이번 사건은 해커가 이스트소프트 등 몇몇 회사 서버를 해킹, 이를 경유해 SK커뮤니케이션즈 고객정보에 침입한 것으로 경찰 중간 수사결과 드러났다.
그렇다면 SK커뮤니케이션즈와 이스트소프트 등 이번 사건에 연루된 회사는 해킹과 관련된 책임을 지게 될까.
SK커뮤니케이션즈는 개인정보 침해를 막기 위한 관리적·기술적 조치를 충분히 하지 않았다면 처벌 대상이 된다. 정보통신망법은 직원이 업무를 하면서 위반 행위를 하면 그 개인뿐 아니라 해당 법인도 처벌하는 양벌 규정을 두고 있다. 범인은 물론이고 개인정보보호 책임자도 처벌받을 수 있는 것이다.
개인정보를 안전하게 관리하기 위한 ‘기술적·관리적 조치를 취하지 않아 이용자의 개인정보를 분실·도난·누출·변조 또는 훼손’한 경우 2년 이하 징역이나 1000만원 이하 벌금에 처할 수 있다.
수사 및 재판 과정에서 SK커뮤니케이션즈가 해킹을 예방하기 위한 최선의 노력을 다했는지가 쟁점이 될 전망이다. 기술적 조치나 관리를 소홀히 한 책임이 인정되면 처벌을 받게 된다. 처벌 자체보단 개인정보 유출로 피해를 입은 사용자와의 민사 소송에서 절대적으로 불리해지는 것이 문제다.
2009년 옥션 해킹 사건 때 개인정보 유출 피해자가 제기한 소송에서 법원은 ‘옥션이 개인정보보호를 위한 최선의 노력을 했다’는 점을 인정해 옥션의 혐의를 벗겨 준 바 있다.
또 SK커뮤니케이션즈가 개인 사용자에게만 무료 배포한 이스트소프트 알툴즈 소프트웨어를 기업에서 업무용으로 사용한 것은 지재권 침해 소지가 있다.
이스트소프트는 개인정보를 보관하지 않는데다 해킹 피해자기 때문에 형사처벌 대상은 되지 않는다. 하지만 보안 소프트웨어를 주력으로 하는 기업으로서 서버가 감염돼 악성코드 유포지가 됐다는 점에서 기업 이미지와 신뢰도 실추가 불가피하다.
알집 업데이트 서버가 해킹 공격에 악용됐고, 백신 프로그램인 알집은 무관하다는 것이 이스트소프트의 입장. 하지만 일부 전문가는 “이스트소프트 알툴즈 제품군이 하나의 패키지인 만큼 알약도 문제가 있을 수 있다”는 의견을 보이고 있다.
김장중 이스트소프트 대표는 “범용 소프트웨어 개발사로서 어떤 형태로든 해킹사건에 연루됐다는 점에서 사용자 여러분께 깊이 사과드린다”며 “업데이트 시스템 및 서버 보안을 더욱 강화해 사용자 신뢰를 회복하겠다”고 말했다.
한편 이번 해킹 공격에 연루된 중소 규모 물류기업과 구인구직기업은 경찰 수사 전까지 자신 서버가 해킹당한 사실을 전혀 몰랐던 것으로 나타났다. 자신도 모르는 사이 기업 전산시스템이 해킹 범죄에 악용될 수 있다는 점에서 더욱 각별한 주의가 필요하다고 경찰은 당부했다.
한세희기자 hahn@etnews.com
