"회사 서버가 랜섬웨어에 감염됐는데, 해커가 요구하는 암호화폐를 보내도 되는 건가요? 보내면 범죄인가요?"
핵심만 말씀드리겠습니다. 랜섬웨어 몸값 지급 자체를 직접 처벌하는 국내 법률은 현재 없습니다. 그러나 '지급해도 문제없다'는 뜻이 아닙니다. 몸값을 보내는 과정에서 자금세탁, 공중협박자금(테러자금) 제공, 외국환거래법 위반 등 여러 법적 리스크가 발생할 수 있고, 경우에 따라 형사처벌 대상이 됩니다.
랜섬웨어 몸값 지급, 왜 단순히 '합법'이라 할 수 없나
결론부터 말하면, 현행 형법이나 정보통신망법에 랜섬웨어 피해자의 금전 지급을 직접 금지하는 조항은 없습니다. 하지만 다음 세 가지 법률이 문제를 복잡하게 만듭니다.
1. 공중협박자금조달금지법(테러자금금지법)
해커 조직이 국제 테러 단체 또는 유엔 안보리 제재 대상으로 지정된 경우, 해당 조직에 자금을 송금하면 5년 이하의 징역 또는 3천만 원 이하의 벌금에 처해질 수 있습니다.
2. 범죄수익은닉규제법(자금세탁방지법)
몸값 지급이 해커의 범죄수익 취득을 용이하게 하는 행위로 평가될 여지가 있습니다. 특히 대행업체를 통해 암호화폐를 구매하여 송금하는 과정에서 자금세탁 방조 혐의가 검토될 수 있습니다.
3. 외국환거래법
암호화폐를 해외 지갑 주소로 송금하는 행위는 외국환거래법상 미신고 해외 자금이체에 해당할 가능성이 있습니다. 1회 송금액이 수천만 원을 넘는 경우 과태료 또는 형사처벌 리스크가 커집니다.
실무에서 보면, 중소기업이 급한 마음에 몸값을 지급한 뒤 수사기관에 뒤늦게 신고하면서 오히려 자금 흐름에 대한 해명을 요구받는 사례가 적지 않습니다.
몸값을 지급해도 복구가 보장되지 않는다는 현실
법적 쟁점 이전에 현실적 판단도 중요합니다. 국제 사이버보안 기관 통계에 따르면, 몸값을 지급한 피해자 중 완전한 데이터 복구에 성공한 비율은 약 8%에 불과합니다. 부분 복구까지 포함해도 절반 이하에 그칩니다.
또한 한 번 지급하면 '지급 의사가 있는 타깃'으로 분류되어 재공격(double extortion) 대상이 되기도 합니다. 따라서 몸값 지급은 법적 리스크와 실효성 모두의 측면에서 신중하게 판단해야 합니다.
랜섬웨어 피해 시 올바른 신고 절차와 대응 순서
피해 발생 시 아래 순서대로 대응하는 것이 실무적으로 가장 유리합니다.
1
즉시 네트워크 차단 및 증거 보전 - 감염 확산을 막기 위해 해당 장비를 네트워크에서 분리하고, 랜섬노트(협박 메시지) 화면을 캡처합니다. 로그 파일, 이메일 원본 등 공격 경로 추적에 필요한 자료를 삭제하지 않고 보관해야 합니다.
2
한국인터넷진흥원(KISA) 118 신고 - KISA에 신고하면 악성코드 분석, 복구 지원, 기존 복호화 키 보유 여부 확인 등 기술적 지원을 무료로 받을 수 있습니다. 신고 후 통상 1~3일 이내에 기술 분석 결과를 안내받습니다.
3
경찰청 사이버수사국 신고 - 형사 수사를 위해 경찰청 사이버범죄 신고시스템(ecrm.police.go.kr)에 접수합니다. 피해 금액, 감염 경위, 해커의 요구 내역을 구체적으로 기재하면 수사 개시 속도가 빨라집니다.
4
개인정보 유출 시 개인정보보호위원회 신고 - 고객 개인정보가 포함된 데이터가 유출되었다면, 정보통신망법 제27조의3에 따라 유출 사실을 인지한 시점으로부터 72시간 이내에 개인정보보호위원회에 신고해야 합니다. 미신고 시 3천만 원 이하의 과태료가 부과됩니다.
5
법률 자문 확보 - 몸값 지급 여부 결정, 수사기관 대응, 보험 청구, 이해관계자 통지 등 법적 판단이 필요한 사안이 동시다발적으로 발생하므로, 디지털 범죄 분야에 경험이 있는 변호사의 조력을 받는 것이 필요합니다.
기업이 특히 주의할 법적 의무
기업 환경에서는 개인 피해와 달리 추가적인 법적 의무가 발생합니다.
정보통신망법상 침해사고 신고의무 - 정보통신서비스 제공자는 침해사고 발생 사실을 지체 없이 한국인터넷진흥원에 신고해야 합니다(정보통신망법 제48조의3). 위반 시 1천만 원 이하의 과태료가 부과됩니다.
정보보호관리체계(ISMS) 인증 기업 - ISMS 인증 대상 기업은 보안사고 발생 시 해당 사실을 인증기관에도 통보해야 합니다. 사고 은폐가 확인될 경우 인증 취소 사유에 해당합니다.
이사의 선관주의의무 - 회사 경영진이 적절한 보안 조치 없이 랜섬웨어 피해를 방치하거나, 무분별하게 몸값을 지급하여 회사에 손해를 끼쳤다면 상법 제382조의3에 따른 이사의 손해배상 책임이 문제될 수 있습니다.
실무에서 자주 묻는 추가 질문
Q. 사이버 보험에 가입했는데, 보험으로 몸값을 지급할 수 있나요?
국내 사이버 보험 약관 대부분은 랜섬웨어 몸값 지급을 보상 범위에서 제외하고 있습니다. 다만, 사고 대응 비용(포렌식, 법률 자문, 시스템 복구 비용)은 보상 대상인 경우가 많으므로 약관을 정확히 확인해야 합니다.
Q. 해커에게 협상 메일을 보내는 것 자체가 문제 되나요?
협상 시도 자체는 범죄가 아닙니다. 다만, 협상 과정에서 주고받은 내용이 수사 자료로 활용될 수 있으므로, 변호사 조력 하에 진행하는 것이 안전합니다. 특히 해커와의 대화 내역은 반드시 원본 그대로 보존해 두어야 합니다.
Q. 신고하면 수사 기간은 얼마나 걸리나요?
랜섬웨어 사건은 해커가 해외에 소재하는 경우가 대부분이어서 수사가 장기화되는 경향이 있습니다. 통상 6개월~1년 이상 소요되며, 국제 공조가 필요한 경우 더 길어질 수 있습니다. 그러나 신고 자체가 피해 확인서 발급, 보험 청구, 세무상 손실 처리 등의 근거가 되므로 신속한 신고가 중요합니다.
