최근 사이버 공격에 관한 뉴스를 접하시면서, DDoS 공격이라는 용어를 한 번쯤은 들어보셨을 것입니다. 한국인터넷진흥원(KISA) 통계에 따르면, 2024년 국내 DDoS 공격 탐지 건수는 전년 대비 약 35% 증가한 것으로 보고되었습니다. 과거에는 대기업이나 정부기관이 주요 타깃이었지만, 최근에는 중소기업 홈페이지, 온라인 게임 서버, 개인 쇼핑몰까지 공격 범위가 넓어지고 있습니다.
더 걱정스러운 점은, 이러한 공격이 전문 해커만의 영역이 아니라는 사실입니다. 온라인에서 쉽게 구할 수 있는 공격 도구 때문에, 10대 청소년이나 IT 비전공자도 호기심만으로 범행에 가담하는 사례가 늘고 있습니다. 그런데 많은 분들이 "그냥 서버를 좀 느리게 한 것뿐인데 이게 범죄인가요?"라고 의아해하십니다.
결론부터 말씀드리면, DDoS 공격은 형법과 정보통신망법에 의해 엄격히 처벌되는 중대한 범죄이며, 단순 가담이라 하더라도 실형이 선고될 수 있습니다.
DDoS 공격이란 무엇이고, 왜 심각한 범죄인가
DDoS(Distributed Denial of Service, 분산 서비스 거부 공격)란 다수의 컴퓨터를 이용해 특정 서버에 대량의 트래픽을 동시에 보내 정상적인 서비스를 마비시키는 행위를 말합니다. 쉽게 비유하면, 좁은 도로에 수만 대의 차량을 한꺼번에 몰아넣어 교통을 완전히 마비시키는 것과 같습니다.
단순히 웹사이트가 느려지는 수준이 아닙니다. 실무에서 보면 DDoS 공격으로 인해 기업의 매출 손실, 고객 데이터 접근 불가, 의료기관의 시스템 장애 등 피해가 현실 세계로 직접 이어지는 경우가 많습니다. 이 때문에 법원에서도 DDoS 공격의 사회적 위험성을 높게 평가하여, 처벌 수위를 점차 강화하는 추세에 있습니다.
적용되는 법률과 처벌 수위
DDoS 공격에는 주로 두 가지 법률이 적용됩니다. 구체적인 행위 유형에 따라 처벌 수위가 달라지므로, 각각을 나누어 살펴보겠습니다.
정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 제48조
정당한 접근권한 없이 정보통신망에 침입하거나, 정보통신망에 장애를 발생시킨 자는 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처해질 수 있습니다.
정보통신망법 제71조(가중처벌)
DDoS 공격으로 인해 정보통신망을 마비시키거나 데이터를 멸실(완전히 없앰)한 경우, 7년 이하의 징역 또는 7,000만 원 이하의 벌금까지 형이 가중됩니다.
여기에 추가로, 공격을 위해 타인의 컴퓨터에 악성 프로그램(봇넷 등)을 설치한 경우에는 형법 제314조 업무방해죄가 병합 적용될 수 있고, 이 경우 5년 이하의 징역 또는 1,500만 원 이하의 벌금이 추가됩니다. 실무적으로 이 죄명들이 경합하면 전체 형량은 상당히 무거워집니다.
"나는 도구만 제공했을 뿐"이라도 처벌 대상
상담 현장에서 자주 접하는 오해 중 하나가, 직접 공격 명령을 내리지 않았으니 처벌받지 않을 것이라는 생각입니다. 하지만 현행법은 다음과 같은 행위 모두를 처벌 대상으로 보고 있습니다.
1
직접 공격 실행 - 공격 프로그램을 직접 구동하여 트래픽을 발생시킨 경우
2
공격 도구 제작 및 유포 - DDoS 공격에 사용되는 악성코드를 만들거나 배포한 경우 (정보통신망법 제48조 제2항, 3년 이하 징역 또는 3,000만 원 이하 벌금)
3
봇넷 좀비PC 확보 - 타인의 컴퓨터에 무단으로 프로그램을 설치해 공격용 네트워크를 구축한 경우
4
공격 의뢰(교사범) - 금전을 지불하고 타인에게 DDoS 공격을 의뢰한 경우에도 교사범으로 동일하게 처벌
특히 최근에는 이른바 'DDoS 대행 서비스(Booter/Stresser)'를 이용해 비용만 지불하면 누구나 공격을 의뢰할 수 있는 환경이 형성되었는데, 이러한 서비스를 이용한 의뢰자 역시 정범에 준하여 처벌받을 수 있다는 점을 반드시 아셔야 합니다.
미성년자라고 안심할 수 없습니다
게임 서버를 대상으로 한 DDoS 공격 사건에서 가해자가 중고등학생인 경우가 적지 않습니다. "호기심이었다", "장난이었다"고 항변하시는 분들이 많지만, 만 14세 이상이면 형사 책임 능력이 인정되어 소년법상 보호처분은 물론 형사 기소까지 가능합니다.
미성년 가해자의 처분 범위
만 14세~18세: 소년부 송치(보호관찰, 사회봉사 등) 또는 형사법원 기소
만 10세~13세: 촉법소년으로 소년부 보호처분 대상
피해 규모가 크거나 상습적인 경우, 미성년자라도 소년교도소 수용이 가능합니다.
또한 미성년 자녀가 DDoS 공격을 했을 경우, 피해 기업이 민사상 손해배상을 청구하면 부모가 감독의무 위반으로 수천만 원에서 수억 원의 배상 책임을 질 수 있습니다. 이 부분을 간과하시는 부모님들이 많은데, 형사 처벌만큼 심각한 문제입니다.
양형에 영향을 미치는 핵심 요소
실무에서 DDoS 공격 사건의 양형(형의 무게를 정하는 것)에 결정적 영향을 미치는 요소들을 정리하면 다음과 같습니다.
형을 가중시키는 요소
- 피해 서버의 공공성 (의료, 금융, 공공기관 등 사회 기반 시설)
- 금전적 이득 목적 (경쟁업체 방해, 협박 후 금품 요구 등)
- 대규모 봇넷 동원 (수천~수만 대의 좀비PC 사용)
- 장기간 또는 반복적 공격
- 피해 금액이 1억 원을 초과하는 경우
형을 감경시킬 수 있는 요소
- 초범이며 단순 호기심에 의한 우발적 범행
- 피해자와 합의 및 피해 회복 노력
- 범행 즉시 자수 및 수사 협조
- 기술적 피해가 경미하고 실질적 서비스 중단 시간이 짧은 경우
실제 법원 판결례를 보면, 경쟁 온라인 쇼핑몰을 대상으로 DDoS 공격을 감행해 약 3일간 서비스를 마비시킨 사안에서 징역 2년 6개월이 선고된 바 있고, 게임 서버에 대한 단발성 공격으로 실질적 피해가 크지 않은 사안에서도 징역 1년에 집행유예 2년이 선고된 사례가 있습니다. 벌금형으로 끝나는 경우는 피해 규모가 극히 경미한 경우에 한정되는 추세입니다.
수사 과정에서 알아두셔야 할 점
DDoS 공격은 디지털 포렌식 기술의 발달로, 과거보다 추적과 증거 확보가 훨씬 정교해졌습니다. VPN이나 프록시 서버를 사용했다 하더라도 완벽한 익명성이 보장되지 않으며, 국제 공조 수사를 통해 해외 서버 경유 공격도 추적이 가능한 경우가 많습니다.
수사기관에서 통상적으로 확보하는 증거에는 공격 트래픽 로그, 악성코드 샘플, 공격 도구 구매 내역(가상화폐 거래 추적 포함), 대화 기록(텔레그램, 디스코드 등) 등이 포함됩니다. 특히 최근에는 가상화폐 추적 기술이 크게 발전하여, 비트코인 등으로 DDoS 대행 서비스 비용을 지불한 내역도 상당 부분 역추적이 가능해졌습니다.
만약 수사 대상이 되셨다면, 초기 대응이 매우 중요합니다. 수사 초기에 자발적으로 협조하고 범행 경위를 솔직히 진술하는 것이 양형에 상당한 영향을 미칩니다. 반대로, 증거를 인멸하거나 허위 진술을 할 경우에는 증거인멸죄나 위증죄가 추가될 수 있어 상황이 더욱 불리해집니다.
앞으로의 전망
국내외적으로 사이버 범죄에 대한 처벌 강화 흐름은 더욱 뚜렷해지고 있습니다. 2024년 말 발의된 정보통신망법 개정안에는 DDoS 공격의 법정 최고형을 10년으로 상향하는 내용이 포함되어 있으며, 국제적으로도 유럽연합(EU)의 사이버 범죄 지침(Directive on Attacks against Information Systems)이 회원국에 최소 5년 이상의 최고형을 권고하고 있습니다.
또한 최근 DDoS 공격이 랜섬웨어 공격의 전 단계로 활용되거나, 가상자산 탈취를 위한 교란 수단으로 사용되는 복합 범행이 늘고 있어, 수사기관의 단속도 한층 강화되고 있습니다.
DDoS 공격은 키보드 몇 번의 조작으로 실행할 수 있지만, 그 법적 결과는 실형과 수억 원대의 손해배상으로 이어질 수 있는 중대한 범죄입니다. 혹시 관련 상황에 놓여 계시거나, 가족이 연루되었을 가능성이 있으시다면, 사안이 커지기 전에 정확한 법적 상황 파악이 무엇보다 중요합니다.
