에 기한 죄책을 묻기 위해서는 무엇보다도 '이용자의 개인정보가 누출되었다'는 사실이 전제되어야 한다. 이때 '개인정보의 누출'이라 함은 '개인정보가 피고인의 지배영역을 떠나 외부로 새어 나갔다거나 또는 개인정보가 불특정다수에게 공개되어 이를 전문적 기술 없이도 열람할 수 있는 상태에 이른 상태' 등을 의미한다. 검사는 공소사실에 누출의 행위태양으로서 '조회, 저장'을 기재하였다. 그러나 제3자가 단순히 개인정보를 '조회'한 것만으로는 위 조항 소정의 누출이 있었다고 보기 어렵고 피고인의 지배영역 밖에 '저장'된 사실까지 인정되어야 비로소 누출이 있었다고 볼 수 있다. 따라서 이 사건 핵심쟁점 중의 하나는 '2011. 9. 26. 22:15경부터 2011. 9. 27. 17:06경까지 사이에 G, H에 의하여, 또한 2011. 1. 15.경부터 2011. 11. 25.경까지 사이에 성명불상자에 의하여, B 인터넷 사이트 웹서버(이하 이 사건 웹서버라고 한다)에 저장되어 있던 개인정보가 피고인의 지배영역 밖에 저장된 사실'이 있는지 여부이다. 이에 대한 입증책임은 검사에게 있다. 수사기록에 의하면 이용자의 개인정보가 저장된 이 사건 웹서버에 백도어 프로그램 'main_tr02.asp', 'menu16.asp'이 저장되었거나 수정되어 저장되기까지 한 사실, G은 위 'menu16.asp'를 이용하여 이 사건 웹서버에 접속할 수 있는 백도어 경로정보가 입력된 'K.txt'를 받아 H에게 전달한 사실, H은 2011. 9. 26. 22:15경부터 2011. 9. 27. 17:06경까지 'K.txt'상의 정보를 이용하여 'menu16.asp'를 통해 이 사건 웹서버의 DB서버에 접속한 사실, IP L 사용자가 2011. 1. 15.부터 2011. 11. 25.까지 웹서버에 설치된 백도어 프로그램에 접근하여 에러로그 기록을 남긴 사실, G은 자신 컴퓨터 외장형하드디스크에 K 고객의 개인정보가 담긴 DB를 저장하고 있었고, DB 판매상들도 K 고객의 개인정보가 담긴 DB를 보유하고 있었던 사실, 피고인은 이 사건 웹서버 DMZ(인터넷 구간과 내부망의 중간지점) 구간의 방화벽 로그를 저장하는 서비스에 가입하지 않아 외부 인터넷망에서 DMZ 구간에 있는 DB 서버에 접속한 로그화일이 저장되어 있지 아니한 사실, 이 사건 웹서버 DB서버에 있는 테이블을 확인한 후 'Export' 버튼을 사용하면 개인정보를 비교적 손쉽게 저장할 수 있는 사실은 각 인정된다. 그러나 수사기록에 나타나는 다음과 같은 사정, 즉 G은 이 사건 웹서버의 DB서버에 접속한 사실 자체가 없는 것으로 보이고, H은 DB서버에 접속하여 일부 개인정보를 열람하였던 것으로 보일 뿐(H과 G 사이의 네이트온 메신져 대화내용, 경찰에서의 진술에 의하면 H이 일부 개인정보를 열람하였던 것으로 보인다) 나아가 개인정보를 자신의 컴퓨터 등에 저장하였다고 보기는 어려운 점(H의 경찰에서의 일부 진술은 검찰과 이 법정에서의 진술내용, G과의 네이트온 메신져 대화내용 등에 비추어 믿기 어렵고, 설령 그렇지 않다고 하더라도 그 일부 진술만으로 H이 개인정보를 자신의 컴퓨터 등에 저장하였다고 단정지을 수 없다 ; H이 'Export' 버튼을 눌렀다고 하더라도 이후 나타나는 대화창의 '저장' 버튼을 눌러야 저장이 되는 것으로 보이는데 H이 이와 같은 절차를 진행하였다고 볼 증거가 없다), 2011. 1. 15.부터 2011. 11. 25.까지 사이에 남겨진 에러로그 기록은 누군가가 웹서버에 접속하였다는 증거가 될 뿐 DB서버에 접속한 사실이나 나아가 개인정보를 저장하였다는 사실에 대한 증거로는 부족한 점, ⑩ G이 보유하고 있던 개인정보는 개인정보 최종입력 일자가 2006. 6. 26.인 것에 비추어 공소사실 기재 범행에 의하여 획득한 것이라고 보기 어려운 점, ⑪ 전문 DB 판매상이 보유하였던 개인정보 중 일부는 폴더명 속에 '2004년이전것임'이 포함된 것에 비추어 공소사실 기재 범행에 의하여 획득한 것이라고 보기 어려운 면이 있고, 개인정보가 담긴 '신건 Microsoft Excel 공작소.xls', '1Microsoft Excel 공작소12.xls', '산너머.xls'의 경우 화일생성일이 2011. 11. 25.과 2011. 12. 1.인 것으로 보이지만 이들 개인정보가 공소사실 기재 DB테이블에서 유래된 것이라거나 공소사실 기재 범행에 의하여 획득한 것이라고 볼 증거가 없는 점, ⑫ DMZ 구간에 있는 DB 서버에 접속한 로그화일이 저장되어 있지 아니한 사실이나 DB서버에 있는 테이블 확인 후 'Export' 버튼을 사용하여 개인정보를 손쉽게 저장할 수 있는 사실 자체로는 개인정보 저장에 대한 직접적인 증거가 될 수 없는 점 등을 종합하면, 앞서 내지 에서 인정한 사실이나 그 밖에 수사기록에 의하여 인정되는 사실로 '2011. 9. 26. 22:15경부터 2011. 9. 27. 17:06경까지 사이에 G, H에 의하여, 또한 2011. 1. 15.경부터 2011. 11. 25.경까지 사이에 성명불상자에 의하여, 이 사건 웹서버에 저장되어 있던 개인정보가 피고인의 지배영역 밖에 저장된 사실'이 충분하게 입증되었다고 보기 어렵다. 결국 피고인 A이 이용자의 개인정보를 누출하였다는 사실이 충분하게 입증되었다고 보기 어렵다. 나. 피고인 B 주식회사 부분 피고인 B 주식회사에 대한 공소사실은 피고인 A의 위반행위를 전제한 것이다. 피고인 A의 위반행위가 충분하게 입증되지 못한 이상 피고인 B 주식회사에 대한 공소사실 역시 충분하게 입증되었다고 할 수 없다. 3. 결론 그렇다면 피고인들에 대한 이 사건 공소사실은 그에 대한 입증이 부족한 경우에 해당하므로, 형사소송법 제325조 후단에 의하여 각 무죄를 선고한다.