안녕하세요, 더킴로펌 대구정보통신망침입변호사입니다. “계정 주인이 비밀번호를 알려줬는데도 접속하면 안 되나요?” 회사나 거래처의 온라인 업무를 대신 처리하다가 이런 질문을 하시는 경우가 있습니다. 반대로 공개되어 보이는 자료를 모았다는 이유로 무단침입 고소를 당하기도 합니다. 어느 경우든 화면이 열렸다는 사실만으로 사용권한을 판단하기는 어렵습니다.
먼저 핵심부터 말씀드리겠습니다. 정보통신망침입 사건에서는 계정 소유자의 승낙과 서비스 운영자가 허용한 접근 범위를 함께 확인해야 합니다. 다만 특정 방식의 서버 접근이 객관적으로 제한되어 있었다고 보기 어렵다면 자동 프로그램을 썼다는 이유만으로 처벌할 수는 없습니다. 이 글에서는 공개 서버를 이용한 무죄 사건과 가맹학원 계정을 이용한 유죄 사건을 나란히 놓고 권한의 경계를 살펴보겠습니다.
1. 운영자가 허용한 접속인지부터 봅니다
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조 제1항은 권한 없는 침입과 허용된 접근권한을 넘는 침입을 금지합니다. 현행 제71조 제1항 제11호는 이를 위반하면 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처하도록 합니다. 같은 조 제2항에 따라 미수도 처벌합니다. 오래된 판결에 적힌 제72조나 제71조의 옛 호 번호를 현재 조문과 혼동해서는 안 됩니다.
대법원은 서비스제공자, 곧 그 서비스를 운영하며 권한을 부여하는 주체를 기준으로 접근권한을 판단합니다. 보안장치를 훼손하는 기술적인 해킹이 없어도 다른 사람의 아이디를 부정하게 사용한 접속이 문제 될 수 있습니다. 사용자에게 비밀번호를 들었다는 말과 운영자에게 사용권한을 받았다는 말은 같지 않습니다.
그렇다고 부탁받은 업무를 대신한 모든 접속이 범죄라는 뜻은 아닙니다. 대법원은 이용자의 의도와 이익을 위해 단순히 업무를 대행해 이용자가 직접 사용하는 것과 같게 평가할 경우 등을 예외로 설명했습니다. 대리 사용이 허용되는 구조인지, 실제 맡은 일을 벗어나 독립적으로 계정을 사용했는지가 중요합니다(대법원 2005. 11. 25. 선고 2005도870 판결).
2. 공개된 정보 요청 방식을 사용한 무죄 사건
가. 사건 개요
숙박 예약업체 임직원들이 경쟁회사의 숙박업소 정보를 자동으로 수집했습니다. 앱이 정보를 받아오는 서버의 주소와 요청 형식을 알아내고, 자체 프로그램으로 그 형식에 맞는 요청을 보내는 방식이었습니다. 이런 앱과 서버 사이의 정보 연결 방식을 API라고 부릅니다.
주소와 요청 형식은 경쟁회사가 적극적으로 알린 자료는 아니었지만 통상 사용하는 기술로 쉽게 확인할 수 있었습니다. 일반 이용자들은 회원으로 가입하지 않고도 앱을 통해 서버에 접근할 수 있었고, 별도의 접근 차단 장치도 없었습니다. 다만 약관에는 받아온 정보를 무단으로 영리 목적에 이용하지 못하게 하는 내용이 있었습니다.
나. 법원의 판단
법원은 약관이 무엇을 제한했는지 구별했습니다. 받아온 정보를 영리적으로 이용하지 말라는 조항은 정보의 이용에 관한 제한이었습니다. 그것만으로 서버에 들어가는 행위 자체가 금지되었다고 보기는 어렵다고 판단했습니다.
자동접속으로 서버에 부담을 주어 서비스를 방해하지 말라는 조항 역시 적용 대상과 내용 등을 고려하면 해당 서버의 접근권한 자체를 제한한 근거로 삼기 어려웠습니다. 대법원은 검사가 제출한 증거만으로 권한 없는 침입이 인정되지 않는다고 본 원심에 대한 상고를 기각했습니다. 일반 이용자에게 열려 있던 구조와 실제 약관의 내용이 결론을 뒷받침했습니다(대법원 2022. 5. 12. 선고 2021도1533 판결).
3. 가맹점 계정으로 접속한 유죄 사건
가. 사건 개요
온라인 토플 모의시험 판매회사와 지사 계약을 맺은 업체가 학원들을 모집했습니다. 업체가 학원의 아이디와 비밀번호 신청을 전달하면 판매회사가 학원을 등록하고 전용 사이트 주소를 부여하는 구조였습니다. 업체가 자체적으로 신규 학원의 이용권한을 만드는 방식은 아니었습니다.
업체에는 가맹학원의 시험 응시 요청을 승인하고 판매·사용 현황을 조회하는 관리자 권한이 있었습니다. 그러나 대금 미납으로 자체 계정의 접근이 차단되자 담당자는 업무 중 알게 된 다른 가맹학원의 관리자 계정으로 접속했습니다. 그 계정으로 자신이 운영하는 시험 응시자의 신청과 승인 업무를 처리한 경위가 조사 대상이 되었습니다.
나. 법원의 판단
법원은 학원을 모집하며 계정 정보를 전달했던 역할과 해당 계정의 사용권한을 구분했습니다. 학원별 전용 사이트는 판매회사가 관리하는 서비스의 일부였고, 그 접근권한은 해당 학원에 부여된 것이었습니다. 모집 업체가 그 학원 계정으로 자기 응시자를 등록하거나 승인할 권한까지 받은 것은 아니었습니다.
담당자는 판매회사나 해당 학원의 승낙 없이 아이디와 비밀번호를 이용했습니다. 대법원은 이를 운영자의 의사에 반하는 권한 없는 정보통신망 침입으로 판단한 원심을 수긍하여 피고인들의 상고를 모두 기각했습니다. 기존 업무 관계가 있었어도 접속한 계정과 처리한 업무에 맞는 권한이 별도로 필요했던 사건입니다(대법원 2021. 6. 24. 선고 2020도17860 판결).
4. 두 사건을 가른 것
공개 서버 사건의 핵심은 정보가 아무 가치도 없었다는 점이 아닙니다. 운영자가 문제된 방식의 접근을 객관적으로 제한했는지가 입증되지 않았다는 점입니다. 반면 학원 사건에서는 특정 학원에만 부여된 계정을 모집 업체가 자기 업무를 위해 사용한 사실이 확인되었습니다.
따라서 “남도 볼 수 있는 정보였다”거나 “거래하던 회사였다”는 말로 사건을 끝낼 수 없습니다. 서버에 들어갈 권한, 계정을 대신 쓸 권한, 내려받은 정보를 이용할 권한은 범위가 다를 수 있습니다. 약관 위반 여부와 형사상 침입 여부도 실제 제한 내용에 따라 나누어 검토해야 합니다.
5. 접속 사실을 설명할 때 확인해야 할 것
가. 누구에게 받은 계정인지
아이디를 최초로 전달한 사람과 그 사람의 권한을 확인해야 합니다. 서비스 운영자의 승인인지, 직원이 편의를 위해 공유한 것인지가 다를 수 있습니다. 계정을 받은 경위가 담긴 원래 대화와 업무요청을 보존해 두는 것이 좋습니다.
나. 어떤 기능이 허용됐는지
열람, 승인, 등록, 변경의 권한을 나누어 보아야 합니다. 관리자라는 명칭만으로 모든 기능을 쓸 수 있다고 판단해서는 안 됩니다. 당시 계약서와 운영 안내, 계정별 권한 설정을 실제 사용한 기능과 대조해야 합니다.
다. 권한이 끝났다는 통지가 있었는지
퇴사나 계약 해지, 사용정지 통지 전후의 접속을 시간순으로 정리해야 합니다. 비밀번호가 계속 작동했다는 사정만으로 권한도 유지됐다고 단정할 수는 없습니다. 통지의 전달 여부와 정확한 접속 시각을 확인해야 설명이 분명해집니다.
라. 접속 후 실제로 한 일
단순히 로그인한 것인지, 자료를 내려받거나 변경했는지 확인해야 합니다. 접근이 허용됐더라도 자료 이용에는 별도 법률이나 계약이 문제 될 수 있습니다. 반대로 다운로드가 없었다는 이유만으로 권한 없는 접속이 사라지는 것도 아니므로, 조사받는 행위를 정확하게 나누어야 합니다.
6. 맺음말
같은 로그인 화면을 이용했어도 정보통신망침입의 결론은 달라질 수 있습니다. 법원은 운영자가 설정한 권한과 제한을 확인하고, 그 범위 안에서 접속했는지 살핍니다. 계정 정보를 알고 있었다는 사정이나 프로그램의 자동화 여부만으로 판단하지 않습니다.
다만 업무 대행과 계정의 독립적인 사용 사이에는 사실관계에 따른 차이가 있습니다. 결국 누구의 허락으로 어떤 업무를 했는지, 그 허락이 실제 접속 범위를 포함했는지가 중요합니다. 정보통신망침입 문제로 고소를 당하셨다면, 더킴로펌 대구정보통신망침입전문변호사와 상담하시어 사건에 맞는 대응 전략을 세우시기 바랍니다.
참고한 법령과 판결
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조, 제71조
대법원 2005. 11. 25. 선고 2005도870 판결
대법원 2021. 6. 24. 선고 2020도17860 판결
대법원 2022. 5. 12. 선고 2021도1533 판결
