랜섬웨어에 감염됐습니다, 몸값을 보내야 할까요 — 랜섬웨어 피해 대응의 법적 순서와 기업이 지는 책임

어느 날 아침 서버의 파일이 하나도 열리지 않고, 확장자가 낯선 이름으로 바뀌어 있으며, 화면에는 "당신의 파일은 암호화되었다. 기한 안에 비트코인을 보내라"는 메모가 떠 있습니다. 랜섬웨어 피해는 대개 이렇게 시작됩니다. 이때 머릿속을 채우는 질문은 보통 두 가지입니다. "복구가 되기는 하는가", 그리고 "돈을 보내야 하는가". 그러나 실무에서 결과를 가르는 것은 그 두 가지가 아니라, 감염을 확인한 직후 며칠 동안 무엇을 어떤 순서로 했는가입니다. 초기 대응은 형사 수사의 성패뿐 아니라, 나중에 회사가 지게 될 책임의 크기까지 결정합니다. 이 글에서는 랜섬웨어가 우리 법에서 어떤 범죄인지, 피해자는 언제 어디에 신고해야 하는지, 몸값 지급에 어떤 문제가 따르는지, 그리고 피해자인 기업이 오히려 책임을 추궁당하는 지점은 어디인지를 순서대로 정리해 드립니다.

랜섬웨어는 우리 법에서 어떤 범죄인가

랜섬웨어는 하나의 죄명이 아닙니다. 침입 → 악성프로그램 실행 → 데이터 암호화·탈취 → 대가 요구라는 각 단계가 서로 다른 법률의 서로 다른 조문에 걸립니다. 신고서를 쓸 때도, 나중에 손해를 계산할 때도 단계별로 나누어 보는 것이 정확합니다.

정보통신망법 — 침입죄와 악성프로그램 유포죄

정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 제48조 제1항은 정당한 접근권한 없이, 또는 허용된 권한을 넘어 정보통신망에 침입하는 것을 금지하고, 이를 위반하면 제71조에 따라 5년 이하의 징역 또는 5천만 원 이하의 벌금에 처합니다. 관리자 계정을 탈취해 원격으로 서버에 들어온 순간 이미 이 죄가 성립합니다.

랜섬웨어 사건의 중심 조문은 같은 조 제2항입니다. 정당한 사유 없이 정보통신시스템·데이터·프로그램을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램, 즉 악성프로그램을 전달하거나 유포하는 행위를 금지하고 있고, 위반 시 제70조의2에 따라 7년 이하의 징역 또는 7천만 원 이하의 벌금이라는 비교적 무거운 법정형이 적용됩니다.

여기에 제49조는 정보통신망으로 처리·보관·전송되는 타인의 정보를 훼손하거나 타인의 비밀을 침해·도용·누설하는 행위를 금지하고 있습니다(제71조, 5년 이하의 징역 또는 5천만 원 이하의 벌금). 파일을 암호화해 못 쓰게 만든 것은 정보의 훼손에, 내부 자료를 빼내 공개하겠다고 하는 것은 비밀 침해에 해당할 수 있습니다.

형법 — 손괴와 업무방해, 그리고 공갈

형법도 함께 적용됩니다. 제366조 재물손괴등은 재물이나 문서뿐 아니라 '전자기록등 특수매체기록'을 손괴하거나 기타 방법으로 그 효용을 해한 경우까지 처벌합니다(3년 이하의 징역 또는 700만 원 이하의 벌금). 파일을 물리적으로 파괴한 것은 아니지만 사용할 수 없게 만들었다면 효용을 해한 것으로 볼 수 있습니다.

업무가 멈춘 부분은 제314조 제2항, 이른바 컴퓨터등장애 업무방해가 문제 됩니다. 정보처리장치나 전자기록을 손괴하거나 부정한 명령을 입력하는 등의 방법으로 정보처리에 장애를 발생하게 해 업무를 방해한 경우로, 5년 이하의 징역 또는 1,500만 원 이하의 벌금에 처해집니다. 병원 진료가 중단되거나 생산 라인이 멈춘 사안에서 실제로 문제 되는 조문입니다.

그리고 돈을 요구한 부분은 공갈죄(제350조, 10년 이하의 징역 또는 2천만 원 이하의 벌금)입니다. 돈을 보내지 않아 실제로 재산이 넘어가지 않았더라도 미수범으로 처벌됩니다(제352조). 조직적으로 역할을 나누어 움직였다면 형법 제114조의 범죄단체조직·가입·활동죄까지 검토됩니다. 즉 랜섬웨어 공격 한 건에 여러 죄가 동시에 성립하는 구조이고, 그만큼 양형도 무거워집니다.

이중갈취·삼중갈취 — 수법이 바뀌면 법적 문제도 바뀝니다

요즘 공격은 곧바로 암호화하지 않습니다. 먼저 내부망에 오래 머물며 자료를 조용히 빼낸 뒤 암호화하고, "돈을 주지 않으면 유출한 자료를 공개하겠다"고 압박하는 이중갈취가 표준이 되었습니다. 여기에 고객·거래처에 직접 연락하거나 서비스 마비 공격을 병행하는 삼중갈취까지 등장했습니다.

이 변화가 갖는 실무적 의미는 분명합니다. 백업으로 복구에 성공했더라도 사건이 끝나지 않는다는 것입니다. 자료 유출이 함께 일어났다면 개인정보 유출 통지·신고 의무, 정보주체에 대한 손해배상, 영업비밀·기술자료 유출 문제가 그대로 남습니다. "복구했으니 조용히 넘어가자"는 판단이 나중에 가장 큰 화근이 되는 이유입니다.

감염을 확인한 직후 며칠이 사건 전체를 좌우합니다

순서를 정리하면 다음과 같습니다. 기술적 복구와 법적 대응이 동시에 굴러가야 합니다.

1. 확산부터 끊습니다. 감염이 확인된 장비와 공유 폴더, 백업 서버를 네트워크에서 분리합니다. 특히 백업 저장소가 같은 망에 연결되어 있으면 함께 암호화되므로 분리 우선순위가 가장 높습니다.

2. 포맷·재설치·전체 초기화는 멈춥니다. 뒤에서 설명하듯 이 단계에서 증거가 사라지면 되돌릴 수 없습니다.

3. 피해 범위를 확인합니다. 어떤 서버가 언제부터 감염됐는지, 그리고 자료가 밖으로 나갔는지를 봅니다. 대용량 외부 전송 기록이 핵심 단서입니다.

4. 신고합니다. 수사기관 신고와 별도로, 법이 정한 신고·통지 의무가 있는지 즉시 확인합니다. 기한이 시간 단위로 정해져 있습니다.

5. 복구를 시도합니다. 백업 복원과 함께, 해당 변종의 복호화 도구가 이미 공개되어 있는지 확인합니다.

6. 모든 판단을 기록합니다. 누가 언제 무엇을 알았고 어떤 조치를 했는지 시간순으로 남깁니다. 이 기록이 이후 "지체 없이 대응했는가"를 다투는 자료가 됩니다.

전원을 끄고 포맷하기 전에 반드시 해야 할 것

담당자가 가장 먼저 하는 행동이 대개 재부팅과 포맷, 백신 전체 검사입니다. 그런데 이것이 범인을 특정할 수 있는 유일한 자료를 지우는 행위인 경우가 많습니다. 다음은 최소한 원본 그대로 보전해야 합니다.

• 랜섬노트 원본과 암호화된 파일 샘플 — 변종 식별과 복호화 도구 확인의 출발점입니다.

• 접속·인증 로그 — 방화벽, VPN, 원격데스크톱, 서버 로그인 기록. 보존 기간이 짧아 며칠 만에 덮어써지는 경우가 흔합니다.

• 계정과 권한 변경 이력 — 낯선 계정이 생성되거나 관리자 권한이 부여된 시점이 침입 경로를 말해 줍니다.

• 최초 유입 경로 자료 — 의심 메일은 본문만이 아니라 헤더를 포함한 원문으로 보관합니다.

• 협박 메시지와 가상자산 지갑 주소 — 대화 창구, 요구 금액, 기한이 그대로 남아야 합니다. 지갑 주소는 자금 추적의 열쇠입니다.

가능하다면 감염 장비의 디스크 이미지를 통째로 떠 두는 것이 가장 안전합니다. 급하게 서버를 밀어 버린 뒤 "범인을 잡아 달라"고 신고해도 수사가 진행될 재료가 남지 않는 경우가 실제로 적지 않습니다.

신고는 어디에, 언제까지 해야 하나

피해 신고 — 수사기관과 KISA

형사 신고는 경찰청 사이버범죄 신고시스템이나 관할 시·도경찰청 사이버수사대에 합니다. 기술적 지원은 한국인터넷진흥원(KISA) 인터넷침해대응센터(국번 없이 118)가 창구이며, 중소기업의 경우 침해사고 원인 분석과 복구를 지원받을 수 있습니다. 이미 알려진 변종은 복호화 도구가 무료로 공개되어 있는 경우가 있어, 몸값을 보내기 전에 이 확인부터 하는 것이 순서입니다.

법이 정한 신고·통지 의무 — 기한이 정해져 있습니다

피해 신고와 별개로, 기업에는 법적 의무로서의 신고가 따로 있습니다.

첫째, 정보통신망법 제48조의3은 정보통신서비스 제공자 등에게 침해사고가 발생하면 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 정하고 있고, 최근 법 개정으로 사고를 인지한 때부터 24시간 이내에 우선 신고하고 이후 상세 내용을 보완하도록 기한이 명확해졌습니다.

둘째, 개인정보가 함께 유출됐다면 개인정보 보호법 제34조가 적용됩니다. 개인정보처리자는 유출 사실을 알게 된 때부터 72시간 이내에 정보주체에게 통지하고, 일정한 경우 개인정보보호위원회 또는 한국인터넷진흥원에 신고해야 합니다. 신고 대상은 1천 명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보나 고유식별정보가 유출된 경우, 외부의 불법적인 접근에 의해 유출된 경우인데, 랜섬웨어는 그 성격상 마지막 요건에 바로 해당하는 것이 보통입니다.

통지에는 유출된 항목, 시점과 경위, 피해를 줄이기 위해 정보주체가 할 수 있는 조치, 회사의 대응과 구제 절차, 문의 창구가 들어가야 합니다. 실무에서 가장 위험한 판단은 "범위가 다 확인되면 한꺼번에 알리자"는 것입니다. 기한은 조사 완료 시점이 아니라 인지 시점부터 흘러가므로, 확인된 범위만이라도 먼저 알리고 이후 보완하는 방식이 원칙입니다. 의무를 어기면 과태료 대상이 될 뿐 아니라, 은폐로 평가되면 이후 과징금과 양형에서 결정적으로 불리해집니다.

몸값을 보내도 되는가

가장 많이 받는 질문입니다. 결론부터 말씀드리면, 우리나라에는 랜섬웨어 몸값 지급 자체를 처벌하는 규정이 없습니다. 피해자가 공갈 범인에게 돈을 건넨 것이므로 지급 행위 자체가 범죄가 되지는 않습니다. 다만 지급을 결정하기 전에 다음을 반드시 함께 따져야 합니다.

• 복구가 보장되지 않습니다. 복호화 키를 받지 못하거나, 받아도 일부만 복구되는 사례가 많고, 지급 이력이 남으면 재차 표적이 되기도 합니다.

• 유출된 자료를 지웠다는 약속은 확인할 방법이 없습니다. 돈을 보냈다고 해서 통지·신고 의무가 사라지지 않습니다. 지급은 법적 의무의 면제 사유가 아닙니다.

• 국제 제재 문제가 있습니다. 국제적으로 제재 대상에 오른 해킹 조직에 자금을 보내면 해외 규제기관의 문제 제기 대상이 될 수 있습니다. 해외 거래나 해외 금융기관과의 관계가 있는 기업은 특히 신중해야 합니다.

• 자금 흐름을 설명할 수 있어야 합니다. 가상자산 매수와 송금 내역, 회계 처리, 내부 결재 근거가 남지 않으면 이후 세무·감사·내부 분쟁에서 다른 문제가 생깁니다.

법인이라면 여기에 하나가 더 붙습니다. 회사 자금으로 몸값을 지급하는 결정은 이사와 경영진의 선관주의의무 문제와 연결될 수 있습니다. 사후에 문제 되지 않으려면 대안 검토(백업 복구 가능성, 복호화 도구 유무, 피해 규모 산정), 외부 전문가 자문, 내부 의사결정 기록이 남아 있어야 합니다. 정리하면 지급은 언제나 마지막 선택지이고, 그 전에 신고와 법률 검토가 먼저입니다.

피해자인데 다시 책임을 지게 되는 지점

랜섬웨어 사건의 가장 곤혹스러운 부분은, 공격당한 기업이 피해자인 동시에 조사 대상이 된다는 점입니다. 수사기관은 범인을 쫓지만, 규제기관은 "이 회사가 지킬 것을 지켰는가"를 봅니다.

안전조치의무 위반 — 형사처벌과 과징금

개인정보 보호법 제29조는 개인정보처리자에게 분실·도난·유출·위조·변조·훼손을 막기 위한 안전성 확보 조치를 하도록 정하고 있습니다. 이를 위반해 개인정보가 유출된 경우 제73조에 따라 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처해질 수 있고, 제64조의2에 따라 전체 매출액의 100분의 3을 넘지 않는 범위에서 과징금이 부과될 수 있습니다(위반행위와 관련 없는 매출액은 제외).

조사에서 실제로 문제 되는 것은 거창한 보안 체계가 아니라 기본입니다. 관리자 계정 비밀번호 관리, 접근권한의 최소 부여와 퇴사자 계정 정리, 접속기록의 보관과 정기 점검, 외부 원격접속 통제, 알려진 취약점에 대한 보안 패치 적용, 개인정보 암호화 저장 여부가 그것입니다. 특히 이미 공개된 취약점을 오래 방치했는지가 책임 판단의 갈림길이 됩니다.

유출된 개인정보 주체들에 대한 손해배상

고객·직원의 개인정보가 유출됐다면 민사 청구가 뒤따릅니다. 개인정보 보호법 제39조는 정보주체가 손해배상을 청구할 수 있도록 하면서, 고의나 과실이 없었다는 점을 개인정보처리자가 증명하도록 입증책임을 뒤집어 두었습니다. 피해자가 회사의 잘못을 밝혀야 하는 일반 원칙과 반대입니다. 또 제39조의2는 실제 손해를 증명하기 어려운 정보주체가 300만 원 이하의 범위에서 법정손해배상을 청구할 수 있게 하고 있고, 고의나 중대한 과실이 인정되면 실손해를 넘는 배상액을 정할 수 있는 징벌적 손해배상 규정도 있습니다.

전산 업무를 외부에 맡겼다는 사정만으로 벗어날 수도 없습니다. 개인정보 처리를 위탁한 경우 수탁자를 위탁한 자의 소속 직원으로 보아 손해배상책임을 지도록 하고 있기 때문에, 유지보수업체의 부주의로 감염됐더라도 정보주체에 대해서는 위탁한 기업이 먼저 책임을 지고 이후 업체에 구상하는 구조가 됩니다.

다만 법원이 유출 사실만으로 곧바로 위자료를 인정하는 것은 아닙니다. 판례는 유출된 정보의 성격과 범위, 유출 경위, 제3자의 열람 가능성과 2차 피해 발생 여부, 사고 후 회사가 취한 조치 등을 종합해 정신적 손해를 판단한다는 기준을 제시하고 있습니다. 하급심에서는 같은 사고를 두고도 결론이 엇갈리는 경우가 있는데, 그 차이를 만드는 것이 대개 사고 직후의 통지와 조치 기록입니다.

손해를 회복하는 현실적인 경로

가해자 추적과 가상자산 몰수·추징

공격자 상당수가 해외에 있어 검거가 쉽지 않은 것은 사실입니다. 그러나 최근에는 가상자산 지갑 흐름을 추적해 국내 환전·인출 조력자를 먼저 검거하고, 그 진술로 조직 구조를 밝히는 방식의 수사가 이루어집니다. 범죄수익은닉의 규제 및 처벌 등에 관한 법률에 따라 범죄수익은 몰수·추징 대상이 되고, 가상자산도 몰수 대상이 될 수 있다는 것이 판례의 태도입니다. 다만 이 모든 절차는 피해자가 신고하고 지갑 주소와 협박 메시지를 제출해 두어야 시작됩니다. 신고하지 않은 피해는 통계에도, 수사에도 존재하지 않습니다.

보안·유지보수 위탁업체에 대한 책임 추궁

실제로 손해를 회수할 가능성이 더 높은 쪽은 이쪽입니다. 전산 유지보수, 보안관제, 클라우드 운영, 시스템 구축 계약을 맺고 있었다면 그 계약에 정해진 의무가 지켜졌는지를 따져야 합니다. 정기 점검과 패치 적용, 백업의 분리 보관과 복구 검증, 이상징후 탐지와 통보 같은 의무를 이행하지 않았다면 민법 제390조의 채무불이행이나 제750조의 불법행위를 근거로 손해배상을 청구할 수 있습니다. 특히 백업까지 함께 암호화된 사안에서는 백업을 물리적·논리적으로 분리해 관리할 의무를 다했는지가 핵심 쟁점이 됩니다.

그래서 계약서와 서비스 수준 합의서, 작업일지, 점검보고서, 담당자 사이의 메신저·메일을 초기에 확보해 두어야 합니다. 사고 직후 업체가 무상 복구를 제안하며 "이후 일체의 책임을 묻지 않는다"는 확인서에 서명을 요구하는 경우가 있는데, 피해 규모가 확정되기 전에 서명하면 나중에 드러난 손해까지 막히므로 반드시 검토를 거쳐야 합니다. 사이버보험에 가입되어 있다면 사고 통지 기한과 사전 동의 조항도 함께 확인하시기 바랍니다. 보험사 동의 없이 지출한 복구비용이나 협상비용은 보상에서 제외되는 경우가 있습니다.

자주 묻는 질문

몸값을 보내면 저희도 처벌을 받나요?

현행법상 지급 행위 자체를 처벌하는 규정은 없습니다. 회사는 공갈 범죄의 피해자입니다. 다만 지급했다고 해서 개인정보 유출 통지·신고 의무가 면제되지 않고, 국제 제재 대상 조직에 자금이 흘러가는 경우 별도의 문제가 생길 수 있습니다. 지급 여부와 무관하게 신고와 통지는 그대로 진행되어야 합니다.

범인이 해외에 있는 것 같은데 신고할 실익이 있나요?

있습니다. 첫째, 국내 조력자가 검거되는 경우가 적지 않고 몰수·추징을 통한 피해 회복 가능성이 열립니다. 둘째, 여러 피해 신고가 모여야 동일 조직의 소행으로 연결되어 수사 단서가 확보됩니다. 셋째, 실무적으로 더 중요한 이유인데, 신고와 초기 대응 기록 자체가 이후 규제기관 조사와 손해배상 소송에서 회사가 성실히 대응했음을 보여 주는 자료가 됩니다.

신고하면 오히려 저희 회사의 보안 부실이 드러나 조사를 받게 되는 것 아닌가요?

그 걱정 때문에 신고를 미루는 경우가 많은데, 결과는 대체로 반대입니다. 신고·통지 의무를 어기면 그 자체로 제재 대상이 되고, 뒤늦게 사실이 알려지면 은폐로 평가되어 과징금과 손해배상 판단에서 훨씬 불리하게 작용합니다. 반면 기한 내에 신고하고 정보주체에게 알리며 재발 방지 조치를 한 사정은 유리한 정상으로 고려됩니다.

백업으로 전부 복구했습니다. 그래도 신고나 통지를 해야 하나요?

복구 여부와 유출 여부는 별개입니다. 요즘 공격은 암호화 전에 자료를 먼저 빼내는 방식이 일반적이므로, 복구에 성공했더라도 외부로 나간 데이터가 있는지를 반드시 확인해야 합니다. 개인정보가 유출됐다면 복구와 무관하게 통지·신고 의무가 발생합니다. 로그가 지워져 유출 여부를 확인할 수 없는 상태가 가장 불리하므로, 이 점에서도 초기 증거 보전이 중요합니다.

직원이 피싱 메일을 열어 감염됐습니다. 그 직원에게 책임을 물을 수 있나요?

고의로 악성 파일을 실행하거나 외부와 공모한 것이 아니라면, 업무 수행 중의 부주의를 이유로 손해 전액을 직원에게 떠넘기기는 어렵습니다. 법원은 사용자가 근로자에게 손해배상이나 구상을 구하는 경우, 업무의 성격과 위험도, 회사의 교육·관리 체계, 급여 수준 등을 고려해 책임을 상당 부분 제한하는 태도를 취하고 있습니다. 오히려 보안교육을 실시하지 않았거나 메일 필터링을 방치한 사정은 회사의 안전조치의무 위반으로 평가될 수 있습니다.

법무법인 도모가 함께하겠습니다

랜섬웨어 사건에서 실제로 결과를 가르는 것은 복구 성공 여부가 아니라, 초기 며칠 동안 증거를 남겼는지, 기한 안에 신고했는지, 그리고 유출 여부를 확인했는지입니다. 이 세 가지가 형사 수사의 진행 가능성, 규제기관 조사에서의 평가, 정보주체와의 손해배상 분쟁, 위탁업체에 대한 책임 추궁 가능성을 한꺼번에 좌우합니다. 반대로 이 시기를 놓치면 범인도 특정하지 못하고, 책임은 고스란히 피해 기업에 남는 결과가 됩니다.

지금 감염이 확인되어 몸값 지급 여부를 두고 시간에 쫓기고 계시거나, 통지·신고 기한이 이미 흘러가고 있는 상황이라면, 서둘러 서버를 밀거나 확인서에 서명하시기 전에 먼저 점검해 보시기를 권합니다. 이미 복구를 마친 뒤라도 유출 범위와 신고 의무, 위탁업체에 물을 수 있는 책임은 지금이라도 정리할 수 있습니다. 비슷한 상황으로 고민하고 계신다면 법무법인 도모로 문의해 주시기 바랍니다. 확보된 로그와 계약 자료를 바탕으로, 지금 당장 해야 할 일과 이후 남을 법적 위험을 순서대로 정리해 드리겠습니다.