해킹 관련 법규와 처벌 형량 정리 (1990년대 법률 기준)

프로그램을 만들다 보면 남의 사이트를 긁어 오거나, 로그인 과정을 흉내 내거나, 서버 응답을 분석해야 할 때가 있습니다. 그 선을 어디서 넘으면 법적 문제가 되는지 한 번쯤은 알아 둘 필요가 있어서, 해킹에 적용되던 법 조항과 형량을 표로 모아 둔 자료입니다.

먼저 짚어 둘 점이 있습니다. 아래 표는 1990년대 후반 기준 자료입니다. 표에 나오는 "전산망 보급 확장과 이용촉진에 관한 법률"은 이후 정보통신망 이용촉진 및 정보보호 등에 관한 법률(흔히 정보통신망법)로 바뀌었고, "공공기관의 개인정보 보호에 관한 법률"도 지금은 개인정보 보호법으로 통합됐습니다. 다른 법률도 개정을 여러 번 거쳤으니 조문 번호와 형량은 당시 기준으로만 보시고, 실제로 따져 봐야 할 일이 있으면 국가법령정보센터에서 현행 조문을 확인해야 합니다. 그래도 "어떤 행위가 어떤 죄로 묶이는지"를 감 잡는 데는 지금도 쓸모가 있습니다.

형법 (법률 제5057호)

형법 쪽은 전자기록을 조작하거나, 컴퓨터를 망가뜨려 업무를 막거나, 남의 전자기록을 몰래 들여다보는 행위를 각각 별도 조항으로 다룹니다. 공문서 성격의 기록(공전자기록)이냐 개인·회사 기록(사전자기록)이냐에 따라 형량이 갈리는 게 눈에 띕니다.

개발자 입장에서 흔히 간과하는 게 제314조 제2항입니다. 데이터를 훔치지 않았더라도 요청을 과하게 보내 서버를 멈추게 하면 업무방해가 될 수 있다는 뜻이거든요. 크롤러를 돌릴 때 요청 간격을 두라는 말이 예의 차원만은 아닙니다.

특별법 쪽 조항

형법보다 특별법 쪽 벌금 상한이 훨씬 높은 편입니다. 산업정보, 무역정보, 물류정보처럼 분야별 전산망을 따로 보호하는 법이 있었고, 같은 행위라도 어느 시스템을 건드렸느냐에 따라 적용 법이 달라졌습니다.

실제로 처벌된 사례 (1996~1997년)

사례를 보면 실제로 돈을 빼돌린 경우만 처벌된 게 아닙니다. 홈페이지 문구를 바꾸려다 실패한 미수 건도, 메일을 대량으로 보내 시스템을 멈춘 건도 구속까지 갔습니다. 피의자 상당수가 10대였다는 점도 눈에 띄는데, "호기심에 들어가 본 것"이라는 해명이 통하지 않는다는 걸 보여 줍니다.

실무에서 기억해 둘 기준은 단순합니다. 권한 없이 남의 시스템에 들어가는 것, 남의 데이터를 바꾸거나 지우는 것, 과도한 요청으로 서비스를 방해하는 것. 이 세 가지는 의도와 상관없이 문제가 될 수 있으니, 자동화 프로그램을 만들 때는 대상 서비스의 이용약관과 공식 API 제공 여부부터 확인하는 편이 안전합니다.