남의 아이디로 로그인만 해도 처벌될까 — 해킹·계정도용에 적용되는 죄명과 실제 처벌 수위

어느 날 갑자기 "다른 기기에서 로그인되었습니다"라는 알림을 받거나, 내가 하지 않은 결제 내역과 내가 쓰지 않은 게시글을 발견하는 순간 머릿속이 하얘집니다. 반대로 "비밀번호를 알고 있으니 한 번 들어가 봤을 뿐"이라며 대수롭지 않게 생각하다가 경찰서에서 출석 요구를 받고 당황하시는 분들도 많습니다. 해킹과 계정 도용은 '기술적으로 뚫었느냐'가 아니라 '권한 없이 남의 영역에 들어갔느냐'를 기준으로 판단되기 때문에, 생각보다 훨씬 넓은 행위가 형사처벌의 대상이 됩니다. 이 글에서는 계정 도용에 실제로 어떤 죄명이 붙고 법정형은 어느 정도인지, 그리고 피해를 입은 쪽과 혐의를 받게 된 쪽이 각각 무엇부터 해야 하는지를 정리해 드립니다.

'해킹죄'라는 죄명은 없습니다 — 세 층으로 나누어 보십시오

해킹은 법률 용어가 아닙니다. 형법에도 정보통신망법에도 해킹죄라는 조문은 존재하지 않습니다. 실제 사건에서는 하나의 행위가 여러 법률의 여러 조문에 걸쳐 나누어 평가되는데, 다음 세 층으로 정리해 보면 구조가 한눈에 들어옵니다.

• 들어간 행위 자체 — 정보통신망법상 정보통신망 침입죄

• 들어가서 한 행위 — 비밀침해, 컴퓨터등 사용사기, 전자기록 손괴·위작, 컴퓨터등 장애 업무방해, 개인정보 보호법 위반

• 들어가기 위해 쓴 수법 — 악성프로그램 유포, 피싱, 통신비밀보호법 위반, 접근매체 관련 범죄

여기서 반드시 알아 두셔야 할 점은 세 층이 서로 흡수되지 않고 대부분 따로 성립한다는 것입니다. 로그인은 로그인대로, 그 안에서 한 일은 그것대로 별개의 죄가 됩니다. 계정 도용 사건의 죄명이 서너 개씩 붙고, 처음 생각한 것보다 사건이 커지는 이유가 바로 여기에 있습니다.

출발점은 '정보통신망 침입죄'입니다

정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 제48조 제1항은 "누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하여서는 아니 된다"고 정하고 있습니다. 이를 위반하면 3년 이하의 징역 또는 3천만 원 이하의 벌금에 처해지며, 미수범도 처벌됩니다.

조문에서 눈여겨보아야 할 표현은 두 가지입니다. '정당한 접근권한 없이'와 '허용된 접근권한을 넘어'입니다. 앞의 것은 애초에 권한이 없는 사람의 접속을, 뒤의 것은 권한은 있지만 그 범위를 벗어난 내부자의 접속을 겨냥합니다. 다시 말해 보안을 기술적으로 뚫었는지는 이 죄의 요건이 아닙니다. 옆에서 어깨너머로 본 비밀번호를 그대로 입력해 로그인하기만 해도 이 죄는 성립합니다.

'정당한 접근권한'은 계정 주인이 아니라 서비스제공자가 정합니다

판례는 접근권한이 있었는지를 정보통신망을 설치·운영하는 서비스제공자의 의사를 기준으로 판단한다는 태도를 유지하고 있습니다. 계정 명의자가 기준이 아니라, 그 서비스를 운영하는 회사가 기준이라는 뜻입니다. 대부분의 서비스 약관은 계정의 양도·대여와 타인의 사용을 금지하고 있으므로, 명의자에게 "내 계정 좀 써도 돼"라는 허락을 받았더라도 서비스제공자의 의사에 반하는 접속이라면 침입에 해당할 수 있습니다. "본인이 쓰라고 했다"는 항변이 생각만큼 강력하지 않은 이유입니다.

비밀번호를 알고 있었다는 사정은 면죄부가 아닙니다

상담에서 가장 자주 듣는 말이 "원래 알려 준 비밀번호였다", "예전에 같이 쓰던 계정이다"입니다. 그러나 이 죄가 보호하는 것은 비밀번호라는 정보가 아니라 망에 대한 접근 통제 그 자체입니다. 과거에 승낙을 받았더라도 그 승낙이 접속 시점까지 유효하게 유지되고 있어야 하고, 관계가 끝났거나 애초의 목적과 전혀 다른 용도로 접속했다면 그때부터는 권한 없는 접속입니다. 헤어진 연인의 계정, 퇴사한 회사의 시스템, 정산이 끝난 거래처의 관리자 페이지가 모두 여기에 해당합니다.

접속에 성공한 순간 이미 죄가 성립합니다

침입죄는 무엇인가를 가져가야 완성되는 범죄가 아니라 접속 그 자체를 처벌하는 범죄입니다. 로그인에 성공한 시점에 이미 기수가 되고, 안에서 아무것도 보지 않았거나 아무것도 가져오지 않았더라도 성립합니다. "들어가 보기만 하고 그냥 나왔다"는 사정은 범죄 성립을 부정하는 사유가 아니라 양형에서 참작될 자료일 뿐입니다. 나아가 이 죄는 미수범 처벌 규정을 두고 있어, 로그인에 실패한 시도까지도 문제 될 수 있습니다.

침입 이후의 행위에 따라 죄가 하나씩 더해집니다

실제로 처벌 수위를 가르는 것은 침입죄가 아니라 그다음 단계입니다. 침입죄의 법정형은 3년 이하인데, 아래 죄들은 대부분 그보다 무겁습니다.

내용을 들여다본 경우 — 비밀침해죄와 정보통신망법 제49조

들어가서 메일이나 메시지를 읽었다면 두 갈래가 문제 됩니다. 하나는 형법 제316조 제2항의 전자기록등 내용탐지죄로, 비밀장치가 되어 있는 타인의 전자기록을 기술적 수단을 이용해 알아낸 경우 3년 이하의 징역 또는 500만 원 이하의 벌금에 처해집니다. 다만 이 죄는 친고죄여서 피해자의 고소가 있어야 공소를 제기할 수 있습니다.

다른 하나가 실무에서 더 중요한 정보통신망법 제49조입니다. 이 조문은 정보통신망으로 처리·보관·전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용·누설하는 행위를 금지하고, 위반하면 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처합니다. 침입죄보다 법정형이 무겁고 친고죄도 아니어서, 사건에 따라서는 이쪽이 주된 죄명이 됩니다. 확인한 내용을 캡처해 제3자에게 보냈다면 '누설'까지 더해집니다.

돈이나 이익을 얻은 경우 — 컴퓨터등 사용사기죄

계정에 연결된 간편결제로 물건을 사거나, 포인트·마일리지를 옮기거나, 게임 아이템을 팔아 현금화한 경우입니다. 형법 제347조의2는 정보처리장치에 허위의 정보 또는 부정한 명령을 입력하거나 권한 없이 정보를 입력·변경하여 재산상 이익을 취득한 행위를 컴퓨터등 사용사기죄로 정하고 10년 이하의 징역 또는 2천만 원 이하의 벌금에 처합니다. 사람을 속인 것이 아니라 기계를 상대로 한 것이므로 일반 사기죄가 아닌 이 조문이 적용됩니다. 법정형이 침입죄의 세 배가 넘고, 취득한 이익이 5억 원 이상이면 특정경제범죄 가중처벌 등에 관한 법률이 적용되어 형이 크게 높아집니다.

여기서 자주 오해하는 것이 절도죄입니다. 판례는 컴퓨터에 저장된 정보 그 자체는 형법상 '재물'이 아니라고 보아 절도죄의 성립을 부정합니다. 자료를 복사해 나왔더라도 절도가 아니라는 뜻인데, 그렇다고 무죄가 되는 것은 결코 아니고 위 조문들과 업무상배임죄 등으로 의율될 뿐입니다.

지우거나 바꾼 경우, 서비스를 멈추게 한 경우

저장된 파일이나 게시물을 삭제했다면 형법 제366조 재물손괴등죄가 전자기록에도 적용되어 3년 이하의 징역 또는 700만 원 이하의 벌금이 문제 됩니다. 권한 없이 로그를 조작하거나 사용자 정보를 새로 만들어 넣는 등 전자기록의 내용을 만들어 내거나 고친 경우에는 형법 제232조의2 사전자기록등 위작·변작죄(5년 이하의 징역 또는 1천만 원 이하의 벌금)가 적용될 수 있습니다. 판례는 시스템을 설치·운영하는 주체의 의사에 반하여 전자기록을 생성하는 것도 '위작'에 포함된다는 기준을 제시하고 있어 적용 범위가 좁지 않습니다.

나아가 서버를 다운시키거나 홈페이지를 마비시켜 남의 업무를 방해했다면 형법 제314조 제2항 컴퓨터등 장애 업무방해죄로 5년 이하의 징역 또는 1천500만 원 이하의 벌금에 처해집니다. 대량의 신호를 보내 장애를 일으키는 이른바 디도스 공격은 정보통신망법 제48조 제3항 위반으로도 처벌되며, 이 경우 법정형은 5년 이하의 징역 또는 5천만 원 이하의 벌금입니다.

개인정보를 빼내거나 넘긴 경우 — 처벌 수위가 완전히 달라집니다

고객 명단, 회원 정보, 연락처처럼 개인정보에 해당하는 자료를 다루었다면 개인정보 보호법이 함께 적용됩니다. 같은 법 제59조는 정당한 권한 없이 또는 허용된 권한을 초과하여 다른 사람의 개인정보를 훼손·멸실·변경·위조 또는 유출하는 행위와, 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를 금지합니다. 위반하면 5년 이하의 징역 또는 5천만 원 이하의 벌금입니다.

특히 무거운 것은 부정한 수단이나 방법으로 취득한 개인정보를 영리 또는 부정한 목적으로 제3자에게 넘긴 경우입니다. 이때는 10년 이하의 징역 또는 1억 원 이하의 벌금이 적용되고, 이를 교사하거나 알선한 사람도 같습니다. 개인정보를 사고파는 흐름에 한 번 발을 들이면 처벌 수위가 다른 차원으로 올라간다는 점을 반드시 염두에 두셔야 합니다. 빼낸 자료가 회사 자료라면 부정경쟁방지 및 영업비밀보호에 관한 법률상 영업비밀 침해죄와 업무상배임죄까지 겹치는 것이 보통이고, 사진이나 영상이 포함되어 이를 유포했다면 성폭력범죄의 처벌 등에 관한 특례법이 적용될 수도 있습니다.

악성프로그램·피싱을 쓴 경우 — 수법 자체가 별도의 죄입니다

비밀번호를 알아내기 위해 키로거나 원격제어 프로그램을 심었다면 정보통신망법 제48조 제2항이 금지하는 악성프로그램 전달·유포에 해당합니다. 법정형은 7년 이하의 징역 또는 7천만 원 이하의 벌금으로 침입죄보다 훨씬 무겁고, 그 프로그램이 실제로 작동했는지와 무관하게 전달·유포 자체가 처벌 대상입니다.

가짜 로그인 화면이나 문자로 속여서 아이디·비밀번호를 입력하게 한 경우는 정보통신망법 제49조의2가 금지하는 행위로, 3년 이하의 징역 또는 3천만 원 이하의 벌금에 처해집니다. 여기에 실제 송금까지 이루어졌다면 사기죄나 컴퓨터등 사용사기죄가, 이른바 대포통장이 동원되었다면 전자금융거래법 위반이 더해집니다. 통신 자체를 실시간으로 가로챈 경우라면 통신비밀보호법 위반이 문제 되는데, 이 법의 법정형은 1년 이상 10년 이하의 징역과 5년 이하의 자격정지로 벌금형 자체가 없어 특히 무겁습니다.

실무에서 자주 오해하는 상황들

조문만 보면 멀게 느껴지지만, 정작 상담에서 가장 많이 등장하는 것은 아래와 같은 일상적인 장면들입니다. 공통점은 당사자가 "이 정도는 괜찮겠지"라고 생각했다는 점입니다.

• 연인이나 배우자의 계정을 몰래 확인한 경우 — 가장 흔한 유형입니다. 외도 증거를 찾겠다는 동기가 있어도 침입죄와 비밀침해죄의 성립에는 영향이 없습니다. 확인한 내용을 캡처해 두거나 주변에 알리면 누설·명예훼손까지 문제 되고, 그렇게 얻은 자료를 이혼소송 증거로 쓰려다 별건 형사사건을 자초하는 경우가 적지 않습니다.

• 퇴사를 앞두고 회사 시스템에 접속한 경우 — 재직 중이라도 업무와 무관한 자료를 조회하거나 대량으로 내려받으면 '허용된 접근권한을 넘어선' 접속이 됩니다. 퇴사 후 반납하지 않은 계정으로 접속했다면 권한 없는 접속임이 더욱 분명해집니다. 이 유형은 회사가 접속 로그를 그대로 보관하고 있어 사실관계 자체는 다툼이 되지 않는다는 특징이 있습니다.

• 내가 만들어 주었거나 함께 쓰던 계정인 경우 — 명의가 상대방으로 되어 있고 현재 상대방이 관리하고 있다면, 처음 개설한 사람이 누구인지는 결정적이지 않습니다. 동업이 깨진 뒤 쇼핑몰이나 SNS 관리자 계정에 접속하는 사례가 대표적입니다.

• 다른 곳에서 유출된 비밀번호를 그대로 넣어 본 경우 — 유출된 아이디·비밀번호 목록을 여러 사이트에 대입해 보는 방식은 한 건이라도 로그인에 성공하면 그 자체로 침입죄이고, 자동화 도구를 사용했다면 죄질이 훨씬 무겁게 평가됩니다.

• 로그인된 상태로 남아 있는 기기를 사용한 경우 — 비밀번호를 직접 입력하지 않았더라도 권한 없이 타인의 계정 영역에 접근했다는 점은 같습니다. 다만 접근 경위와 고의를 다툴 여지는 상대적으로 넓은 편입니다.

계정을 도용당했다면 — 피해자의 대응 순서

계정 도용 사건은 초기 며칠이 사실상 결과를 좌우합니다. 접속기록이 남아 있는 기간이 길지 않기 때문입니다.

1. 비밀번호 변경보다 접속기록 캡처가 먼저입니다. 대부분의 포털·SNS·게임 서비스는 최근 접속 일시와 IP, 접속 기기 목록을 제공합니다. 화면을 캡처하고 내려받을 수 있으면 파일로도 보관하십시오. 결제·송금 내역, 변경된 설정, 도용자가 남긴 게시물이나 메시지도 같은 방법으로 보존합니다. 비밀번호를 먼저 바꾸면 일부 서비스에서 기록 확인이 어려워지는 경우가 있습니다.

2. 그다음 계정을 잠급니다. 비밀번호를 변경하고, 모든 기기에서 로그아웃한 뒤, 2단계 인증을 설정합니다. 같은 비밀번호를 사용하던 다른 서비스도 함께 바꾸어야 피해가 번지지 않습니다. 연결된 결제수단과 자동로그인 기기를 해제하는 것도 잊지 마십시오.

3. 금전 피해가 있다면 즉시 결제사·금융회사에 신고합니다. 카드사, 간편결제사, 거래소에 부정사용 신고를 하고 거래 정지를 요청합니다. 전자금융거래법은 접근매체의 위조·변조나 전자적 침해행위로 발생한 사고에 대하여 금융회사가 원칙적으로 책임을 지도록 정하고 있으므로, 신고 시점이 기록으로 남는 것이 중요합니다.

4. 수사기관에 신고합니다. 경찰청 사이버범죄 신고상담 시스템이나 관할 경찰서 사이버수사팀을 이용할 수 있습니다. 인터넷 접속기록은 통신비밀보호법령상 보관 의무기간이 3개월에 불과하여, 신고가 늦으면 수사기관이 IP를 추적하려 해도 자료가 이미 삭제된 뒤인 경우가 많습니다. 서두르셔야 하는 가장 현실적인 이유입니다.

5. 2차 피해를 차단합니다. 개인정보가 유출되었다면 한국인터넷진흥원의 개인정보 침해 신고상담(국번 없이 118)을 이용할 수 있고, 명의도용이 의심되면 명의도용방지서비스로 내 이름으로 개통된 통신 회선을 확인하고 가입 제한을 걸어 둘 수 있습니다. 지인에게 사칭 메시지가 발송되었다면 즉시 알려 추가 사기를 막아야 합니다.

6. 민사상 손해배상도 함께 검토합니다. 가해자에 대해서는 재산상 손해와 위자료를, 보안 조치를 소홀히 한 사업자에 대해서는 개인정보 보호법·정보통신망법상 책임을 물을 수 있는지 살펴봅니다. 형사절차만으로는 피해액이 자동으로 회복되지 않습니다.

수사 대상이 되었다면 — 무엇을 다투고 무엇을 준비할 것인가

"별생각 없이 한 일"이라며 혼자 조사를 받으러 갔다가 사건이 커지는 경우가 많습니다. 이 유형은 서버 로그라는 객관적 증거가 남아 있어 '하지 않았다'는 다툼이 통하기 어렵고, 대신 접근권한의 범위와 고의, 그리고 침입 이후 무엇을 했는지가 실질적인 쟁점이 됩니다.

1. 접근권한의 존부와 범위를 먼저 정리합니다. 언제 어떤 경위로 계정 정보를 알게 되었는지, 명의자나 회사로부터 어느 범위의 승낙을 받았는지, 그 승낙이 언제까지 유효했는지를 대화 기록과 문서로 정리합니다. 이 사건 유형의 핵심 방어선입니다.

2. 침입 이후의 행위를 사실대로 특정합니다. 앞서 본 것처럼 죄명은 '들어가서 무엇을 했는가'에 따라 급격히 무거워집니다. 열람만 한 사건과 자료를 내려받아 제3자에게 넘긴 사건은 결과가 전혀 다릅니다. 무리하게 축소했다가 로그와 대조되는 순간 신빙성을 잃고 오히려 불리해집니다.

3. 임의제출과 압수수색에 신중하게 대응합니다. 휴대전화나 컴퓨터를 그대로 제출하면 이 사건과 무관한 자료까지 확인되어 별건 수사로 이어질 수 있습니다. 제출 범위와 참여권에 관하여 미리 검토를 받으시기 바랍니다.

4. 피해 회복과 합의를 서두릅니다. 비밀침해죄는 친고죄이므로 고소 취소가 곧 사건 종결로 이어지고, 나머지 죄들도 피해 회복과 합의가 기소 여부와 양형을 좌우하는 가장 큰 요소입니다. 확보한 자료를 폐기하고 그 사실을 확인해 주는 것 역시 중요한 양형 자료가 됩니다.

실무상 처벌 수위는 편차가 매우 큽니다. 한 번 들어가 본 정도의 초범 사건은 벌금형이나 기소유예로 마무리되는 경우가 적지 않지만, 영리 목적이 있거나, 대량의 개인정보가 유출되었거나, 악성프로그램·자동화 도구가 동원되었거나, 확보한 자료로 협박·유포가 이루어진 경우에는 실형이 선고되는 사건이 됩니다. 초기에 어느 쪽 사건으로 자리 잡느냐가 결국 결과를 갈라놓습니다.

자주 묻는 질문

상대방이 예전에 알려 준 비밀번호로 들어갔습니다. 그래도 처벌되나요?

처벌될 수 있습니다. 접근권한은 접속하는 그 시점에 유효하게 존재해야 합니다. 과거에 알려 준 사실이 있다는 것만으로 계속 권한이 있다고 보지는 않으며, 관계가 정리된 뒤나 애초의 목적과 다른 용도로 접속했다면 권한 없는 접속으로 평가됩니다. 더욱이 판례는 접근권한의 기준을 계정 명의자가 아니라 서비스제공자의 의사에서 찾고 있어, 명의자의 동의가 있었다고 하여 언제나 면책되는 것도 아닙니다.

로그인만 하고 아무것도 하지 않았는데 죄가 되나요?

됩니다. 정보통신망 침입죄는 접속 자체를 처벌하는 범죄이므로, 열람하거나 가져간 것이 없어도 로그인에 성공한 시점에 성립합니다. 다만 실질적인 피해가 없다는 사정은 기소 여부와 양형에서 의미 있게 참작됩니다. 반대로 안에서 무엇인가를 확인했다면 비밀침해나 정보통신망법 제49조 위반이 추가되므로, 이 차이는 결과에 매우 크게 작용합니다.

계정을 도용당해 손해가 생겼는데 범인을 찾지 못하면 어떻게 되나요?

가해자를 특정하지 못하더라도 사업자를 상대로 한 책임 검토가 남아 있습니다. 개인정보처리자가 안전조치 의무를 다하지 않아 개인정보가 유출된 경우 손해배상 책임을 물을 수 있고, 개인정보 보호법은 실제 손해액을 증명하기 어려운 정보주체를 위하여 300만 원 이하의 범위에서 손해액을 정해 청구할 수 있는 법정손해배상 제도를 두고 있습니다. 금전 피해라면 앞서 본 전자금융거래법상 금융회사의 책임도 함께 검토해야 합니다.

제 계정으로 누군가 범죄를 저질렀습니다. 제가 처벌받나요?

계정 명의자라는 이유만으로 처벌되지는 않습니다. 다만 실제로 도용당한 것인지, 빌려준 것인지가 쟁점이 되므로 접속기록과 사용 경위를 명확히 밝히는 것이 중요합니다. 만약 사정을 알면서 계정을 빌려주었다면 방조 책임이 문제 될 수 있고, 특히 금융 계정의 접근매체를 대여·양도한 행위는 전자금융거래법이 그 자체로 3년 이하의 징역 또는 2천만 원 이하의 벌금에 처하도록 정하고 있으니 각별히 주의하셔야 합니다.

해외에서 접속한 사람이라면 처벌이 어렵지 않나요?

법적으로는 처벌이 가능합니다. 대한민국 안에 있는 서버나 이용자를 대상으로 삼아 국내에서 결과가 발생했다면 우리 형법을 적용할 수 있습니다. 현실적인 어려움은 처벌 근거가 아니라 신병 확보와 증거 수집에 있으며, 국제형사사법공조와 인터폴 절차를 통해 수사가 진행됩니다. 다만 시간이 오래 걸리므로, 형사 절차와 별도로 계정·결제 차단과 민사적 회수 방안을 병행하는 것이 현실적입니다.

법무법인 도모가 함께하겠습니다

계정 도용 사건은 "누가 봐도 명백한 해킹"과 "설마 이것도 죄가 되나 싶은 접속" 사이의 경계에 놓인 경우가 대부분입니다. 그리고 그 경계는 기술 수준이 아니라 접근권한이 어디까지 있었는지, 들어가서 무엇을 했는지, 그 자료가 어디까지 퍼졌는지라는 세 가지 질문으로 갈립니다. 똑같은 로그인 한 번이 벌금형으로 마무리되기도 하고, 개인정보 유출과 협박이 겹쳐 실형으로 이어지기도 하는 이유가 여기에 있습니다.

피해를 입으셨다면 접속기록이 남아 있는 동안 증거를 붙잡는 것이, 조사를 받게 되셨다면 첫 진술로 사건의 성격이 굳어지기 전에 접근권한과 행위 범위를 정리하는 것이 가장 중요합니다. 어느 쪽이든 시간이 지날수록 선택지가 줄어드는 사건입니다. 계정 도용이나 정보통신망 침해 문제로 고민하고 계신다면 법무법인 도모로 문의해 주시기 바랍니다. 확보된 접속기록과 사실관계를 바탕으로 실제로 문제 되는 죄명의 범위와 현실적인 대응 방향을 함께 짚어 드리겠습니다.