서울동부지방법원-2019고단1838

범죄사실 피고인 주식회사 B[이하 'B']는 전자화폐 환전 및 중개업 등을 목적으로 설립된 법인으로 암호화폐 중개 웹사이트 B(H)을 운영하는 정보통신서비스 제공자이다. 피고인 A은 B 전 감사 겸 대주주로서 2017. 1.경부터 B 업무 전반을 총괄하며 운영하였다. 피고인 A은 B 운영자로서 정보통신서비스 제공자 B이 개인정보를 처리할 때에는 개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여, 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영, 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치, 백신 소프트웨어의 설치·운영 등 컴퓨터바이러스에 의한 침해방지 등 기술적·관리적 조치를 하여야 한다. 1. 피고인 A 가. 스피어피싱 공격을 통한 개인정보 유출 B 개인정보처리시스템 담당직원 I은 2016. 2.경부터 2017. 4.경까지 서울 강남구 J에 있는 B 사무실에서 개인정보처리시스템에서 B 회원의 개인정보(이름, 이메일, 휴대 전화번호, 거래량, 거래금액 등 암호화폐 거래정보 등)를 추출하여 CSV 파일로 업무용 컴퓨터에 저장하였다. I은 2016. 2.경부터 2017. 4.경까지 수시로 B 운영지원팀장 K에게 수신자의 이름과 날짜 등의 비밀번호를 설정하고 B 회원 개인정보를 압축하여 파일서버 및 USB로 전달하였다. K은 피고인으로부터 '우수고객들에 대해 혜택을 주는 방법으로 프로모션을 진행하는 방안을 검토하라'는 지시를 받아, 위와 같이 전달 받은 개인정보 파일을 가공하여 개인정보 31,506건이 포함된 "2017년 회원관리 정책.xlsx" 파일로 만들어 업무용 컴퓨터 등에 암호화하지 않은 채 저장하던 중, 2017. 4. 16.경 피고인에게 이메일(L)로 전달하였다. 피고인은 "2017년 회원관리 정책.xlsx" 파일을 열어본 후 개인용 컴퓨터에 암호화하지 않은 채 저장하였다. 성명불상자는 2017. 4. 28.경 B 직원 채용기간에 맞춰 피고인의 이메일(L)로 이력서를 위장한 '한글' 파일 "이력서.hwp"를 전송하였다. "이력서.hwp" 파일에는 '한글' 워드프로세스의 EPS 기능을 이용하여 악성프로그램을 'drop'하는 프로그램이 숨겨져 있었고, "이력서.hwp" 파일에서 드롭된 악성프로그램은 원격지(C&C)의 명령을 받아 파일 탐색과 업로드 및 다운로드, 감염 컴퓨터 정보수집 등의 기능을 수행하도록 만들어졌다. 피고인은 2017. 4. 28.경 악성프로그램이 숨겨진 사실을 모른 채 "이력서.hwp" 파일을 실행시켜 피고인의 컴퓨터로 악성프로그램이 다운로드되게 함으로써, 성명불상자에게 피고인의 컴퓨터에 저장된 "2017년 회원관리 정책.xlsx"파일 등이 유출되었다. 정보통신서비스 제공자는 이용자의 개인정보를 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때는 암호화해야 함에도, 피고인은 "2017년 회원관리 정책.xlsx" 파일을 암호화하지 아니한 채 피고인의 개인용 컴퓨터에 저장하였다. 또한 정보통신서비스 제공자는 악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등 보안 프로그램을 설치·운영하여야 하고, 보안프로그램 자동 업데이트 기능을 사용하거나 일 1회 이상 업데이트하여 최신 상태를 유지하고, 악성프로그램 관련 정보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 업데이트를 실시하여야 한다. '한글' 문서에서 EPS 기능을 이용하여 악성프로그램을 'drop'하는 '한글' 프로그램의 취약점은 2016. 8.경 패치가 완료되어 업데이트를 하였을 경우 악성프로그램 감염을 막을 수 있었음에도, 피고인은 2016. 8. 이후 피고인의 컴퓨터에 설치된 '한글' 프로그램에 업데이트를 하거나 백신소프트웨어를 설치하거나 업데이트 한 사실이 없다. 이로써 피고인은 개인정보를 안전하게 저장·전송할 수 있는 암호화기술 등을 이용한 보안조치, 백신 소프트웨어의 설치·운영 등 컴퓨터바이러스에 의한 침해 방지 등의 기술적·관리적 조치를 아니함으로써 "2017년 회원관리 정책.xlsx" 파일에 저장되어 있던 31,506건의 개인정보(이름, 이메일, 휴대전화번호, 거래량, 거래금액 등 암호화폐 거래정보 등)가 유출되게 하였다. 나. 사전대입공격을 통한 개인정보 유출 성명불상자는 2017. 6. 21.경부터 6. 23.경 사이 B 홈페이지에 접속하여 출처를 알 수 없는 피해자 M의 이메일 주소 N와 비밀번호를 이용해 사전대입공격 수법으로 피해자의 계정에 침입(로그인)한 후 피해자의 이름, 이메일 주소, 전화번호, 비트코인 등 암호화폐 거래정보 등을 알아냈다. 성명불상자는 2017. 6. 23.경 피해자에게 전화 걸어 "B 고객센터다. 지금 고객님 계정에 외국에서 접속이 시도된다. 인증 문자를 알려주면 바로 해외 IP에서는 접속이 차단되도록 조치해 주겠다."라고 거짓말하였다. 이에 속은 피해자가 인증번호를 알려주자, 성명불상자는 피해자의 계정으로 B 홈페이지에 로그인하여 피해자 소유의 이더리움 27.81 ETH 시가 11,739,853원 상당을 성명불상자가 보유하는 지갑으로 보냈다. 성명불상자는 이를 비롯하여 2017. 5. 5.경부터 2017. 10. 13.경까지 별지 범죄일람표 와 같이 총 243회에 걸쳐 피해자들의 개인정보를 알아내어 시가 7,067,557,669원의 피해자들 소유 암호화폐를 가져갔다. 정보통신서비스 제공자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하고, 개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법 개인정보 유출 시도를 탐지하는 시스템을 설치·운영하여야 한다. 접근 제한 기능 및 유출 탐지 기능을 충족하기 위해서는 단순히 시스템을 설치하는 것만으로는 부족하고, 신규 위협 대응 및 정책 관리를 위하여 접근 제한 정책 및 유출 탐지 정책을 설정하고 신규 취약점 또는 침해사고 발생 시 보안 업데이트를 적용하는 등으로 운영·관리하여야 한다. 또한 동일 IP, 해외 IP 주소에서의 과도한 또는 비정상적인 접속시도 탐지 및 차단 조치, 개인정보처리시스템에서 과도한 또는 비정상적인 트래픽 발생 시 탐지 및 차단 조치 등을 통해 인가받지 않은 접근을 제한하거나 인가자의 비정상적인 행동에 대응하여야 하고, 로그 등의 대조 또는 분석을 통하여 이상 행위를 탐지 또는 차단하여야 한다. 또한 정보통신서비스 제공자는 개인정보의 유출 등 사실을 안 때에는 지체 없이 유출된 개인정보 항목, 발생 시점, 대응 조치 등을 이용자에게 알리고 방송통신위원회 또는 한국인터넷진흥원에 신고하여야 하고, 개인정보의 유출 등에 대한 대책을 마련하고 피해를 최소화할 수 있는 조치를 강구하여야 한다. 피해자들은 2017. 5. 초순부터 해킹으로 인해 암호화폐를 탈취당했다고 지속적으로 신고 하였고, 피고인은 K으로부터 '회원 계정의 해킹으로 인해 자산을 탈취 당하는 피해 건이 접수되고 있다'는 보고를 받았다. 당시 B은 국내 최대 암호화폐거래소로서 암호화폐 거래 중개를 통해 취득하는 이득이 막대하였고, 피해자들은 B의 공신력을 믿고 암호화폐 거래를 맡겼으며 회원들의 개인정보가 유출되면 곧바로 암호화폐를 탈취당하는 2차 피해로 이어질 수 있었다. 따라서 피고인은 신속한 대응 조치를 통해 이용자 피해발생 및 추가유출 방지를 위한 조치를 강구하고, 개인정보 유출 원인을 파악한 후 유출 원인별 보호조치를 실시하는 등 필요한 조치를 취했어야 했다. 그럼에도 피고인, K 등은 피해자들의 부주의에 의해 발생한 문제에 불과하다고 인식하며 인증 절차 강화 대책 마린 외에는 접근 제한 정책 및 유출 탐지 정책 설정 및 신규 취약점 또는 침해사고 발생 시 보안 업데이트를 적용하는 등 대책을 마련하지 않았다. 또한 개인정보처리시스템에 접속한 IP주소를 재분석 등을 통한 동일 IP, 해외 IP주소에서의 과도한 또는 비정상적인 접속 시도 탐지 및 차단, 개인정보처리시스템에서 과도한 또는 비정상적인 트래픽 발생 시 탐지 및 차단, 로그 등의 대조 또는 분석을 통하여 이상 행위를 탐지 또는 차단 등 필요한 조치를 취하지 아니하였다. 또한 피고인은 사전대입공격으로 회원들의 개인정보 및 암호화폐가 탈취당하고 있는 사실을 회원들에게 알리지 아니하고, 방송통신위원회 또는 한국인터넷진흥원에 신고도 하지 아니하였다. 스피어피싱 공격을 한 성명불상 해커로부터 협박을 받아 그 사실이 수사기관 등 외부로 알려지자, 피고인은 2017. 6. 30.경 B 홈페이지에 '본 사고는 B 직원 개인 PC에 저장되어 있던 정보 유출로 인하여 발생한 사고로 B의 내부망이나 서버 및 가상화폐 지갑과는 무관하고 모든 회원님들의 원화 및 가상화폐 예치금은 안전하게보관되고 있다'고 공고함으로써 마치 개인정보 유출 사고는 발생하였으나 회원들의 암호화폐가 탈취당하는 피해는 없는 것처럼 공표하는 등 추가 유출 및 이용자 피해발생 방지를 위한 조치 의무도 이행하지 않았다. 그로인해 성명불상자는 2017. 6. 21.경부터 6. 23.경 사이 동일 브라우저를 사용하여 O 등 17개 IP주소로 위 피해자 M(이메일 주소 N)의 계정에 접속하여 사전대입 공격을 한 외에도, 동일한 17개 IP주소로 2017. 6. 17.경부터 7. 15.경까지 B 계정 43,305개에 로그인을 시도하여 총 168개 계정에 대해서 로그인에 성공하였다. 성명불상자는 이를 비롯하여 2017. 4. 경부터 2017. 10.경 사이 약 15,634개 IP주소로 B 홈페이지에 약 640만회 이상 사전대입공격을 하는 등 동일 IP에서의 과도한 또는 비정상적인 접속 시도, 트래픽 등이 발생하고 있었다. 그럼에도 B은 이를 탐지 및 차단하지 아니하여 위와 같이 장기간 지속적으로 B 회원들의 개인정보 및 암호화폐를 탈취당하는 피해를 입게 하였다. 이로써 피고인은 개인정보 분실·도난·유출·위조·변조 또는 훼손을 방지하고 개인정보의 안전성을 확보하기 위하여 개인정보에 대한 불법적인 접근을 차단하기 위한 침입차단시스템 등 접근 통제장치의 설치·운영의 기술적·관리적 조치를 취하지 아니함으로써, 범죄일람표 와 같이 총 46명 피해자들의 개인정보가 유출되게 하였다(유출정보는 이름, 이메일, 비밀번호, 전화번호, 거래정보). 2. 피고인 주식회사 B 피고인은 1항과 같이 피고인의 대표자 A이 피고인의 업무에 관하여 위와 같이 위반행위를 하였다. 증거 요지 1. 증인 P, Q, R, K의 각 증언 1. A에 대한 각 검찰 피의자신문조서 1. 각 수사보고(203, 221, 258, 264, 267, 308) 1. 유출사고 원인 분석 결과 1. 이메일(219, 325) 1. 분석보고서 혹은 결과보고서(178, 316, 317, 319) 법령적용 1. 처벌규정 각 정보통신망이용촉진및정보보호등에관한법률 75조, 73조 1호, 28조 1항 2, 4, 5호(피고인 A 벌금형 선택) 1. 경합범 가중 각 형법 37조 전단, 38조 1. 노역장 유치 피고인 A 형법 70조 1항, 69조 2항 양형 이유 범죄사실에서 나타난 바와 같이 피고인 법인의 경우 사업 규모, 사업 형태(회원들의 온라인 거래에 부과하는 수수료 등이 주된 수익이고, 회원들의 자산은 전부 인터넷 가상 공간에서 관리되므로 해커들의 표적이 되기 쉬워서 재정이 감당하는 범위에서 당대 최고의 보안수준이 유지되도록 노력하였어야 한다) 등을 종합하면, 행위불법이 무겁고 이로 인한 결과 또한 무겁다. 더불어 지적할 것은 피해자들이 계속하여 피해를 신고하고, 대책을 요구하였음에도 필요한 조치를 게을리 하였는데(가령 54번 S 진술서, 90번 T 진술서 등), 그 이유는 피고인들이 변명하는 것처럼 단순히 피해자 개인의 부주의나 보이스피싱 범죄에 당한 것으로 오인하여서가 아니라, 회사의 신뢰도 하락에 따른 영업손실을 우선하였기 때문인 것으로 보인다. 피고인 회사가 존재하고 수익을 얻을 수 있는 것은 회원들이 신뢰하고 거래를 하기 때문이다. 그럼에도 고객의 거래안전과 이익을 뒷전으로 돌리고 눈앞의 손실에 급급하는 것은 스스로 존재기반을 부정하는 것이다. 처단형의 상한액으로 하여도 응보에 부족하다. 피고인 A은 종전 대표자 P이 사실상 휴무하는 동안 임시로 역할을 맡은 점, 혼자만의 잘못에서 비롯된 것이 아닌 점, 이 사건 재판 결과 이후에 피해자들과 별도의 민사책임을 가려야 하는 점 등을 참작하여 벌금형을 선택하되, 마찬가지로 행위불법과 피해 결과 등에 비추어서는 처단형의 상한액이 요구된다. 피고인들, 변호인 주장 판단 [변론 요지] 1. 스피어피싱 관련 1) 피고인 A의 개인 pc에서 파일이 유출된 것인지 증거가 부족하다. 2) 가사 그렇더라도 피고인 A이 회사 외부에서 개인적으로 사용하는 pc는 법이 정하는 보호조치가 요구되지 않는다. 3) 피고인 A은 K에게 파일 작성을 지시하지도 않았고, 열어보기 전에는 개인정보가 보관되어 있는 것을 몰랐으므로 피고인이 암호화 등 조치를 하지 않은 것에 잘못이 없다. 2. 사전대입공격 관련 1) id, pw는 개인정보가 아니며, 이로써 홈페이지에 로그인 시도하는 것은 법 28조 1항이 정한 '정보통신서비스제공자 등이 개인정보를 처리할 때'에 해당하지 않는다. 2) 법인은 당시 수준으로 사전대입공격을 방어할 수 있는 것으로 인정되는 캡챠, 로그인제한정책 등 보호조치를 다하였다. 3) 당시 대표자로서 개인정보 보호책임자는 P이었고, 피고인은 대주주로서 일부 관여한 것에 불과하므로 피고인 A에게 대표자 혹은 책임자로서의 형사책임을 물을 수 없다. 4) 주된 검찰증거인 액티비티 로그 기록은 유죄 증거력이 부족하다. [판단] 1. 스피어피싱 관련 1) 협박 메일 수신자가 A인 점, 문제가 된 개인정보파일 외 A pc에 보관된 '인수계 획서', '재무제표', '자산정리대장' 등 다수의 다른 파일도 유출되었고 그 결과 협박 이메일에 '자산정리대장' 등 다른 파일도 첨부된 점, A의 개인 pc에 V3가 설치되었으나 최신 버전으로 업데이트되지 않았던 점 등을 종합하면, 피고인 A의 개인 pc에서 유출된 것으로 인정된다. 2) 법이 개인용과 회사 업무용으로 구분하지 않을 뿐 아니라, 개인용 pc를 업무에 사용하였으면 업무용 pc가 되는 것이다. 이와 다른 전제에서의 주장은 이유 없다. 3) 범죄사실 기재와 같이 피고인 A은 그의 pc를 업무에 사용하였으므로 요구되는 보호조치를 하였어야 한다. 이와 다른 전제에서의 주장은 이유 없다. 2. 사전대입공격 관련 1) 법령은 '개인정보처리시스템'을개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스시스템이라고 간단히 규정하나(시행령 15조 2항 1호), 이는 개인정보가 저장된 데이터베이스 자체뿐 아니라, 데이터베이스를 생성하고 관리하는 관리시스템, 데이터베이스를 용이하게 이용하는데 필요한 응용프로그램 등도 모두 포함된다. id, pw를 통한 로그인 기능을 통해서 이용자는 홈페이지에 접속하여 데이터베이스 내의 개인정보에 접근하여 조회, 수정, 삭제 등을 할 수 있으므로 로그인 기능은 데이터베이스를 이용, 변경할 수 있는 응용프로그램의 일부가 되고, 따라서 개인정보 처리시스템에 포섭된다. 이에 관한 다툼은 이유 없다. 2) 당시 보호조치가 충분하였는지 본다. 변론 자료에 의하면 캡차 기능, P처리 정책, 다계정 접속 차단 정책 등이 일부 시행되고 있었던 것으로는 보인다. 그런데 캡차 기능이 제대로 작동되지 않은 것으로 인정되고(피해자 일부 액티비티 로그 분석에 의하면(317번 피해자 U, V, W 등) 로그인에 실패하였는데도 반복적으로 로그인이 시도되는데 수초 사이에 수십회 연속 시도되고 있어서 사람이 아닌 기계가 시도하는 것으로 보이고 캡차가 제대로 작동하지 않은 결과이다}, P처리 정책 또한 부실하였으며(317번 피해자 V 분석 결과), 다계정 접속 차단은 처음에 30분 동안 3개 id에 로그인 시도시 차단하다가 이후 5개, 10개 등으로 완화하였다는 것인데, 피해자들의 액티비티 로그 분석에 의하면(순번 319번) 완화된 기준도 제대로 작동하지 않은 것이 충분히 확인된다. 이메일 id의 로그인 비밀번호가 5회 연속 불일치할 경우 차단하는 T 처리 정책과 OTP 인증 강화 수단 등은 이 사건 발생 이후인 2017. 8. 25. 이후 시행되었다. 검찰 증거를 종합하면 보호조치가 미흡하였던 것으로 인정된다. 3) 형사법은 자기행위책임이 원칙이나, 양벌규정은 일반적으로는 개별 범죄 구성요건의 적용대상인 행위자가 아닌 사용자인 법인이나 사업주 개인에게도 책임을 확대하려는 것이 입법취지로 이해된다. 한편 처벌규정 구성요건이 개별 행위자는 제쳐두고 사업주를 1차적 적용대상으로 하는 경우에는 양벌규정에 의해서 행위자 개인에게도 처벌규정이 확대 적용되는 또 다른 입법취지가 포함되어 있다(대법원 2010. 9. 9. 선고 2008도7834 판결 등). 이 사건을 본다. 이 사건에 처벌규정인 법 28조 1항은 처벌대상을 행위자 개인으로 규정한 것이 아니라 "정보통신서비스 제공자등"이라고 하여 사업자로 규정하고 있다. 그런데 이 사건에 사업자인 피고 회사는 관념적으로 존재할 뿐이므로 위 처벌대상이 적용되도록 한 데 관여한 직원이 있을 수밖에 없고 양벌규정에 의해서 그 직원도 처벌대상이 되는 것이며, 그 직원은 양벌규정이 규정한 대로 "업무에 관하여 위반행위"를 한 것이면 직급에 관계없이 모두 처벌대상이 되는 것이지, 변론과 같이 법 27조 2항에 '개인정보보호책임자', '사업주', '대표자' 등으로 한정되는 것은 아니다. 이런 전제에서 스피어피싱 공격과 관련하여서는 A이 직책은 막론하고 회사의 사용인 지위에서 업무상 행위 중 법이 요구하는 조치를 하지 않아 개인정보를 유출한 것이면 책임을 피할 수 없다(이에 관한 책임은 주된 1인에 한정되지 않으므로 K 등도 검토될 수 있는 것이다). 한편 사전대입공격과 관련하여서 조치가 미흡하여 개인정보 유출이 발생하였다면 개별 처벌규정이 정한 주체인 회사가 1차적인 처벌대상이 되는 것은 당연하다. 다음으로 양벌규정으로써 처벌될 행위자를 보건대, 법은 개인정보보호책임자가 지정되지 않은 경우 '사업주' 또는 '대표자'에게 개인정보보호책임자의 역할을 부과하므로 이 사건에서 개인정보보호책임자가 지정되지 않은 피고 회사의 경우도 당시의 '사업주' 또는 '대표자'가 구체적인 위반행위자가 되는 것이고, 판단기준은 다른 법률에서와 마찬가지로 실질적으로 '사업주' 또는 '대표자' 역할을 하였는지 여부로 판단하여야 한다. 이 사건에서는 당시에 P이 사내이사로 등기되어 형식적 대표자이었으나 개인적인 사유로 대표자 업무에서 이탈하였고, 피고인 A이 회사 업무를 전반적으로 관리하며 실질적으로 운영하여 실질 '사업주' 또는 '대표자' 역할을 한 것으로 인정되고, 이렇게 할 수 있었던 것은 대주주이기 때문이다. 4) 이 사건 당시 신고한 피해자들의 계정 및 사용된 IP에 대해 액티비티로그 기록을 분석한 결과, '1개 IP에서 사람이 할 수 없을 정도로 짧은 시간 동안 잦은 로그인 시도 및 실패', '1개 IP에서 연속적인 로그인 실패', '1개 IP에서 비연속적인 로그인 실패' 등 기준으로 비정상적이어서 사전대입공격으로 볼 수 있는 로그인 시도가 발견되었다. 구체적으로 피해자들 244명의 이메일 id로 로그인 성공한 IP 7,713개 중 약 21%인 1,640개 IP가 위 기준에 따르면 사전대입공격으로 분석된다(순번 316, 319, 264 등). 다만 사전대입공격으로 볼 수 있는 위 부분이 피해자들 전부에 대해서 나타난 것인지는 검찰 증거로 확인되지 않고, 개별적으로 액티비티로그 분석이 된 일부 피해자들의 경우에만 확인될 뿐이다. 따라서 액티비티로그 분석 자료가 제출된 피해자들에 한정하여(다만 착오로 다른 피해자의 자료가 중복하여 제출된 3인을 제외한 46명) 유죄의 증거로 삼을 수 있다. 무죄 부분 [공소사실 요지] 사전대입공격을 통한 개인정보 유출 관련, 피고인 A은 범죄일람표 과 같이 총 197명의 피해자들의 개인정보가 유출되게 하였고, 피고인 회사는 대표자인 A이 피고인의 업무에 관하여 위와 같이 위반행위를 하였다. [판단] 위에서 보았듯이 비정상적이어서 사전대입공격으로 볼 수 있는 로그인 시도가 개별적으로 액티비티로그 분석이 되지 않은 나머지 피해자들에 대해서도 나타나는지를 인정할 증거가 부족하다. 따라서 분석 자료가 없는 범죄일람표 피해자들은 범죄사실의 증명이 없어 무죄이나, 유죄부분과 일죄이고 주문에서 유죄를 선고하므로 따로 무죄를 선고하지 않는다.