핵심만 말씀드리겠습니다. 악성코드 유포는 단순 장난이나 테스트 목적이었더라도 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)에 의해 중하게 처벌됩니다. 실형 선고 사례도 적지 않습니다. 아래 가상 사례를 통해 어떤 쟁점이 발생하고, 실제로 어떤 수위의 처벌이 내려지는지 구체적으로 분석합니다.
사건 개요
서울에 거주하는 28세 프리랜서 개발자 A씨는 2024년 초, 자신이 제작한 원격 제어 프로그램을 파일 공유 사이트에 업로드했습니다. 해당 프로그램은 설치된 PC의 키보드 입력을 기록하고, 수집된 정보를 외부 서버로 전송하는 기능을 포함하고 있었습니다. A씨는 "보안 테스트용"이라고 설명을 달았지만, 실제로 약 1,200대의 PC에 설치되었고 그중 340대에서 개인정보가 유출되었습니다.
피해자 중 한 명인 부산의 자영업자 B씨(45세)는 해당 프로그램이 설치된 후 인터넷뱅킹 접속 정보가 탈취되어 약 2,800만 원의 금전 피해를 입었습니다. 경찰 사이버수사대의 추적 결과, A씨가 프로그램 제작자이자 유포자로 특정되어 검거되었습니다.
쟁점 1: 악성코드 유포의 정보통신망법상 구성요건
결론부터 말하면, A씨의 행위는 정보통신망법 제48조 제2항에 정면으로 해당합니다. 이 조항은 "정당한 사유 없이 정보통신시스템, 데이터 또는 프로그램 등을 훼손, 멸실, 변경, 위조하거나 그 운용을 방해할 수 있는 프로그램을 전달 또는 유포"하는 행위를 금지합니다.
구성요건 핵심 포인트
1
프로그램의 기능 자체가 판단 기준입니다. 실제로 피해가 발생했는지 여부는 구성요건 충족에 필수 요소가 아닙니다.
2
"전달 또는 유포"에는 파일 공유 사이트 업로드, 이메일 첨부, 메신저 전송 등 모든 배포 행위가 포함됩니다.
3
"정당한 사유"의 입증 책임은 행위자에게 있습니다. 단순히 "보안 테스트용"이라는 주장만으로는 인정받기 극히 어렵습니다.
실무에서 가장 많이 다투어지는 부분은 "정당한 사유"입니다. 보안 업체가 고객사의 명시적 동의 하에 침투 테스트(Penetration Test)를 수행하는 경우처럼, 사전 계약과 동의가 명확히 존재해야 합니다. A씨처럼 불특정 다수를 대상으로 파일을 업로드한 행위는 어떤 해석으로도 정당한 사유에 해당하지 않습니다.
쟁점 2: 처벌 수위와 양형에 영향을 미치는 요소
정보통신망법 제71조 제1항 제9호에 따르면, 악성코드 유포 행위는 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처합니다. 그러나 A씨의 경우, 단순 유포에 그치지 않고 추가 범죄가 성립할 가능성이 높습니다.
A씨에게 적용 가능한 혐의 정리
1
악성코드 유포 (정보통신망법 제48조 제2항) - 5년 이하 징역 또는 5,000만 원 이하 벌금
2
정보통신망 침입 (정보통신망법 제48조 제1항) - 타인의 PC에 무단 접근한 행위. 3년 이하 징역 또는 3,000만 원 이하 벌금
3
개인정보 침해 (개인정보보호법 제71조) - 키로깅을 통한 개인정보 수집. 5년 이하 징역 또는 5,000만 원 이하 벌금
4
컴퓨터등사용사기 (형법 제347조의2) - 탈취한 금융정보로 재산 피해 발생 시. 10년 이하 징역 또는 2,000만 원 이하 벌금
양형에 결정적으로 영향을 미치는 요소를 정리하면 다음과 같습니다.
형량을 높이는 요인: 피해 규모(감염 PC 수, 금전 피해액), 영리 목적 여부, 범행 기간의 장기성, 피해자 수, 유사 전과
형량을 낮추는 요인: 초범 여부, 피해자와의 합의, 자수, 범행 수익의 전액 반환, 재범 방지를 위한 구체적 노력
A씨의 경우 감염 PC가 1,200대에 달하고 실제 금전 피해까지 발생했으므로, 실무적으로 실형(징역형의 실형) 선고 가능성이 상당히 높습니다. 특히 피해자 B씨의 2,800만 원 금전 피해가 컴퓨터등사용사기까지 경합하면, 양형 범위는 크게 상향됩니다.
쟁점 3: 피의자 측의 실무적 대응 전략
이 유형의 사건에서 피의자 측이 취할 수 있는 현실적인 대응 전략은 크게 세 가지 방향으로 나뉩니다.
1
고의성 범위의 한정: 프로그램의 악성 기능 중 행위자가 실제로 인식하고 의도한 범위를 명확히 구분해야 합니다. 예를 들어 키로깅 기능은 인식했으나 금융정보 탈취까지는 의도하지 않았다는 주장이 가능할 수 있습니다. 다만 이는 프로그램 소스코드 분석과 서버 로그 등 객관적 증거에 의해 뒷받침되어야 합니다.
2
피해 회복 및 합의: 양형에 가장 큰 영향을 미치는 요소입니다. 금전 피해에 대한 배상과 피해자 합의는 실형과 집행유예를 가르는 핵심 분기점이 됩니다. 실무에서 보면 합의 여부에 따라 형량이 1년 이상 차이가 나는 경우도 흔합니다.
3
디지털 포렌식 대응: 수사기관의 디지털 포렌식 과정에서 압수된 저장매체의 무결성, 분석 절차의 적법성을 면밀히 검토해야 합니다. 포렌식 절차의 하자는 핵심 증거의 증거능력을 다투는 근거가 됩니다.
정리하면, 악성코드 유포는 "프로그램을 만들어서 올렸을 뿐"이라는 인식과 달리 정보통신망법, 개인정보보호법, 형법이 동시에 적용될 수 있는 중대 범죄입니다. 특히 피해 규모가 클수록 경합범 가중(여러 죄가 함께 적용되어 형이 무거워지는 것)이 적용되어 처벌 수위가 급격히 높아집니다. 수사 초기 단계에서부터 각 혐의별 구성요건 충족 여부를 정밀하게 분석하고, 증거관계를 체계적으로 정리하는 것이 결과에 직접적인 영향을 미칩니다.
