서울동부지방법원-2019고단1842

범 죄 사 실 피고인 주식회사 B(이하 ‘피고인 회사’라 한다)는 2015. 9. 21. 온라인 정보 제공업, 전자상거래업, 숙박업 등을 목적으로 설립되어 온라인 숙박예약 서비스인 ‘C’ 등을 운영하는 회사로서 정보통신서비스 제공자이고, 피고인 A은 2015. 9.경부터 현재까지 피고인 회사 부대표로 근무하며 개인정보보호 및 보안 분야 업무를 총괄한 사람이다. ‘C’ 서비스와 관련한 전산 시스템은, 회원정보, 예약정보, 제휴점정보 등을 보관하며‘C’ 내부 전산망에서만 접근할 수 있는 DB(Database) 서버, 일반 고객들이 숙박 예약 등을 위해 이용하는 고객 웹페이지(인터넷주소 1 생략) 서버, 제휴점 측에서 숙박예약정보 등을 확인하기 위해 이용하는 마케팅센터 웹페이지(인터넷주소 2 생략) 서버, ‘C’ 운영자 측에서 예약 관리, 회원관리, 제휴점 관리 등을 수행할 수 있는 서비스 관리자페이지(인터넷주소 3 생략) 서버 등으로 구성되고, 위 고객 웹페이지 서버, 마케팅센터 웹페이지 서버, 서비스 관리자 페이지 서버는 DB에 저장된 정보를 조회하거나 다운로드하는 등 처리할 수 있도록 위 DB 서버와 각각 연결되어 있다. 1. 피고인 A 정보통신서비스 제공자등이 개인정보를 처리할 때에는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 대통령령으로 정하는 기준에 따라 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영, 접속기록의 위조·변조 방지를 위한 조치, 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치, 백신 소프트웨어의 설치· 운영 등 컴퓨터바이러스에 의한 침해 방지조치 등 기술적·관리적 조치를 하여야 한다. 또한 이에 따라 정보통신서비스 제공자등은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하고, 개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지하는 기능을 포함한 침입차단시스템 및 침입탐지시스템을 설치·운영하여야 하고, 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터와 모바일 기기에 조치를 취하여야 한다. 피고인 A은 2016. 5.~6.경 ‘C’ 고객 웹페이지에 대해서는 한국인터넷진흥원과 ㈜D으로부터 취약점 점검을 받고, 발견된 SQL 인젝션 취약점 등에 대해 웹페이지 소스코드 수정을 통해 보완조치를 하였으나, 2016. 7. 18.경부터 ‘C’ 마케팅센터 웹페이지 운영을 시작하면서 이에 대한 취약점 점검을 받지 않았고, 그 결과 마케팅센터 웹페이지에 SQL 인젝션 취약점이 존재하였으나 이를 발견하지 못하여 아무런 조치도 취하지 않았다. 또한 피고인 A은 ‘C’ 전산망에 리눅스 운영체제에서 제공하는 침입차단시스템인 ‘IPTABLES', 오픈소스 침입탐지시스템인 ’SNORT'를 설치하였으나, 이용자들의 개인정보를 다운로드할 수 있는 서비스 관리자 페이지에 접속 가능한 외부 IP주소를 특정 VPN(Virtual Private Network, 가상사설망) IP주소 등으로 제한하여 인가받지 않은 접근을 제한하는 조치를 취하지 아니하였고, 침입탐지시스템 ‘SNORT'에 탐지된 SQL 인젝션 공격 등 침입내역에 대해 모니터링하고 분석할 수 있는 조직이나 인력을 배치하지 아니하였다. 한편, E 등으로부터 ‘C’의 숙박예약 정보 등 보유 정보를 해킹해 달라는 부탁을 받은 해커 F 등은 2017. 2. 27.경 해킹 프로그램인 ‘G’으로 ‘C’ 마케팅센터 웹페이지에 대해 SQL 인젝션 공격을 시도하여, 해당 웹페이지의 SQL 인젝션 취약점을 통해 DB 정보탈취가 가능함을 확인하였고, 2017. 3. 5.경 마케팅센터 웹페이지에 대한 SQL 인젝션 공격을 통해 ‘C’ DB의 구조를 파악하였으며, 2017. 3. 6.경 마케팅센터 웹페이지에 대한 SQL 인젝션 공격을 통해 ‘C’ DB 내 ‘session_cms3' 테이블에 저장된 서비스 관리자 페이지에 대한 접속정보(관리자 인증 세션 값, 관리자 인증 IP주소, 관리자 인증 일시 등)를 탈취(이하 ’이 사건 침해사고‘라 한다)하였다. 이후 F은 2017. 3. 7.경 ‘C’ 서비스 관리자 페이지에 최고관리자 권한으로 접속한 직원 H의 인증 세션 값을 도용하여 외부 IP주소(IPV4 1 생략)로 로그인이나 인증 절차 없이 서비스 관리자 페이지에 접속한 다음 숙박예약 정보에 대한 CSV다운로드 기능을 이용하여 27회에 걸쳐 I 등 예약자 910,708명의 개인정보인 숙박예약 정보[예약자명, 휴대전화번호, 숙박일수, 숙박업소(제휴점)명, 객실명, 결제방법, 결제금액, 입·퇴실시간등] 총 3,239,229건을 다운로드받아 해킹 의뢰자인 E의 이메일로 송부하였다. F은 이어 2017. 3. 9.경부터 2017. 3. 10.경까지 같은 방법으로 외부 IP주소(IPV4 2 생략)로 로그인이나 인증 절차 없이 서비스 관리자 페이지에 접속한 다음 회원정보 자동수집 스크립트를 이용하여 7,738회에 걸쳐 J 등 회원 78,710명의 개인정보인 회원정보[이름(또는 닉네임), 회원번호, 이메일주소, 가입일시 등]를 다운로드받아 해킹 의뢰자인 E의 이메일로 송부하였다. 이로써 피고인 A은 개인정보의 안전성을 확보하기 위한 위와 같은 기술적·관리적 조치를 하지 아니하여 이용자의 개인정보를 유출 당하였다. 2. 피고인 회사 피고인 회사는, 피고인 회사의 사용인인 A이 피고인 회사의 업무에 관하여 제1항과 같은 위반행위를 하였다. 증거의 요지 1. 피고인들의 일부 법정진술 1. 피고인, K에 대한 각 일부 검찰 피의자신문조서 1. L에 대한 검찰 진술조서 1. M에 대한 경찰 진술조서 1. 각 보도자료, 웹 취약점 원격점검서비스 결과보고서, 웹 취약점 진단 결과보고서 1. 각 수사보고(증거목록 순번 99, 105, 121, 133) 법령의 적용 1. 범죄사실에 대한 해당법조 및 형의 선택 가. 피고인 A : 구 정보통신망 이용촉진 및 정보보호 등에 관한 법률(2020. 2. 4. 법률 제16955호로 개정되기 전의 것, 이하 ‘구 정보통신망법’이라 한다) 제73조 제1호, 제28조 제1항 제2호, 벌금형 선택 나. 피고인 회사 : 구 정보통신망법 제75조, 제73조 제1호, 제28조 제1항 제2호 1. 노역장유치 피고인 A : 형법 제70조 제1항, 제69조 제2항 1. 가납명령 피고인들 : 형사소송법 제334조 제1항 피고인들 및 변호인들의 주장에 대한 판단 1. 피고인들의 주장의 요지 구 정보통신망법 제73조 제1호는 고의범에 한하여 처벌된다고 보아야 하는데, 피고인 A에게 기술적․관리적 조치의무 불이행에 대한 고의가 없었고, 피고인 A은 통상적으로 요구되는 수준의 침입차단 및 침입탐지시스템을 설치하고 운영하였는바, 구 정보통신망법 제28조 제1항 제2호, 같은 법 시행령 제15조 제2항, 구 ｢개인정보의 기술적․관리적 보호조치 기준｣(방송통신위원회 고시 제2015-3호, 이하 ‘이 사건 고시’라 한다) 제4조 제5항을 위반하지 않았다. 2. 판단 가. 주장에 관한 판단 1) 행정상 단속을 주안으로 하는 법규라 하더라도 명문규정이 있거나 해석상 과실범도 벌할 뜻이 명확한 경우를 제외하고는 형법의 원칙에 따라 고의가 있어야 벌할 수 있는바(2010. 2. 11. 선고 2009도9807 판결 등 참조), 구 정보통신망법 제73조 제1호 위반죄가 성립하기 위해서도 원칙에 따라 ‘개인정보의 보호조치의무 불이행’에 대한 고의가 있어야 한다. 2) 그러나 구 정보통신망법 제73조 제1호 후단에 규정된 ‘개인정보를 분실·도난·유출·위조·변조 또는 훼손’이라는 결과발생 부분까지 고의의 대상이 된다고 보기는 어렵다. 만일 정보통신서비스 제공자 등이 미필적으로라도 위와 같은 결과를 인식하고 의욕하였다면, 개인정보의 보호조치의무 불이행은 의도적인 개인정보침해행위가 되어 구 정보통신망법 제73조 제1호 위반죄보다 법정형이 높은 같은 법 제71조 제1항 제5호, 제11호 등 다른 고의범죄의 정범 또는 적어도 방조범이 성립한다고 보아야 한다. 3) 다만, 책임주의 원칙상 결과발생에 대한 ‘예견가능성’ 즉, 과실이 필요하고, 개인정보의 보호조치의무 불이행과 개인정보 유출 등 결과 사이에 상당인과관계가 있어야 함은 물론이다. 이는 ‘해석상 과실범도 벌할 뜻이 명확한 경우’에 해당하므로 법률규정 없이 과실범을 처벌하는 경우라고 할 수 없다. 4) 이 사건에 관하여 보건대, 피고인 A은 피고인 회사의 보안 및 개인정보보호업무를 총괄하였고, 2016. 5.~6.경 ‘C’ 고객 웹페이지에 대하여 한국인터넷진흥원 등으로부터 취약점 점검을 받아 SQL 인젝션 취약점 등을 지적받았음에도 2016. 7. 18.경부터 ‘C’ 마케팅센터 웹페이지 운영을 시작하면서 이에 대한 취약점 점검을 받도록 지시하지 않았고, 취약점 점검을 받지 않은 사실을 알고 있었던 점, 이 사건 침해사고 당시 서비스 관리자 페이지의 접속권한을 회사 IP 주소 등으로 제한하여 인가받지 않은 접근을 제한하는 조치를 취하지 않은 사실을 알고 있었던 점, 피고인 A은 오픈소스로 제공되는 침입탐지시스템을 설치하였을 뿐 이를 관리하도록 지시하지 않았고, 탐지된 침입시도내역을 모니터링할 조직이나 인력을 두지 않은 점, 대표적인 해킹 수법인 SQL 인젝션 공격에 의해 서비스 관리자 페이지 접속정보를 탈취당하였고 침입탐지 시스템에 해당 내역이 탐지되었음에도 이를 알아채지 못하여 아무런 조치를 취하지 못한 점 등을 종합하면, 피고인 A에게 개인정보의 보호조치의무 불이행에 대한 고의 및 결과발생에 대한 예견가능성이 충분히 인정된다. 피고인들 및 변호인들의 주장은 이유 없다. 나. 주장에 관한 판단 1) 이 사건 고시 제4조 제5항은 다음과 같다. 또한, 2012. 9. 이 사건 고시 해설서는 위 조항과 관련하여 ‘불법적인 접근 및 침해사고 방지를 위한 목적 달성을 위해서는 침입차단과 침입탐지 기능을 갖는 시스템 도입과 더불어 침입차단 정책 설정 및 침입탐지 로그 분석, 로그 훼손 방지 등 적절한 운영‧관리가 중요하다’고 기재하고 있고, 2017. 12. 이 사건 고시 해설서도 ‘접근 제한 기능 및 유출 탐지 기능의 충족을 위해서는 단순히 시스템을 설치하는 것만으로는 부족하며, 신규 위협대응 및 정책의 관리를 위하여 다음과 같은 방법 등을 활용하여 체계적으로 운영‧관리하여야 한다’ 고 기재하고, 관련 조치로 ‘정책 설정 운영 : 신규 위협 대응 등을 위하여 접근 제한 정책 및 유출 탐지 정책을 설정하고 지속적인 업데이트 적용 및 운영‧관리’, ‘이상행위 대응 : 모니터링 등을 통해 인가받지 않은 접근을 제한하거나 인가자의 비정상적인 행동에 대응‘, ’로그 분석 : 로그 등의 대조 또는 분석을 통하여 이상 행위를 탐지 또는 차단‘ 등을 들고, 이상행위 대응 조치의 예로 ’동일 IP, 해외 IP주소에서의 과도한 또는 비정상적인 접속시도 탐지 및 차단 조치’ 등을 들고 있다. 2) 이와 같은 이 사건 고시 제4조 제5항과 그 해설서 내용에 따르면, 위 조항은 정보통신망을 통한 불법적인 접근 및 침해사고를 방지할 수 있도록 ‘개인정보처리시스템에 대한 접속 권한을 제한하여 인가받지 않은 접근을 제한’하고, ‘개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출시도를 탐지’함으로써 시스템을 적정히 운영할 의무를 부여하는 것이라 해석된다. 3) 이 사건에 관하여 보건대, 피고인 A은 리눅스 운영체제에서 제공하는 기본 방화벽을 전산망에 설치하였으나, 업무처리를 위해 외부 접속 필요성이 있다는 이유로 어디서나 어떠한 IP주소로도 서비스 관리자 페이지에 접속할 수 있도록 허용함에 따라 해커가 서비스 관리자 페이지에 아무런 제한 없이 접속할 수 있었던 점, 이 사건 침해사고 발생 당시 피고인 A은 오픈소스로 제공되는 침입탐지시스템을 설치하였을 뿐, 이를 누가 어떠한 방법으로 관리할지 구체적으로 지시하지 않음에 따라 침입시도 내역이 시스템에 탐지되었음에도 상당한 기간이 경과한 협박행위 당시에야 비로소 침 입내역을 파악한 점에 비추어 보면, 피고인 A이 침입차단 및 침입탐지시스템을 설치하여 가동한 것에 불과할 뿐 이를 적정하게 운영하였다고 볼 수 없다. 양형의 이유 이 사건 범죄는 정보통신서비스 제공자의 관리소홀 등으로 개인정보가 유출된 것으로, 유출된 개인정보의 내용(숙박예약내역, 이름, 이메일, 전화번호 등)이 다른 범죄에 사용될 가능성이 높고, 민감한 정보가 포함되어 있으며, 유출된 개인정보의 규모도 매우 커 사회적 폐해가 상당한 점, 피고인 회사는 방송통신위원회로부터 과징금 및 과태료 부과처분을 받은 점, 피해자 회사가 유출을 인지한 후 곧바로 피해 방지를 위한 노력을 하였고, 재발방지를 위한 후속 조치를 적극적으로 취한 점 및 범행 후의 정황 등 이 사건 공판과정에 나타난 양형 조건들을 종합하여, 주문과 같이 형을 정한다.