해킹을 당한 기업은 이용자들에게 책임을 져야할까. 기업도 분명 해킹의 피해자이지만, 마땅히 막았어야 할 해킹을 막지 못했다면 이용자에 대한 법적 책임을 질 수 있다. 반대로 기업이 정보보호를 충실히 했음에도 신출귀몰한 해킹을 막지 못했다면 법적 책임을 지지 않는다. 그렇다면 판사는 무엇을 기준으로 불법행위와 불가항력을 구분할까.
최근 이러한 의문점에 해답을 주는 책 '해커 출신 변호사가 해부한 해킹판결'이 출간됐다. 해킹 판결을 모아 해설한 국내도서는 이 책이 최초다. 전 국민의 주민등록번호를 공공재로 전락시킨 2008년 옥션 사고부터 2017년 비트코인이 유출됐던 빗썸 사고까지, 국내의 판결 또는 과징금 처분이 내려진 13건의 사례를 망라적으로 분석한다.
해외 사례도 다룬다. 오픈소수 버그 리포트를 받고도 패치를 제 때 못한 에퀴팩스(Equifax), 지능형 지속 공격(Advanced Persistent Threat)을 당한 야후(Yahoo), 계정 도용(credential stuffing) 공격을 막지 못한 우버(Uber), 이용자의 성적 취향 등 민감정보가 해커에 의해 폭로된 애슐리 매디슨(Ashley Madison) 등 외국의 사고 사례도 생생하게 들려준다.
민·관의 전문가들이 이 책을 추천하는 이유는 '저자'에 있다. 저자인 전승재 변호사는 학부에서 컴퓨터공학을 전공하며 해킹 기술을 공부했다. 로스쿨을 거쳐 대형 로펌 변호사로 변신한 그의 전문분야는 행정소송이다.
전직 해커, 현직 법률가의 눈으로 국내외 해킹 판결을 해부하듯 파헤친다. 해커 출신 1호 교수 김휘강 고려대학교 정보보호대학원 교수, 전자정부의 날 녹조근정훈장을 받은 권헌영 고려대학교 정보보호대학원 교수, 장병규 초대 4차산업혁명위원회 위원장의 추천사가 실려 있다.
법집행 강도가 급전환 된 충격이 시장에 전해지기 전에 '중용적 제도'를 마련해야 한다는 것이 저자의 핵심 주장이다. 국내 초창기 해킹 사건은 정보유출 피해자들이 제기한 민사소송만이 진행됐다. 모든 사건에서 기업은 면피에 성공했다. 하지만 정부가 2014년부터 해킹을 당한 기업에게 개인정보보호법 또는 정보통신망법에 따른 과징금을 부과하면서 판도가 달라졌다.
이제는 과징금 처분의 존재만으로 민사소송에서 기업의 '보안상 과실'이 인정된다. 정부의 과징금이 내려진 해킹 사고에서 정보유출 피해자가 원고명단에 이름만 올리면 위자료를 받을 수 있는 시대가 된 것이다. 저자는 1000만명의 피해자에게 인당 10만원씩만 배상해도 그 금액이 무려 1조원에 이를 수 있다며 그 위험성을 꼬집는다.
