핵심 요지

정보통신망법 제48조 제2항은 정당한 사유 없이 정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 악성프로그램을 전달 또는 유포하는 것을 금지하고, 위반하면 제70조의2에 따라 7년 이하의 징역 또는 7천만원 이하의 벌금에 처합니다. 이 죄는 전달·유포만으로 성립하고 실제 장애가 생길 필요는 없지만, 악성프로그램인지는 프로그램 자체를 기준으로 사용용도, 기술적 구성, 작동 방식, 시스템에 미치는 영향, 운용자의 동의 여부를 종합해 판단합니다. 대법원은 일반 사용자와 같은 경로와 방법으로 작업을 빠르게 반복할 뿐이고 시스템이 예정한 범위 안에서 작동하며 서버 장애를 일으킨다고 볼 증거가 없는 자동 글쓰기 매크로나 게임 자동조준 프로그램은 악성프로그램이라고 단정하기 어렵다고 보았습니다. 다만 이 판례들은 당시 악성프로그램 유포죄에 관한 판단이고, 현재는 정보통신망법 제48조 제4항이 정상적인 보호·인증 절차를 우회하여 접근할 수 있도록 하는 프로그램 등을 정당한 사유 없이 설치·전달·유포하는 행위를 별도로 금지하며, 게임물의 정상적인 운영을 방해할 목적의 비승인 프로그램 배포는 게임산업법으로도 문제 될 수 있습니다.

카페나 블로그에 광고 글을 자동으로 올려 주는 프로그램, 게임에서 상대를 자동으로 조준해 주는 프로그램을 만들어 팔다가 정보통신망법 위반으로 수사를 받는 경우가 있습니다. 해킹 도구도 아닌데 왜 악성프로그램이냐는 반문이 나오기 마련입니다. 대법원은 이런 프로그램이 악성프로그램인지를 일정한 기준으로 따집니다. 악성프로그램 유포죄가 언제 성립하는지 조문과 대법원 판결로 설명해 드립니다.

악성프로그램 유포를 처벌하는 조항

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조 제2항은 누구든지 정당한 사유 없이 정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램, 곧 악성프로그램을 전달 또는 유포해서는 안 된다고 정합니다. 이를 위반하면 제70조의2에 따라 7년 이하의 징역 또는 7천만원 이하의 벌금에 처합니다.

대법원은 이 죄가 악성프로그램이 시스템에 미치는 영향을 고려해 전달하거나 유포하는 행위만으로 성립하고, 실제로 시스템이 훼손되거나 운용이 방해되는 결과가 생길 필요는 없다고 봅니다. 그래서 프로그램이 실제로 어떤 피해를 냈는지보다 그 프로그램이 악성프로그램에 해당하는지가 핵심 쟁점이 됩니다.

악성프로그램인지 판단하는 기준

대법원은 악성프로그램에 해당하는지를 프로그램 자체를 기준으로 하되, 그 사용용도와 기술적 구성, 작동 방식, 정보통신시스템 등에 미치는 영향, 프로그램 설치에 대한 운용자의 동의 여부 등을 종합적으로 고려하여 판단해야 한다고 했습니다(대법원 2019. 12. 12. 선고 2017도16520 판결). 이후 아래에서 보는 2018도16938, 2019도2862 판결도 이 기준을 그대로 인용했습니다.

아래 사건들에서 대법원이 구체적으로 살핀 것은 프로그램이 시스템을 훼손하거나 기능을 못 하게 하는지, 아니면 시스템이 예정한 대로 작동하는 범위 안에서 일을 더 빠르게 할 뿐인지였습니다. 다만 물리적 파손이 필수 요건은 아니고, 조문대로 시스템 등의 운용을 방해할 수 있는지도 함께 봅니다.

자동 글쓰기 매크로를 판매한 사건

자동 회원가입, 자동 방문, 이웃 신청 기능으로 포털 카페와 블로그에 게시글과 댓글을 자동 등록하고 쪽지와 초대장을 반복 발송하는 광고용 프로그램을 판매한 사건이 있었습니다. 일부 프로그램은 프록시 서버를 거쳐 접속해 포털의 IP 차단을 피할 수 있게 설계되어 있었습니다. 원심은 악성프로그램이라는 증명이 부족하다며 무죄로 보았습니다.

대법원은 이 프로그램이 일반 사용자가 직접 작업하는 것과 같은 경로와 방법으로 작업을 더 빠르게 반복할 뿐이고, IP 차단 회피 기능도 시스템을 훼손하거나 기능을 물리적으로 못 하게 하는 것이 아니라 시스템이 예정한 대로 작동하는 범위에서 차단 사유에 걸리지 않고 통과하게 돕는 데 불과하며, 서버가 다운되는 등의 장애가 생긴다고 볼 증거도 없다고 보았습니다. 그래서 악성프로그램이라고 단정하기 어렵다며 무죄를 유지했습니다(대법원 2019. 12. 12. 선고 2017도16520 판결). 이 사건에는 개정 전 구 정보통신망법이 적용되었지만, 금지 조항인 제48조 제2항의 문언은 현행법과 같습니다.

IP 변경, 보안문자 우회, 무작위 지연 설정 기능으로 포털의 어뷰징 필터링 프로그램을 우회하도록 만든 자동 작업 프로그램 사건에서도 대법원은 같은 이유로 무죄를 선고한 원심을 유지했습니다(대법원 2020. 4. 9. 선고 2018도16938 판결).

게임 자동조준 프로그램을 판매한 사건

총격 게임에서 처음 사격에 성공한 뒤 상대 캐릭터 근처에 나타나는 체력 표시 이미지를 분석해 그 위치로 마우스 커서를 자동으로 옮겨 주는 프로그램을 판매한 사건에서는 원심이 악성프로그램으로 보아 유죄를 인정했습니다.

대법원은 이 프로그램이 이용자 본인의 의사에 따라 그 컴퓨터에 설치되어 그 안에서만 실행되고, 게임 서버나 데이터, 프로그램 자체를 변경하지 않으며, 일반 이용자가 직접 조준해 사격하는 것과 같은 경로와 방법으로 작업이 수행된다고 보았습니다. 서버를 점거해 다른 이용자의 접속을 어렵게 하거나 대량의 트래픽을 일으키는 등 장애를 일으킨다는 증거도 없다며, 원심판결을 파기했습니다(대법원 2020. 10. 15. 선고 2019도2862 판결).

악성프로그램이 아니라도 다른 조항이 문제 될 수 있습니다

위 판례는 당시 악성프로그램 전달·유포죄에 관한 판단입니다. 현재는 정보통신망법 제48조 제4항이 정당한 사유 없이 정보통신망의 정상적인 보호·인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 설치하거나 전달·유포하는 행위를 별도로 금지하고, 제71조 제1항 제13호는 이를 5년 이하의 징역 또는 5천만원 이하의 벌금으로 처벌합니다. 이 조항은 2024년 개정으로 신설되었습니다. 따라서 과거 판례에서 악성프로그램으로 인정되지 않았다는 이유만으로 현재의 우회 프로그램 배포까지 적법하다고 볼 수는 없습니다. 다만 모든 IP 변경 기능이 이 조항에 해당하는 것은 아니고, 어떤 보호·인증 절차를 우회하는지, 정당한 사유가 있는지, 행위 시점이 언제인지를 따로 판단해야 합니다.

또 위 판결들은 정보통신망법의 악성프로그램 유포죄가 성립하지 않는다는 것이지, 이런 프로그램이 언제나 적법하다는 뜻은 아닙니다. 게임산업진흥에 관한 법률 제32조 제1항 제8호는 게임물의 정상적인 운영을 방해할 목적으로 게임물 관련사업자가 제공하거나 승인하지 않은 컴퓨터프로그램이나 기기를 배포하거나 배포할 목적으로 제작하는 행위를 금지하고, 제46조 제3호의2는 이를 1년 이하의 징역 또는 1천만원 이하의 벌금으로 처벌합니다.

또 형법 제314조 제2항은 정보처리장치에 허위의 정보나 부정한 명령을 입력하는 등의 방법으로 정보처리에 장애를 발생하게 하여 업무를 방해한 경우를 처벌합니다. 프로그램을 판매한 사람과 실제로 사용한 사람, 사용 방식에 따라 검토할 조항이 달라지므로 사건마다 나누어 보아야 합니다.

자동화 프로그램 문제로 수사를 받게 되었다면

첫째, 프로그램의 기능 명세와 소스, 작동 방식을 정리하십시오. 일반 사용자의 작업을 빠르게 반복하는 것인지, 시스템의 데이터나 프로그램을 바꾸는 것인지가 판단의 핵심입니다.

둘째, 대상 서비스의 서버에 실제로 장애나 과부하가 생겼다는 자료가 있는지 확인하십시오. 실제 장애 발생이 성립 요건은 아니지만, 대법원 판결들은 장애를 일으킨다고 볼 증거가 없다는 점을 악성프로그램 여부를 판단하는 사정으로 보았습니다.

셋째, 차단을 피하는 기능이 있다면 그것이 시스템을 훼손하는 방식인지, 시스템이 예정한 범위 안에서 통과하는 방식인지 기술적으로 구분해 설명할 수 있어야 합니다. 아울러 정상적인 보호·인증 절차를 우회하는 기능에 해당하는지, 정보통신망법 제48조 제4항이 적용되는 시점의 행위인지도 함께 검토해야 합니다.

넷째, 게임 관련 프로그램이라면 게임산업법 위반 여부도 함께 검토하십시오.

법무법인 더프라임은 자동화 프로그램 사건을 프로그램의 기술적 구성, 시스템에 미친 영향, 적용 조항의 구분으로 나누어 검토합니다.