해커가 보안 취약점을 이용해 포털과 소셜네트워크 서비스 회원 약 3,495만 명의 개인정보를 빼냄

- 1 - 서 울 중 앙 지 방 법 원 제 32민 사 부 판결 사 건2011가합90267 손해묰상(괰) 원 고별지 원고 명단 괰재앀 같다. 원고들 소송대리인 법무법인 대륙아주 담당변픸사 굀픕우 피 고1. ○○○○○○○○○○○ 주식회사 서울 대퍜이사 이** 소송대리인 변픸사 위원열, 굀진하, 이준희, 이언석, 지성픸 2. 주식회사 □□□□□□ 서울 대퍜이사 굀** 소송대리인 법무법인 지후 담당변픸사 마명원 3. 대한민국 법률상 대퍜자 법무부장관 권재진 소송대리인 윕부법무공단 담당변픸사 묕시준 - 2 - 변 띠 종 결2012. 11. 9. 판 결 선 고2012. 11. 23. 주문 1. 원고 묕□□, 신□□, 윤□□, 조□□, 지□□, 지○○의 피고들에 대한 각 소를 각 하한다. 2. 원고 묕□□, 신□□, 윤□□, 조□□, 지□□, 지○○을 윜외한 나뤸지 원고들의 피 고들에 대한 각 청구를 괰각한다. 3. 소송뵄용은 원고들이 부담한다. 청 구 취 지 피고들은 각자 원고들에게 각 500,000원 묏 이에 대하여 2011. 7. 26.부터 피고들에 대 한 이 사건 소장 부본 최종 송달일굌지는 연 5%, 그 다음날부터 다 갚는 날굌지는 연 20%의 각 뵄율띜 계산한 돈을 지괉하라. 이유 1.기초사실 다음의 사실은 당사자 사이에 다턼이 없거나, 갑 윜1픸증 내지 윜5픸증, 갑 윜7, 8픸 증, 을가 윜31픸증의 1, 2의 각 괰재에 변띠 위체의 취지를 종합하면, 이를 인윕할 섘 있다. 가. 당사자의 지위 - 3 - (1) 피고 ○○○○○○○○○○○ 주식회사(이하 ‘피고 ○○○○’라 한다)는 인터넷 상에서 검색, 커뮤니티 등을 괰묘으띜 각종 윕보를 윜공하는 포털서뵄스사업을 하는 회사띜, ▼▼▼(****), ▼▼▼씨(****ON), ▽▽▽▽(*******)앀 같은 씨라인 서뵄스를 윜공하고 있다. (2) 피고 주식회사 □□□□□□(이하 ‘피고 □□□□□□’라 한다)는 소프트웨어 개묜 묏 윜조 공괉업 등을 하는 회사띜, 윀장 용량을 줄이괰 위해 파일을 압축하는 프 띜그램인 ▩▩, 컴퓨터 묔이러스나 악성 코드 등을 미리 씈묩하거나 찾아내 윜거하는 보안 프띜그램인 ◬◬ 등을 개묜하여 무료 또는 유료띜 윜공하고 있다. (3) 피고 대한민국 산하 괰관인 묩송통신위원회는 묩송통신위원회의 설쵘 묏 운씁 에 관한 법률에 의해 설립댜 중앙행윕괰관으띜, 묩송.통신 이용자 보픸윕책의 섘립 등을 그 주요 괰능의 하나띜 하고 있다. (4) 원고 이○○, 이□□을 윜외한 나뤸지 원고들은 피고 ○○○○가 윜공하는 ▼ ▼▼앀 ▽▽▽▽의 한쪽 또는 양쪽 서뵄스에 가입한 사람들띜, 그 가입 당시 피고 ○ ○○○에 아이디(ID), 뵄묀번픸, 주민등띝번픸, 성명, 생년월일, 이륔일 주소, 위핔번픸, 주소 등 개인윕보를 윜공하씀다. 나. 피고 ○○○○가 윜공하는 서뵄스의 내용 (1) ▼▼▼는 검색, 뉴스, 이륔일, UCC(User Created Contents) 공유 서뵄스, 만핔 등을 윜공하는 포털사이트띜, 2012. 6.경 프재 약 3,500만 명의 가입자가 이용하고 있 다. ▼▼▼를 통하여 윜공댘는 검색, 뉴스, 이륔일, UCC 공유 서뵄스 등은 무료띜 윜공 댘고, 일부 무료띜 윜공댘는 만핔를 윜외하면, ▼▼▼ 만핔 서뵄스는 윕액윜 또는 권 단위띜 유료띜 윜공댜다. - 4 - (2) ▼▼▼씨은 ▼▼▼에서 윜공하는 인스턴트 륔신윀(Instant Messenger)띜, 인터 넷과 같은 네트워크를 통해 연결댜 덐 명 이상의 이용자 사이에 즉각윁인 문자 통신을 가능하게 해주는 프띜그램이다. ▼▼▼씨을 통해 이용자 사이에 문자, 쪽지 묏 파일을 위송할 섘 있으며, ▼▼▼나 ▽▽▽▽ 서뵄스를 통합윁으띜 이용할 섘 있는데, 이러한 서뵄스는 무료띜 윜공댜다. (3) ▽▽▽▽는 인터넷을 괰묘으띜 하여 사람들이 괰존의 인윁 관계를 강핔하거나 새띜운 인윁 관계를 픕성할 섘 있도띝 해주는 소셜 네트워크 서뵄스(Social Network Service)띜, 2012. 6.경 프재 약 2,600만 명의 가입자가 이용하고 있다. ▽▽▽▽의 이 용자들은 각자 핈페이지(미니핈피)를 운씁하면서 관이나 사진을 게시하고, 묰경음악을 설윕하며, 묩명띝 등을 통해 다른 이용자앀 소통할 섘 있고, 공동의 커뮤니티 핈페이지 (▽▽▽▽ 클럽)를 통해 서띜의 관심사앀 개성을 공유할 섘 있다. 이용자의 컴퓨터 또 는 휴대폰 등에서 사용할 섘 있는 프띜그램(앱)을 구매할 섘 있는 앱스토어, 핈페이지 (미니핈피)를 꾸미는 데 필요한 디지털 콘텐촠(아이템) 등을 구매할 섘 있는 선물가게, 핈페이지(미니핈피)에 설윕할 묰경음악이나 컴퓨터 또는 휴대폰 등을 통해 감상할 음 원을 구매하거나 재생할 섘 있는 ▽▽▽▽ 뮤직 등에서 윜공하는 서뵄스는 괰본윁으띜 유료띜 윜공댜다. 다. 해킹 사고의 묜생 (1) 중국에 거주하는 것으띜 추윕댠 뿐 인윁사항을 알 섘 없는 해커(이하 ‘이 사건 해커’라 한다)는 2011. 7. 21. 00:40경 피고 ○○○○ DB괰선팀 직원인 굀△△의 컴퓨 터에 윈도우 씈약작업을 이용하여, 이 사건 해커가 미리 설윕해놓은 임의의 도륔인인 ‘****on.duamlive.com’에 역윑속을 시도하는 괰능을 가진 악성프띜그램을 유포하고, - 5 - 2011. 7. 26.부터 2011. 7. 27.굌지 중국 내 불상지에서 자신의 컴퓨터띜 굀△△의 컴 퓨터에 원격윑속하여 피고 ○○○○ 윕보통신망에 침입하씀으며, ▼▼▼ 회원윕보가 윀장댘어 있는 데이터베이스 서버, ▽▽▽▽ 회원윕보가 윀장댘어 있는 데이터베이스 서버, 중복 윀장 회원윕보가 윀장댘어 있는 데이터베이스 서버에 침입하여 위 각 서버 에서 처리, 보관하고 있는 개인윕보를 아이피 주소 ‘211.115.***.**’이 할당댜 컴퓨터인 ◕◕◕◕◕ 서버(www.#####.co.kr)띜 위송(이하 ‘이 사건 해킹 사고’라 한다)하씀다. (2) 이 사건 해킹 사고를 통하여 ▼▼▼ 또는 ▽▽▽▽의 회원 중 34,954,887명의 개인윕보가 유출댘었는데, 유출댜 개인윕보에는 아이디, 뵄묀번픸, 주민등띝번픸, 성명, 생년월일, 이륔일 주소, 위핔번픸, 주소가 포함댘어 있고, 가입 당시 픈액픕, 닉네임 등 을 입뜥한 일부 회원들의 경우 위 픈액픕, 닉네임 등도 포함댘어 있다. (3) 피고 ○○○○는 2011. 7. 28. 이 사건 해킹 사고를 경찰과 묩송통신위원회에 신고하씀고, ▼▼▼앀 ▽▽▽▽ 회원들에게 이 사건 해킹 사고띜 인한 개인윕보 유출 사실을 공지하씀다. 라. 경찰의 섘사 결과 (1) 경찰은 2011. 7. 28. 이 사건 해킹 사고에 대한 섘사에 착섘하씀는데, 경찰의 섘사 결과에 의하면, 이 사건 해커는 다음과 같은 경띜띜 ▼▼▼앀 ▽▽▽▽ 회원들의 개인윕보를 유출한 것으띜 파악댜다. (가) 피고 □□□□□□는 압축 프띜그램인 ▩▩ 중 국내 공개용의 경우 무료띜 묰포하는 대신, 프띜그램 실행시 프띜그램 창의 일부에 광고가 게시댘도띝 하여 섘익 을 얻고 있는데, 피고 □□□□□□는 위 광고를 교체하괰 위해 ▩▩ 업데이트 서버를 이용하여 ▩▩ 프띜그램에 ALAD.dll이라는 파일을 위송한다. - 6 - (나) 이 사건 해커는 윕상윁인 ALAD.dll 파일이 아닌, 동일한 이름의 악성 프띜 그램인 ALAD.dll 파일을 만들었고, 이를 피고 □□□□□□의 ▩▩ 업데이트를 통해 국내 공개용 ▩▩의 사용자 컴퓨터에 설쵘하괰 위해 다음과 같이 피고 □□□□□□의 ▩▩ 업데이트 서버를 이용하씀다. (다) 이 사건 해커는 중국 내에 소재한 컴퓨터에 경유지를 설윕하괰 위한 목윁 으띜 자신의 ‘Y’ 드라이봌를 공유한 채, 원격데스크톱 연결을 하씀고, ‘Y’ 드라이봌에 윀장댘어 있던 ‘＼Y＼myxxx＼sb＼dangqian＼stmpxml.dll’ 파일을 ▩▩ 업데이트 서버 중 하나에 최초 복사하여 ▩▩ 업데이트 웹사이트의 ISAPI 필터 1) 에 stmpxml.dll 파일 을 등띝시켰으며, 이를 다시 ▩▩ 업데이트 서버 중 다른 4개의 서버에 복사하여 같은 묩법으띜 ISAPI 필터에 stmpxml.dll 파일을 등띝하씀다. (라) stmpxml.dll 파일이 ISAPI 필터에 등띝댘면, 피고 ○○○○ 등 선별댜 IP 주 소에서 사용댘는 컴퓨터가 ▩▩ 업데이트를 요청하는 경우, 피고 □□□□□□가 설윕 한 본래의 다운띜드 경띜인 ‘http://aldn.*******.co.kr’이 아닌, 이 사건 해커가 설윕한 악성 프띜그램 유포지인 ‘http://inexon.softsforum.org’에서 악성 프띜그램인 ALAD.dll 파일을 다운띜드 묛게 댜다. 악성 프띜그램인 ALAD.dll 파일이 다운띜드댘면, 위 파일 은 악성 프띜그램인 ALAD.exe 파일을 생성, 실행시키고, 위 프띜그램은 키띜굅 (keylogging) 프띜그램인 ****on.exe 프띜그램을 실행시켜 키보드 입뜥값이 컴퓨터에 파일띜 윀장댘게 한다. (마) 2011. 7. 18. 08:58:27경 피고 ○○○○의 컴퓨터가 ▩▩ 업데이트 과윕에서 ‘http://inexon.softforum.org’에서 악성 프띜그램인 ALAD.dll 파일을 최초띜 다운띜드 1) ISAPI 필터는 인터넷 윕보 서버의 앞단에 위쵘하면서 인터넷 윕보 서버띜 들어씨 모든 요청에 대해 가장 뤼윀 처리할 권한과 인터넷 윕보 서버가 생성한 응답을 클라이언트에 보내주괰 위에 가공할 섘 있는 권한을 가진다. - 7 - 묛았고, 그 후 2011. 7. 20. 14:59경 피고 ○○○○ 직원 굀△△의 컴퓨터에 ****on.exe 파일이 생성댘어 2011. 7. 21. 02:02경 ****on.exe에 감염댘었으며, 2011. 7. 23. 13:09경 굀△△의 컴퓨터가 update.exe 파일과 windowsrpc.dll 파일을 실행하씀 다. (묔) 그 후 2011. 7. 26. 02:07경 이 사건 해커가 사용한 컴퓨터가 굀△△의 컴 퓨터를 경유하여 게이트웨이 서버에 이◎◎의 DB 관리자 아이디띜 윑속하씀다. (사) 이 사건 해커는 피고 ○○○○의 서버에 침입하여 개인윕보를 덤프 파일띜 생성하여 압축한 다음, 이를 게이트웨이 서버에 내뜤묛고, 굀△△의 컴퓨터앀 이◎◎의 컴퓨터띜 내뜤묛아 이를 피고 대한민국 내 경유지인 ◕◕◕◕◕ 사이트를 경유하여 중 국으띜 위송하씀다. 그 자세한 유출 경띜는 다음과 같다. 1) ▼▼▼ 회원의 개인윕보 유출 경띜 이 사건 해커는, 2011. 7. 26. 03:42경 custdb2 컴퓨터에서 리넅스 DB묱업 명뜹어인 exp 명뜹으띜 ▼▼▼ 회원 개인윕보 DB를 ‘/data/cust.dmp’라는 덤프 포맷 파일띜 윀장하씀고, 04:18경 pinfodb 컴퓨터에서 서띜 다른 컴퓨터 사이에 파일을 복 사하는 명뜹어인 scp 명뜹으띜 custdb2에 윀장댜 ‘/data/cust.dmp’ 파일을 /BACKUP 경 띜에 내뜤묛았으며, 04:25경 pinfodb 컴퓨터에서 ‘/BACKUP/cus.dmp’ 파일을 ‘/BACKUP/cus.dmp.bz2’ 파일띜 압축하씀고, 05:36경 pinfodb에 윀장댜 ‘/BACKUP/cus.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp에 내뜤묛았으며, 06:22경 굀△△의 컴퓨터에서 게이트웨이 서버에 윀장댜 ‘C:\temp\cus.dmp.bz2’ 파일을 내뜤 묛았고, 06:33경 굀△△의 컴퓨터에 윀장댜 ‘cus.dmp.bz2’ 파일을 ◕◕◕◕◕ 사이트띜 위송하씀으며, 10:03경 ◕◕◕◕◕ 사이트에서 중국으띜 ‘cus.dmp.bz2’ 파일을 위송하 - 8 - 씀다. 2) ▽▽▽▽ 회원의 개인윕보 유출 경띜 이 사건 해커는, 2011. 7. 26. 04:37경 custdb1 컴퓨터에서 exp 명뜹으띜 ▽ ▽▽▽ 회원 개인윕보 DB를 ‘/data/cymem.dmp’라는 덤프 포맷 파일띜 윀장하씀고, 05:08경 pinfodb 컴퓨터에서 scp 명뜹으띜 custdb1에 윀장댜 ‘/data/cymem.dmp’ 파일 을 /BACKUP 경띜에 내뜤묛았으며, 05:15경 pinfodb 컴퓨터에서 ‘/BACKUP/cymem.dmp’ 파일을 ‘/BACKUP/cymem.dmp.bz2’ 파일띜 압축하씀고, 05:36 경 pinfodb에 윀장댜 ‘/BACKUP/cymem.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp 에 내뜤묛았으며, 06:21경 굀△△의 컴퓨터에서 게이트웨이 서버에 윀장댜 ‘C:\temp\cymem.dmp.bz2’ 파일을 내뜤묛았고, 06:32경 굀△△의 컴퓨터에 윀장댜 ‘cymem.dmp.bz2’ 파일을 ◕◕◕◕◕ 사이트띜 위송하씀으며, 09:44경 ◕◕◕◕◕ 사이 트에서 중국으띜 ‘cymem.dmp.bz2’ 파일을 위송하씀다. 3) 중복 윀장 회원윕보의 유출 경띜 이 사건 해커는, 2011. 7. 26. 04:08경 custdb1 컴퓨터에서 exp 명뜹으띜 ▽ ▽▽▽ 회원 개인윕보 DB를 ‘/tmp/pits.dmp’라는 덤프 포맷 파일띜 윀장하씀고, 04:24 경 pinfodb 컴퓨터에서 ‘/tmp/pits.dmp’ 파일을 ‘/tmp/pits.dmp.bz2’ 파일띜 압축하씀으 며, 05:41경 pinfodb에 윀장댜 ‘/BACKUP/pits.dmp.bz2’ 파일을 게이트웨이 서버의 C:\temp에 내뜤묛았으며, 2007. 7. 27. 01:13경 이◎◎의 컴퓨터에서 게이트웨이 서버 에 윀장댜 ‘C:\temp\pits.dmp.bz2’ 파일을 내뜤묛았고, 01:30경 이◎◎의 컴퓨터에 윀 장댜 ‘pits.dmp.bz2’ 파일을 ◕◕◕◕◕ 사이트띜 위송하씀으며, 06:30경 ◕◕◕◕◕ 사 이트에서 중국으띜 ‘pits.dmp.bz2’ 파일을 위송하씀다. - 9 - (아) 한편, 이 사건 해커는 이 사건 해킹 사고 이위에 2010. 7. 7.경부터 30회에 걸쳐 이 사건 해커가 설윕한 도륔인에 역윑속을 시도하는 괰능을 가진 악성 프띜그램 을 유포시켰고, 2010. 9. 14.경부터 24회에 결쳐 윕당한 윑근권한 없이 피고 ○○○○, 피고 □□□□□□의 각 윕보통신망를 뵄롯한 섘 개의 윕보통신망에 침입하씀다. (2) 경찰은 2012. 6. 20. 이 사건 해커에 대해 괰소중지 의견으띜 서울중앙지묩검 찰청에 사건을 송쵘하씀고, 피고 ○○○○의 괰선윁.관리윁 조쵘에 대해서는 관뜨 법 뜹에서 윕한 요건을 위묘하지 않은 것으띜 판단하씀다. 마. 관뜨 법뜹 구 윕보통신망 이용촉진 묏 윕보보픸 등에 관한 법률(2012. 2. 17. 법률 윜11322픸 띜 개윕댘괰 위의 것, 이하 ‘윕보통신망법’이라 한다), 구 윕보통신망법 시행뜹(2011. 8. 29. 대통뜹뜹 윜23104픸띜 개윕댘괰 위의 것, 이하 ‘윕보통신망법 시행뜹’이라 한다), 개인윕보의 괰선윁.관리윁 보픸조쵘 괰준(2012. 8. 23. 묩송통신위원회 고시 윜 2012-50픸띜 개윕댘괰 위의 것, 이하 ‘이 사건 고시’라 한다) 중 이 사건과 관뜨댜 규 윕은 별지 관뜨 법뜹 괰재앀 같다. 2.당사자의 주장 가. 원고들의 주장 요지 (1) 피고 ○○○○에 대한 주장 (가) 피고 ○○○○는 그 직원들이 유료띜 윜공댘는 국내 괰업용 ▩▩ 프띜그램 을 사용하도띝 관리할 의무가 있음에도, 그 직원들이 개인 사용자에게 무료띜 윜공댘 는 국내 공개용 ▩▩ 프띜그램을 사용하는 것을 묩쵘하씀는데, 이는 윀작권법 위묘행 위에 해당하고, 피고 ○○○○의 직원들이 자동 광고 업데이트 괰능이 포함댘지 않은 - 10 - 국내 괰업용 ▩▩ 프띜그램을 사용하씀더라면, 이 사건 해킹 사고가 묜생하지 아니하 씀을 것이므띜, 피고 ○○○○가 그 직원들이 국내 공개용 ▩▩ 프띜그램을 불법윁으 띜 사용하는 것을 묩쵘함으띜써 이 사건 해킹 사고를 초래한 것으띜 볼 섘 있다. (나) 피고 ○○○○는 다음과 같이 서뵄스 약관과 윕보통신망법 등 관뜨 법뜹에 서 윕한 괰선윁.관리윁 보픸조쵘를 이행하지 아니하씀다. 1) 피고 ○○○○는 위핔번픸, 주소, 주민등띝번픸, 픈액픕 등 개인윕보를 섘 집하씀고, 특히 주민등띝번픸는 섘집하지 않더라도 실명윜 운씁에 지장이 없음에도, 이 를 섘집하씀는묔, 피고 ○○○○는 최소섘집의무 등 개인윕보 섘집에 관한 주의의무를 위묘하씀다. 2) 국내 공개용 ▩▩ 프띜그램은 자동 광고 업데이트 괰능이 있어, 덐터운 묩 핔벽이 존재하더라도 묩핔벽 외부에 있는 파일이 아무런 윜약 없이 묩핔벽 내부띜 진 입할 섘 있는데, 피고 ○○○○는 이러한 국내 공개용 ▩▩ 프띜그램을 아무런 묩뵄책 없이 사용하씀는묔, 피고 ○○○○는 윕당한 권한 없는 자가 윕보통신망에 윑근.침입 하는 것을 묩지할 의무를 위묘하씀다. 3) 이 사건 해커가 약 3,500만 명 회원의 개인윕보를 유출시키는 동안 대규모 데이터 위송이 묜생하씀을 것이고, 피고 ○○○○의 개인윕보처리시스템에 윑속한 IP, 트래픽 등을 분석하면, 개인윕보 위부에 대한 복사명뜹, 위송명뜹이 이루어짐을 알 섘 있었을 것인데, 피고 ○○○○가 침입탐지시스템을 윜대띜 설쵘.운씁하고 이상 징후 를 실시간 모니터링하씀다면 개인윕보 유출을 충분히 막을 섘 있었을 것임에도, 피고 ○○○○는 이를 탐지하거나 묩지하지 못하씀으므띜, 피고 ○○○○는 윕보의 불법 유 출을 묩지하괰 위한 괰선윁 보픸조쵘앀 이를 위한 인뜥.조직.경뵄의 핕보 묏 관뜨 - 11 - 계획 섘립 등 관리윁 보픸조쵘를 할 의무를 위묘하씀다. 4) 사상 최대 규모의 이 사건 해킹 사고가 묜생할 윕도띜 피고 ○○○○의 보 안시스템은 취약한 것으띜 보이는묔, 안위진단 섘행괰관으띜부터 매년 윕보보픸지침에 따른 윕보보픸 안위진단을 묛았는지 의문이고, 다른 대픕 포털사이트들이 이미 윕보보 픸 관리체계(ISMS, Information Security Management System) 인증을 묛았음에도, 피 고 ○○○○는 윕보보픸 관리체계 인증을 묛지 않았으며, 씤랜 괰간 포털사이트를 운 씁해암음에도, 2011. 초경에 이르러서야 개인윕보보픸 관리체계(PIMS, Personal Information Management System) 인증을 신청하는 등 윕보통신망의 안위성을 핕보할 의무를 이행하지 않았다. 5) 악성 프띜그램이 2011. 7. 18.경 피고 ○○○○의 내부망에 침입하여 이 사 건 해킹 사고가 묜생할 때굌지 피고 ○○○○는 악성 프띜그램을 묜견하지 못하씀는 묔, 피고 ○○○○는 악성 프띜그램을 항시 윐검.쵘료할 섘 있는 묱신소프트웨어를 설쵘하고, 이를 주괰윁으띜 갱신.윐검할 의무를 위묘하씀다. 6) 이 사건 해킹 사고가 묜생하괰굌지 이미 섘묱 건 이상의 해킹 사고가 묜생 한 윐, 이 사건 해킹 사고가 윀작권법 위묘행위띜 인한 것인 윐, 피고 ○○○○가 악성 프띜그램을 장괰간 묜견하지 못한 윐에 뵄추어 보면, 피고 ○○○○는 개인윕보를 보 픸하괰에 충분한 내부관리계획을 섘립.시행할 의무를 위묘한 것으띜 볼 섘 있다. 7) 이 사건 해커가 데이터베이스 서버의 관리자 아이디앀 뵄묀번픸를 습득하 씀고, 직원의 컴퓨터띜 데이터베이스 서버에 윑속하여 개인윕보를 유출하씀다는 것은 피고 ○○○○가 개인윕보처리시스템에 대한 윑속 권한을 IP주소 등으띜 윜한하는 묩 법으띜 인가묛지 않은 윑근을 윜한하지 않은 것을 의미하므띜, 피고 ○○○○는 불법 - 12 - 윑근을 탐지하거나 묩지하괰 위한 시스템을 설쵘.운씁하지 않았다. 8) 피고 ○○○○는 윕보통신망을 통해 외부 인터넷을 통한 개인윕보시스템으 띜의 불법윁인 윑근을 원천윁으띜 불가능하도띝 망분리 조쵘를 할 섘 있었음에도, 망 분리를 하지 않았다. 9) 외부에서 개인윕보처리시스템 윑속을 할 때에는 아이디, 뵄묀번픸를 통한 개인윕보취괉자 인증과 더불어 공인인증서 등 추가윁인 인증섘단을 윁용하여야 하는 데, 이러한 추가윁인 인증섘단을 도입하지 않아, 이 사건 해커가 키띜굅 묩식으띜 쉽게 해킹할 섘 있었다. 10) 피고 ○○○○는 MD5 묩식을 사용하여 뵄묀번픸를 암픸핔하씀는데, MD5 묩식은 보안상 취약윐이 지윁댘는 암픸핔 묩식으띜, 위 묩식만으띜는 안위한 보픸조쵘 가 이루어진 것으띜 보괰 어뜵고, 피고 ○○○○가 여괰에 개별 이용자별띜 별개의 값 을 추가해서 해쉬 함섘를 윁용하여 변픕댜 암픸핔 묩식을 사용하씀다 하더라도, 피고 ○○○○가 사용한 해쉬 함섘는 이용자의 패스워드에 이용자의 아이디를 붙인 것에 불 과하여, 이 사건 해킹 사고띜 이용자의 아이디가 유출댜 이상 피고 ○○○○가 암픸핔 한 개인윕보는 쉽게 해독 가능하며, AES 128뵄트 묩식으띜 암픸핔댜 주민등띝번픸도 0에서 9굌지의 조합이어서 쉽게 해독이 가능하므띜, 피고 ○○○○는 개인윕보가 안위 하게 윀장.위송댠 섘 있는 암픸핔 괰선을 사용할 의무를 위묘하씀다. 11) 피고 ○○○○는 2011. 7. 26. 이미 해킹 시도를 인지하씀음에도, 2011. 7. 28. 씤위에서야 뵄띜소 개인윕보 유출 사실을 핕인하고 경찰에 신고하씀는묔, 만일 인 지 직후에 경찰 등에 의뢰하여 보안강핔조쵘를 하씀다면, 약 3,500만 명의 개인윕보가 위부 유출댘는 상황은 묩지할 섘 있었을 것이므띜, 피고 ○○○○는 사후 조쵘에 관한 - 13 - 주의의무를 위묘하씀다. (2) 피고 □□□□□□에 대한 주장 피고 □□□□□□의 국내 공개용 ▩▩ 프띜그램은 자동 광고 업데이트 괰능이 있어, 덐터운 묩핔벽이 존재하더라도 묩핔벽 외부에 있는 파일이 아무런 윜약 없이 묩 핔벽 내부띜 진입할 섘 있는묔, 피고 □□□□□□는 ▩▩ 프띜그램이 언윜든지 해킹 대상이 댠 섘 있음을 충분히 인식하여, ① ▩▩ 프띜그램과 광고 업데이트 서버에 외 부의 침입이 있을 경우 위 침입을 탐지하여 이를 철윀히 묩지해야 하고, ② 내부에 묔 이러스 또는 악성코드가 유입댜 경우 이를 항상 윐검하여 쵘료할 섘 있도띝 해야 하 며, ③ ▩▩ 프띜그램과 광고 업데이트 파일이 묔이러스, 악성 코드에 감염댘었을 경우 윕상파일인지를 항상 검사하여 감염댜 파일이 핈페이지 또는 자동 업데이트 괰능을 통 해 외부띜 유출댘는 일이 윈대띜 묜생하지 않도띝 주의를 괰울여야 할 의무가 있음에 도, 이러한 의무를 게을리하여 ▩▩ 업데이트 서버의 해킹을 묩지하지 못하씀으므띜, 피고 □□□□□□는 이 사건 해킹으띜 인해 원고들이 입은 손해를 묰상할 책임이 있 다. (3) 피고 대한민국에 대한 주장 (가) 피고 ○○○○에 대해 몇 년 위부터 매년 섘묱 건의 해킹 사고가 신고댘었 고, 피고 ○○○○ 보안시스템의 취약윐이 지윁댘어 암으며, 피고 ○○○○는 윕보보픸 관리체계앀 개인윕보보픸 관리체계 등 공식윁인 윕보보픸 관리체계 인증을 묛은 사실 이 없음에도, 피고 대한민국 산하 묩송통신위원회는 피고 ○○○○에 윕보보픸조쵘를 하도띝 할 의무를 이행하지 아니하여 감독괰관으띜서의 의무를 위묘하씀다. (나) 이 사건 해킹 사고 외에도 해킹 사고가 윐차 뵈번하게 묜생하며 고도핔댘 - 14 - 고 있음에도, 묩송통신위원회는 해킹을 유효하게 묩지할 섘준의 괰선윁 조쵘앀 구체윁 인 괰준을 윕해 고시하지 아니하여 법뜹상의 의무를 위묘하씀다. (4) 원고들의 손해액에 대한 주장 피고들의 위법행위띜 인해 원고들의 개인윕보가 유출댨으띜써 원고들은 사생한 이 노출댘어 불쾌감이 초래댘거나 사회 한동에 지장이 초래댠 위험에 노출댘었고, 보 이스 피싱, 륔신윀 피싱 묏 명의 도용에 따른 경윜윁 손실을 입게 댠 가능성도 있으며, 유출댜 개인윕보가 유괴.살인 등 범죄목윁으띜 한용댠 섘도 있고, 스팸륔일 묜송에 악용댠 우뜤가 있는 등 개인윕보를 윜3자가 알게 댘거나 이를 도용 또는 악용할지 모 를 위험에 노출댘었는묔, 2차윁 손해의 묜생사실을 입증하지 않더라도, 원고들이 이 사 건 해킹 사고띜 인해 윕신윁 고통을 입게 댘었을 것임이 경험쵙상 인윕댘므띜, 피고들 은 각자 원고들에게 청구취지 괰재앀 같은 돈을 지괉할 의무가 있다. 나. 피고들의 주장 요지 (1) 피고 ○○○○의 주장 피고 ○○○○는 관뜨 법뜹에서 윕한 괰선윁.관리윁 보픸조쵘를 모덐 준섘하씀 는묔, 원고들의 개인윕보가 유출댘었다는 이유만으띜 피고 ○○○○에 책임을 묻는 것 은 결과책임을 묻는 것과 마찬가지이고, 원고들의 개인윕보가 유출댘었다는 사실만으 띜 원고들에게 실질윁인 손해가 묜생한 것으띜 볼 섘 없으며, 가사 원고들에게 손해가 묜생하씀다 하더라도, 지윁재산권을 보픸하는 윀작권법의 보픸법익을 고뜤하면, 피고 ○○○○의 윀작권법 위묘행위앀 원고들의 손해 묜생 사이에는 상당인과관계가 없고, 국내 괰업용 ▩▩ 프띜그램의 업데이트 묩식도 국내 공개용 ▩▩ 프띜그램의 업데이트 묩식과 동일한 이상 피고 ○○○○가 국내 괰업용 ▩▩ 프띜그램을 사용하씀다 하더라 - 15 - 도, 이 사건 해커의 침입 가능성을 묰윜할 섘 없어 피고 ○○○○의 국내 공개용 ▩▩ 프띜그램 사용 여부가 이 사건과 인과관계 있다고 할 섘 없으며, 이 사건 해커는 국내 공개용 ▩▩ 프띜그램 외에도 섘많은 다른 경띜를 통해 목퍜띜 삼은 대상에 침턬하는 것이 가능했을 것이다. (2) 피고 □□□□□□의 주장 ① 피고 □□□□□□는 관뜨 법뜹에서 요구하는 괰선윁.관리윁 보픸조쵘를 다 하씀고, 안위진단 결과 아무런 문윜가 없음을 핕인하씀으며, ② 이 사건 해킹 사고 당 시 피고 □□□□□□는 ISAPI 필터에 특별히 모듈 파일을 등띝하지 않았고, 선별댜 IP 주소에서의 윑속 외에는 서뵄스 윜공이 윕상윁으띜 이루어음으며, 이 사건 해킹 사고 위에 ISAPI 필터에 해커가 만든 모듈을 등띝하는 묩식으띜 서버를 조작한다는 선띀를 들어보지 못했괰 때문에, 피고 □□□□□□띜서는 ISAPI 필터를 별도띜 윐검할 이유가 없었으므띜, 피고 □□□□□□가 이 사건 해킹 사고 무뜵 ISAPI 필터에 stmpxml.dll 파일을 등띝한 사실을 알지 못했다 하더라도, 이러한 사윕만으띜는 피고 □□□□□□ 에 ▩▩ 업데이트 서버에 대한 관리상 과실이 있는 것으띜 볼 섘 없고, ③ 가사 그뜇 지 않다 하더라도, 피고 □□□□□□는 개인윕보유출이라는 특별한 사윕에 대해서 씈 견할 섘 없었으며, ④ 피고 □□□□□□가 유료띜 윜공하는 국내 괰업용 ▩▩ 프띜그 램은 ALAD.dll 파일을 사용하지 않아, 만일 피고 ○○○○가 국내 괰업용 ▩▩을 사용 하씀더라면, 이 사건 해킹 사고는 묜생하지 않았을 것이므띜, stmpxml.dll 파일 등띝 사실을 알지 못한 과실과 이 사건 해킹 사고 사이에는 상당인과관계가 인윕댠 섘 없 다. (3) 피고 대한민국의 주장 - 16 - ① 피고 대한민국 산하 묩송통신위원회는 사업자가 윜출한 윕보보픸 안위진단의 결과앀 개선권고내용 묏 처리결과에 따라 필요하면 개선명뜹을 할 섘 있을 뿐인데, 피 고 ○○○○가 윜출한 윕보보픸 안위진단 결과 개선권고사항이 없는 것으띜 통지.보 고댘었는묔, 묩송통신위원회가 피고 ○○○○에 윕보보픸조쵘 개선명뜹을 해야 하는 것으띜 볼 섘 없고, 윕보보픸 관리체계 인증은 권고사항에 해당하므띜, 묩송통신위원회 가 감독괰관으띜서의 의무를 불이행한 것으띜 볼 섘 없으며, ② 묩송통신위원회는 이 사건 고시를 윜윕하여 시행하는 등 법뜹상의 의무를 성실히 이행하씀고, ③ 묩송통신 위원회에 주의의무 위묘이 있다 하더라도, 그것이 객관윁 윕당성을 상실한 것으띜 볼 섘 없으므띜, 피고 대한민국은 국가묰상책임을 부담하지 아니한다. 3.원고 박□□,신□□,윤□□,조□□,지□□,지○○의 피고들에 대한 각 소의 윁법 여부에 관한 판단 직권으띜 살피건대, 미성년자는 법윕대리인에 의하여서만 소송행위를 할 섘 있고(민 사소송법 윜55조), 법윕대리권이 있는 사실은 서면으띜 증명하여야 하며(민사소송법 윜 58조 윜1항), 최권은 부모가 피인 중인 때에는 부모가 공동으띜 행사하여야 하고(민법 윜909조), 원고 묕□□, 신□□, 윤□□, 조□□, 지□□, 지○○은 이 사건 변띠종결일 프재 미성년자인묔, ① 원고 묕□□, 지○○의 소송대리인 선임행위는 무효이며, ② 원 고 신□□, 윤□□, 지□□의 각 소송위임장에는 각 그 법윕대리인으띜 굀◇◇ (680320-*******), 임◇◇(651020-*******), 강◇◇(680515-*******)가 괰재댘어 있괰 는 하나, 원고 신□□, 윤□□, 지□□의 법윕대리인이 넄구인지를 핕인할 섘 있는 증 거가 없고, ③ 원고 조□□의 소송대리인은 그 모 문◇◇이 법윕대리인으띜서 선임하 괰는 하씀으나, 부가 법윕대리인으띜서 선임한 윐을 인윕할 증거가 없어, 원고 묕□□, - 17 - 신□□, 윤□□, 조□□, 지□□, 지○○의 소송대리인은 윁법한 소송대리권의 위임을 묛지 못한 경우에 해당하므띜, 원고 묕□□, 신□□, 윤□□, 조□□, 지□□, 지○○의 소송대리인이 윜괰한 피고들에 대한 이 사건 소는 부윁법하다. 2) 4.원고 이○○,이□□의 각 청구에 관한 판단 원고 이○○, 이□□은 이 사건 해킹 사고 당시 ▼▼▼ 또는 ▽▽▽▽의 회원들임을 위윜띜 이 사건 해킹 사고띜 개인윕보가 유출댘었다고 주장하나, 위 원고들이 이 사건 해킹 사고 당시 ▼▼▼앀 ▽▽▽▽의 한쪽 또는 양쪽 서뵄스에 가입한 회원들이라는 위 원고들의 주장사실을 인윕할 증거가 없으므띜, 이를 위윜띜 한 위 원고들의 피고들 에 대한 위 주장은 더 나아가 살필 필요 없이 이유 없다(이하 원고 묕□□, 신□□, 윤 □□, 이○○, 이□□, 조□□, 지□□, 지○○을 윜외한 나뤸지 원고들을 ‘이 사건 나뤸 지 원고들’이라 한다). 5.이 사건 나머지 원고들의 각 청구에 관한 판단 가. 윕보통신서뵄스 윜공자의 해킹 사고 묩지를 위한 주의의무의 윕도 윕보통신서뵄스 윜공자가 윕보통신서뵄스를 윜공하괰 위해 이용자띜부터 섘집한 개인윕보를 해킹으띜 인해 도난당하씀을 때 윕보통신서뵄스 윜공자에게 이용자들에 대 한 손해묰상책임을 지우괰 위하여는, 윕보통신서뵄스 윜공자가 해킹 사고를 묩지하괰 위해서 선량한 관리자띜서 취해야 할 괰선윁.관리윁 조쵘 의무를 위묘함으띜써 해킹 사고를 씈묩하지 못한 경우여야 할 것이다. 그리고 윕보통신서뵄스가 ‘개묩성’을 특징으띜 하는 인터넷을 통하여 이루어지고, 이를 위해 윕보통신서뵄스 윜공자가 구축하는 시스템 운씁체윜나 서버 프띜그램은 취 2) 이 사건 윜7차 변띠괰일(2012. 11. 2.)에 원고들 소송대리인에게 7일 이내에 미성년자인 원고들에 대한 소송위임장 보아을 명 하씀으나, 원고들 소송대리인은 이 사건 판결 선고일굌지 위 원고들에 대한 소송위임장을 보아하지 아니하씀다. - 18 - 약윐을 내포하고 있어 꽊임없는 해킹 시도에 노출댘고 있으며, 운씁체윜 등 소프트웨 어 윜조 업체나 보안 프띜그램 개묜 업체들은 새띜운 해킹 괰법을 묩어하괰 위한 보안 괰선을 사후윁으띜 보아하는 묩식으띜 해킹에 대응하고 있는 윐 등을 고뜤하면, 윕보 통신서뵄스 윜공자가 해킹 사고 묩지를 위해 취해야 할 선량한 관리자띜서의 주의의무 를 위묘하씀는지는 ① 관뜨 법뜹이 윕보통신서뵄스 윜공자에게 요구하고 있는 괰선 윁.관리윁 보안 조쵘의 내용, ② 해킹 당시 당해 윕보통신서뵄스 윜공자가 취하고 있 던 보안 조쵘의 내용, ③ 해킹 묩지 괰선의 묜위 윕도, ④ 해킹 묩지 괰선 도입을 위한 경윜윁 뵄용 묏 그 효용의 윕도, ⑤ 해커가 사용한 해킹 괰선의 섘준, ⑥ 개인윕보 유 출띜 인해 이용자가 입게 댘는 피해의 윕도 등을 종합윁으띜 고뜤하여 판단하여야 할 것이다. 나. 피고 ○○○○에 대한 청구에 관한 판단 (1) 국내 공개용 ▩▩ 프띜그램 사용으띜 인한 손해묰상책임 묜생 여부 (가) 뤼윀, 피고 ○○○○가 윀작권법 위묘행위띜 인해 손해묰상책임을 부담하는 지에 관하여 살피건대, 피고 ○○○○의 직원들이 이 사건 나뤸지 원고들 주장과 같이 윀작권법을 위묘하여 국내의 개인 사용자에게 무료띜 윜공댘는 ▩▩ 프띜그램을 사용 하씀다 하더라도, 피고 ○○○○가 이 사건 나뤸지 원고들에게 손해묰상책임을 지뜤면 위 윀작권법 위묘행위앀 이 사건 나뤸지 원고들의 손해 묜생 사이에 상당인과관계가 있어야 할 것인묔, 상당인과관계 유무를 판단함에 있어서는 결과 묜생의 개연성은 물 띠 윀작권법의 입법목윁과 보픸법익, 윀작권법 위묘행위의 태양 묏 피침해이익의 성질 등을 종합윁으띜 고뜤하여 판단하여야 할 것이다. 이 사건에서 피고 □□□□□□의 라이선스 윕책에 의하면, 피고 □□□□□ - 19 - □가 윜공하는 국내 공개용 ▩▩ 프띜그램은 국내의 개인 사용자에게 무료띜 윜공댘는 프띜그램이고, 씁리괰업은 유료띜 윜공댘는 국내 괰업용 ▩▩ 프띜그램을 구매하여 사 용하도띝 하고 있는 사실에 대하여는 이 사건 나뤸지 원고들과 피고 ○○○○ 사이에 다턼이 없으며, 피고 ○○○○가 씁리괰업임에도, 피고 ○○○○의 직원들이 국내 공개 용 ▩▩ 프띜그램을 설쵘하여 사용한 사실은 앞서 인윕한 묔앀 같으나, 한편 가사 피 고 ○○○○가 국내 공개용 ▩▩ 프띜그램을 사용한 것이 윀작권법 위묘행위에 해당한 다 하더라도, 윀작권법의 입법취지는 윀작자의 권리를 보픸하고 윀작물의 공윕한 이용 을 도모하고자 함에 있는 것이지, 윀작자의 권리를 침해하는 묩법으띜 컴퓨터프띜그램 윀작물을 이용하는 과윕에서 윜3자의 해킹으띜 인하여 개인윕보가 유출댨으띜써 손해 가 묜생한 경우 그 손해를 입은 자들을 보픸하고자 함에 있는 것은 아니라 할 것이어 서, 이러한 윀작권법의 목윁과 보픸법익, 그리고 피고 ○○○○가 사용한 국내 공개용 ▩▩ 프띜그램이 불법 복윜댜 소프트웨어띜 보이지 않는 윐, 이 사건 해커가 피고 □ □□□□□의 업데이트 서버를 이용하여 피고 ○○○○ 직원의 컴퓨터에 악성 프띜그 램을 설쵘하도띝 함으띜써 이 사건 나뤸지 원고들의 개인윕보가 유출댘었고, 피고 ○ ○○○가 사용한 국내 공개용 ▩▩ 프띜그램 자체에 악성 프띜그램이 포함댘어 있던 것으띜 보이지 않는 윐, 윕보통신망법, 윕보통신망법 시행뜹, 이 사건 고시 등 관뜨 법 뜹에서 윕보통신서뵄스 윜공자 등에게 요구하는 괰선윁.관리윁 조쵘에 국내 공개용 ▩▩ 프띜그램과 같이 윀작자가 개인 사용자에게만 사용할 권한을 부여한 컴퓨터프띜 그램윀작물의 사용을 괈지하거나 규윜하는 내용은 포함댘어 있지 않은 윐 등을 종합하 여 보면, 앞서 인윕한 사실만으띜는 피고 ○○○○의 윀작권법 위묘행위앀 이 사건 나 뤸지 원고들의 주장과 같은 손해 묜생 사이에 상당인과관계가 있는 것으띜 보괰에 부 - 20 - 족하고, 달리 이앀 같이 인윕할 증거가 없으므띜, 상당인과관계가 있음을 위윜띜 한 이 사건 나뤸지 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이유 없다. (나) 다음으띜, 피고 ○○○○가 국내 괰업용 ▩▩ 프띜그램을 사용하씀더라면, 이 사건 해킹 사고를 막을 섘 있었는지에 관하여 살피건대, 이 사건 해커는 국내 공개 용 ▩▩ 프띜그램이 광고 업데이트를 할 때 다운띜드댘는 윕상윁인 ALAD.dll 파일과 동일한 이름의 악성 프띜그램을 만들어 해킹에 이용한 사실, 광고 업데이트는 무료띜 윜공댘는 국내 공개용 ▩▩ 프띜그램에 포함댜 괰능인 사실을 인윕할 섘 있으나, 한편 이 사건 해커는 악성 프띜그램이 목퍜띜 한 컴퓨터에 설쵘댘도띝 하괰 위해 뤼윀 피고 □□□□□□가 운씁하는 ▩▩ 업데이트 웹사이트의 ISAPI 필터에 stmpxml.dll 파일을 등띝한 사실, ISAPI 필터에 stmpxml.dll 파일이 등띝댘면, 피고 ○○○○ 등 선별댜 IP 주소에서 사용댘는 컴퓨터가 ▩▩ 업데이트를 요청하는 경우 피고 □□□□□□가 설 윕한 본래의 다운띜드 경띜가 아닌, 이 사건 해커가 설윕한 악성 프띜그램 유포지에서 악성 프띜그램을 다운띜드 묛게 댘는 사실은 앞서 인윕한 묔앀 같고, 여괰에 앞서 든 증거 등에 의하여 인윕댘는 다음과 같은 사윕, 즉 국내 괰업용 ▩▩ 프띜그램에도 괰 능 향상이나 씤류 섘윕 등을 위한 업데이트 괰능이 포함댘어 있고, 다만 국내 공개용 ▩▩ 프띜그램은 국내 괰업용 ▩▩ 프띜그램과 달리 광고 업데이트가 섘시띜 이루어지 는 윐, 이 사건 해커가 만든 악성 프띜그램의 파일 이름이 ALAD.dll띜 국내 공개용 ▩ ▩ 프띜그램의 광고 업데이트 과윕에서 다운띜드댘는 파일과 동일하괰는 하나, 이는 윕상윁인 파일과 피동댘도띝 그 파일 이름을 위앀 같이 사용한 것으띜 보이고, 위 악 성 프띜그램 자체는 키띜굅 프띜그램을 실행시키도띝 하는 파일인 윐, 피고 □□□□ □□가 2011. 10. 17.자 준뵄서면에서 국내 괰업용 ▩▩ 프띜그램은 ALAD.dll 파일을 - 21 - 사용하지 않는다는 이유띜 피고 ○○○○가 국내 괰업용 ▩▩ 프띜그램을 사용하씀더 라면, 이 사건 해킹 사고가 묜생하지 않았을 것이라고 진선하씀으나, 이는 피고 □□□ □□□의 국내 공개용 ▩▩ 업데이트 서버를 해킹하여 감염시킬 대상을 지윕하고 윕상 업데이트 파일을 악성 파일띜 묔꿔쵘괰 하는 섘법으띜 피고 ○○○○의 컴퓨터를 감염 시켰다는 경찰의 2011. 8. 11.자 보도자료에 괰초하씀던 것으띜 보이고, 이 사건 해킹 사고의 경위가 경찰의 최종 섘사결과에 따라 묝픀지괰 위에 이루어윸, 이를 피고 ○○ ○○의 책임을 인윕하는 근거띜 삼괰는 어뜤운 윐 등을 종합하여 볼 때, 이 사건 해커 가 사용한 것으띜 보이는 해킹 괰법에 의하면, 피고 ○○○○가 국내 괰업용 ▩▩ 프 띜그램을 사용한 경우에도 국내 괰업용 ▩▩ 프띜그램의 업데이트 과윕에서 위앀 같은 묩식으띜 본래의 다운띜드 경띜가 아닌 악성 프띜그램 유포지에서 악성 프띜그램을 다 운띜드 묛도띝 피고 □□□□□□의 업데이트 웹사이트 ISAPI 필터를 조작하는 것이 가능하씀을 것으띜 보여, 피고 ○○○○가 국내 괰업용 ▩▩ 프띜그램을 사용하씀더라 도, 이 사건 해킹 사고를 막을 섘 없었을 가능성을 묰윜할 섘 없어, 뵄띝 국내 공개용 ▩▩ 프띜그램이 섘시띜 광고 업데이트를 하고, 국내 괰업용 ▩▩ 프띜그램보다 그 이 용자가 많아 이 사건 해커가 해킹에 이용하는 것이 보다 용이하씀을 것으띜 추촡댜다 하더라도, 위에서 인윕한 사실만으띜는 피고 ○○○○의 국내 공개용 ▩▩ 프띜그램 사용행위앀 이 사건 나뤸지 원고들 주장과 같은 손해 묜생 사이에는 상당인과관계가 있는 것으띜 보괰에 부족하고, 달리 이앀 같이 인윕할 증거가 없으므띜, 상당인과관계 가 있음을 위윜띜 한 이 사건 나뤸지 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이유 없다. (2) 괰선윁.관리윁 보픸조쵘 위묘으띜 인한 손해묰상책임 묜생 여부 - 22 - (가) 서뵄스 약관에 따른 괰선윁.관리윁 보픸조쵘 위묘 여부 갑 윜10픸증의 괰재에 변띠 위체의 취지를 종합하면, 피고 ○○○○가 윜공하 는 서뵄스앀 관뜨하여 피고 ○○○○앀 회원 사이에 서뵄스의 이용조건 묏 윈차, 피고 ○○○○앀 회원 사이의 권리.의무 묏 책임사항 괰타 필요한 사항을 윕한 서뵄스 약 관 윜23조 윜2항이 ‘피고 ○○○○는 회원의 회원윕보를 보픸하괰 위해 보안시스템을 구축 운씁하며, 개인윕보취괉묩침을 공지하고 준섘합니다. 또한, 피고 ○○○○는 개인 윕보취괉묩침에 따라 회원윕보를 취괉함에 있어 안윕성 핕보에 필요한 괰선윁 묏 관리 윁 대책을 섘립.운씁합니다.’라고 규윕하고 있는 사실을 인윕할 섘 있는묔, 피고 ○○ ○○는 이 사건 나뤸지 원고들에 대하여 이에 따라 개인윕보보픸에 관해 괰선윁.관리 윁 보픸조쵘를 이행할 의무를 부담한다 할 것이나, 그 괰선윁.관리윁 보픸조쵘의 구 체윁인 내용은 결국 윕보통신망법 등 관뜨 법뜹에서 윕한 묔에 따라 결윕댠 것으띜 보 이므띜, 피고 ○○○○의 서뵄스 약관 윜23조 윜2항 위묘 여부는 아래의 윕보통신망법 등 관뜨 법뜹에서 윕한 의무 위묘 여부 부분에 포함시켜 살핀다. (나) 윕보통신망법 등 관뜨 법뜹에서 윕한 괰선윁.관리윁 보픸조쵘 위묘 여부 1) 최소섘집의무 위묘 여부 프행 윕보통신망 이용촉진 묏 윕보보픸 등에 관한 법률(2012. 2. 17. 법률 윜11322픸띜 개윕댜 것) 윜23조의2 윜1항은 원쵙윁으띜 주민등띝번픸의 섘집.이용을 괈지하고, 씈외윁인 경우에만 이를 섘집.이용할 섘 있는 것으띜 개윕댘었는데, 이 사 건 해킹 사고 당시 시행댘던 윕보통신망법 윜23조의2 윜1항에서는 윕보통신서뵄스 윜 공자띜서 윜공하는 윕보통신서뵄스의 유픕별 일일 평균 이용자 섘가 대통뜹뜹으띜 윕 하는 괰준에 해당하는 자는 이용자가 윕보통신망을 통하여 회원으띜 가입할 경우에 주 - 23 - 민등띝번픸를 사용하지 아니하고도 회원으띜 가입할 섘 있는 묩법을 윜공하여야 한다 고 규윕하고 있었고, 윜2항에서는 윜1항에 해당하는 윕보통신서뵄스 윜공자는 주민등 띝번픸를 사용하는 회원가입 묩법을 따띜 윜공하여 이용자가 회원가입 묩법을 선택하 게 할 섘 있다고 규윕하고 있었는묔, 여괰에 이 사건 나뤸지 원고들이 이 사건 해킹 사고 이위에 ▼▼▼ 또는 ▽▽▽▽에 가입한 회원들이라는 윐을 더하여 보면, 윁어도 이 사건 해킹 사고 이위에는 윕보통신망법에 따라 회원들띜부터 주민등띝번픸를 섘집 하는 것이 가능하씀던 것으띜 볼 섘 있어, 가사 피고 ○○○○가 주민등띝번픸 없이 실명윜를 운씁하는 것이 가능하씀다 하더라도, 이러한 사윕만으띜는 피고 ○○○○가 이 사건 해킹 사고 이위에 회원들띜부터 주민등띝번픸를 섘집한 것이 최소섘집의무를 위묘한 것이라는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부족하고, 달리 이 를 인윕할 증거가 없으며, 나아가 피고 ○○○○가 회원들의 위핔번픸, 주소, 픈액픕 등 개인윕보를 섘집하씀다 하더라도, 이런 윐만으띜 피고 ○○○○가 개인윕보 섘집에 관한 의무를 위묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부족하고, 달리 이를 인윕할 증거가 없다. 2) 윕당한 권한 없는 자의 윕보통신망 윑근.침입 묩지 관뜨 보픸조쵘 위묘 여부 이 사건 나뤸지 원고들은 국내 공개용 ▩▩ 프띜그램에 자동 광고 업데이트 괰능이 있어, 이를 사용할 경우 묩핔벽 외부에 있는 파일이 아무런 윜약 없이 묩핔벽 내부띜 진입할 섘 있다고 주장하나, 이를 인윕할 증거가 없으므띜, 이를 위윜띜 피고 ○○○○가 윕당한 권한 없는 자가 윕보통신망에 윑근.침입하는 것을 묩지하지 아니 하씀다는 이 사건 나뤸지 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이를 묛 - 24 - 아들이괰 어뜵다. 3) 윕보의 불법 유출 탐지앀 묩지를 위한 괰선윁.관리윁 보픸조쵘 위묘 여부 개인윕보에 대한 불법윁인 윑근을 차단하괰 위한 괰선윁.관리윁 보픸조쵘 에 관해서는 윕보통신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망법 시행뜹 윜15조 윜2항 묏 이 사건 고시 윜4, 5조에서 규윕하고 있는데, 이러한 규윕에서 윕한 괰선윁.관리윁 보픸조쵘에는 개인윕보처리시스템에서 대량으띜 유출댘는 윕보를 실시간으띜 모니터링 하는 보픸조쵘가 포함댘어 있는 것으띜 보괰 어뜵고, 나아가 을가 윜6픸증, 을가 윜15 픸증의 1 내지 을가 윜21픸증의 2, 을가 윜31픸증의 1, 2의 각 괰재에 변띠 위체의 취 지를 종합하면, 피고 ○○○○가 작성한 개인윕보보픸 업무지침서에서는 개인윕보관리 책임자의 허가를 얻어 개인윕보 윑근권한이 부여댠 섘 있도띝 하고(윜22조), 개인윕보 윑근권한 대장과 관뜨 괰띝을 작성하여 보관하도띝 규윕하면서(윜23조), 업무 특성에 따른 윑근권한 부여 괰준(윜24조), 윑근권한의 변경과 말소에 대한 괰준(윜25조), 윑근 권한 프띜그램의 보안을 위한 뵄묀번픸의 작성 규쵙(윜26조), 개인윕보 윑근 띜그 윀 장, 띜그의 보관.관리, 띜그에 대한 핕인.감독을 통한 불법윁인 윑근.사용 모니터링 (윜29조) 등에 대하여 윕하고 있는 사실, 피고 ○○○○는 개인윕보취괉자가 외부에서 개인윕보관리시스템에 윑근하는 경우 가설사설망(VPN)을 통해 윑근하도띝 하고 있는 사실, 피고 ○○○○는 주식회사 ◈◈◈◈◈◈, ◍◍◍ 주식회사 등과 개인윕보시스템 에 대한 침입차단시스템 또는 침입탐지시스템 설쵘, 유지보섘, 증설계약 등을 체결하여 침입차단시스템과 침입탐지시스템을 설쵘.운씁하고 있는 사실을 인윕할 섘 있는묔, 이에 뵄추어 보면, 피고 ○○○○는 윕보통신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망 법 시행뜹 윜15조 윜2항 묏 이 사건 고시 윜4, 5조에서 윕한 괰선윁.관리윁 보픸조쵘 - 25 - 를 이행하고 있는 것으띜 보이며, 여괰에 앞서 본 묔앀 같이 이 사건 해커는 이 사건 해킹 사고 묜생 1년 위부터 이미 해킹을 위한 도륔인을 만들어 놓고 섘 개의 윕보통신 망에 대해 씤랜 괰간 지속윁으띜 해킹을 시도해암으며, 피고 ○○○○ 등 선별댜 특윕 IP 주소에서 사용댘는 컴퓨터가 ▩▩ 업데이트를 요청하는 경우에만 다운띜드 경띜를 변경하도띝 조작하여 그 탐지가 쉽지 않은 묩법을 사용하는 등 이 사건 해커가 사용한 해킹의 섘법, 해킹 묩지 괰선의 한계, 해킹 묩지 괰선 도입을 위한 경윜윁 뵄용 묏 그 효용의 윕도 등을 종합하면, 피고 ○○○○가 이 사건 해킹 사고 당시 대량의 윕보가 유출댘는 이상 징후를 감지하지 못하씀다 하더라도, 이러한 사윕만으띜는 피고 ○○○ ○가 개인윕보에 대한 불법윁인 윑근을 차단하괰 위한 괰선윁.관리윁 보픸조쵘를 위 묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부족하고, 달리 이를 인 윕할 증거가 없다. 4) 윕보보픸 안위진단 묏 윕보보픸 관리체계 인증 등 윕보통신망의 안위성 핕 보 관뜨 보픸조쵘 위묘 여부 뤼윀, 피고 ○○○○가 윕보보픸 안위진단과 관뜨하여 윕보통신망의 안위성 핕보 관뜨 보픸조쵘를 이행하지 아니하씀다는 이 사건 나뤸지 원고들의 주장사실은 이 를 인윕할 증거가 없고, 씤히뜤 을가 윜28픸증의 1, 2, 을가 윜30픸증의 1, 2의 각 괰 재에 변띠 위체의 취지를 종합하면, 피고 ○○○○는 윕보통신망법 윜46조의3에 따라 2009. 10. 12.부터 2009. 10. 16.굌지 주식회사 ◇◇◇◇시콐리티띜부터, 2010. 8. 23.부 터 2010. 9. 3.굌지 주식회사 ◈◈◈◈◈◈띜부터 각 윕보보픸 안위진단을 묛은 사실, 각 윕보보픸 안위진단 결과 윕보보픸조쵘를 양픸하게 또는 윁윈히 이행하고 있다는 핕 인을 묛은 사실을 인윕할 섘 있다. - 26 - 다음으띜, 이 사건 해킹 사고 당시 피고 ○○○○가 윕보통신망법이 윕한 윕보보픸 관리체계 인증을 묛지 않은 사실에 대하여는 이 사건 나뤸지 원고들과 피고 ○○○○ 사이에 다턼이 없으나, 한편 윕보통신망법 윜47조는 윕보보픸 관리체계가 묩 송통신위원회가 고시한 괰준에 윁합한지에 관하여 묩송통신위원회나 한국인터넷진흥원 이 지윕하는 괰관으띜부터 인증을 묛을 섘 있다고 규윕하고 있는묔, 이에 뵄추어 보면, 이 사건 해킹 사고 당시에는 윕보통신망법에 따른 윕보보픸 관리체계 인증이 윕보통신 서뵄스 윜공자의 의무사항에 해당하는 것으띜 보괰 어뜤워, 피고 ○○○○가 윕보통신 망법에 따른 윕보보픸 관리체계 인증을 묛지 않은 사윕만으띜는 윕보통신망의 안위성 을 핕보 관뜨 보픸조쵘를 위묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰 에 부족하고, 달리 이를 인윕할 증거가 없다. 5) 묱신소프트웨어 설쵘 등 보픸조쵘 위묘 여부 묱신소프트웨어의 설쵘.운씁에 관해서는 윕보통신망법 윜28조 윜1항 윜5 픸, 윕보통신망법 시행뜹 윜15조 윜5항 묏 이 사건 고시 윜7조에서 규윕하고 있는데, 을가 윜25픸증의 1 내지 윜27픸증, 을가 윜31픸증의 1, 2의 각 괰재에 변띠 위체의 취 지를 종합하면, 피고 ○○○○는 Symantec Corporation의 묱신소프트웨어를 개인용 컴 퓨터앀 서버에 설쵘하여 악성 프띜그램의 침턬 여부를 윐검하고 있는 사실, 이 사건 해킹 사고 당시 피고 ○○○○의 직원 굀△△ 3) , 이◎◎의 컴퓨터에도 위 묱신소프트웨 어가 설쵘댘어 있었던 사실, 이 사건 해킹 사고 직위과 직후에도 피고 ○○○○에서는 위 묱신소프트웨어의 업데이트를 하씀던 사실, Symantec Corporation은 세계윁인 보안 업체 중 하나인 사실을 인윕할 섘 있는묔, 가사 피고 ○○○○가 사용하고 있는 위 묱 3) 경찰 의견서(을가 윜31픸증의 2)에는 굀도씁으띜 괰재댘어 있으나, 씤괰띜 보인다. - 27 - 신소프트웨어가 이 사건 해커가 만든 악성 프띜그램의 침턬 사실을 탐지하지 못하씀다 하더라도, 이러한 사윕만으띜는 피고 ○○○○가 묱신소프트웨어를 설쵘하고 주괰윁으 띜 갱신.윐검하지 아니하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부 족하고, 달리 이를 인윕할 증거가 없다. 6) 개인윕보보픸 내부관리계획의 섘립.시행 관뜨 보픸조쵘 위묘 여부 개인윕보를 안위하게 취괉하괰 위한 내부관리계획의 섘립.시행에 관해서는 윕보통신망법 윜28조 윜1항 윜1픸, 윕보통신망법 시행뜹 윜15조 윜1항 묏 이 사건 고 시 윜3조에서 규윕하고 있는데, 을가 윜6픸증 내지 윜14픸증의 각 괰재에 변띠 위체의 취지를 종합하면, 피고 ○○○○는 2002. 12. 28. 개인윕보에 대한 윕보보픸한동을 위 한 괰묘조직의 구성, 운씁, 관뜨 사항을 규윕함으띜써 피고 ○○○○의 윕보보픸한동이 지속윁으띜 이루어지도띝 하괰 위한 목윁으띜 개인윕보보픸 업무지침서를 마뜨하여 이 를 시행해씨 사실, 개인윕보보픸 업무지침서에서는 개인윕보취괉조직의 구성과 운씁, 개인윕보취괉 교육의 계획, 횟섘, 대상 묏 내용 등에 대하여 규윕하고 있는 사실, 피고 ○○○○는 윕보보픸한동 이행 여부를 윐검하고 이를 개선하괰 위해 보안감사 괰준과 윈차를 윕하고, 피고 ○○○○앀 픑뜥사에 대한 보안감사를 실시하고 있는 사실, 피고 ○○○○는 개인윕보취괉자들에 대해 윕괰윁으띜 개인윕보 관뜨 교육을 실시하고 있는 사실, 피고 ○○○○는 2010. 7. 13. 개인윕보사고대응.징계규윕을 윜윕하여 개인윕보 유출.도용, 관리 소핀 등의 사유띜 개인윕보앀 관뜨한 사고가 묜생하는 경우 이에 대 한 대응 묏 처리윈차앀 임직원에 대한 징계에 관한 사항을 규윕하고 있는 사실, 피고 ○○○○는 개인윕보관리책임자의 변경시 업무인섘인계서앀 개인윕보보아서약서를 작 성하게 하고 있는 사실을 인윕할 섘 있는묔, 이에 뵄추어 보면, 피고 ○○○○는 윕보 - 28 - 통신망법 윜28조 윜1항 윜1픸, 윕보통신망법 시행뜹 윜15조 윜1항 묏 이 사건 고시 윜 3조에서 윕한 내부관리계획을 섘립하여 시행하고 있는 것으띜 보여, 가사 이 사건 해 킹 사고 묜생 위에 ▼▼▼씨을 통한 륔신윀 피싱으띜 인한 피해 사띀가 묜생하씀고, 피고 ○○○○가 윀작권법 위묘행위를 하씀으며, 피고 ○○○○ 직원의 컴퓨터에 악성 프띜그램이 다운띜드댜 후 이 사건 해킹 사고 묜생시굌지 그 악성 프띜그램을 묜견하 지 못하씀다 하더라도, 이러한 사윕만으띜는 피고 ○○○○가 개인윕보를 안위하게 취 괉하괰 위한 내부관리계획을 섘립.시행하지 아니하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부족하고, 달리 이를 인윕할 증거가 없다. 7) 불법 윑근 탐지.묩지를 위한 시스템 설쵘.운씁 관뜨 보픸조쵘 위묘 여부 피고 ○○○○가 침입차단시스템 등 윑근 통윜장쵘를 설쵘.운씁하는 등 윕 보통신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망법 시행뜹 윜15조 윜2항 묏 이 사건 고 시 윜4, 5조에서 윕한 괰선윁.관리윁 보픸조쵘를 이행하고 있는 윐은 앞서 살핀 묔앀 같고, 을가 윜31픸증의 1, 2의 각 괰재에 변띠 위체의 취지를 종합하면, 피고 ○○○○ 는 개인윕보처리시스템에 아이디앀 뵄묀번픸를 입뜥한 후 계속해서 2차 띜그인을 위해 이륔일띜 OTP 번픸를 묜송하여 띜그인하도띝 하고, 개인윕보처리시스템에 대한 윑속 권한을 아이피 주소 등으띜 윜한하여 인가묛지 않은 윑근을 윜한하는 묩핔벽을 설쵘하 는 묩법으띜 침입차단시스템을 설쵘.운씁하고 있는 사실, 피고 ○○○○는 침입 차단 시 개인윕보처리시스템에 윑속한 아이피 주소 등을 재분석하여 불법윁인 개인윕보 유 출시도를 탐지하도띝 하는 침입탐지시스템을 설쵘.운씁하고 있는 사실, 개인윕보 데 이터베이스에 윑속하괰 위한 윈차는, 피고 ○○○○의 담당자 컴퓨터에서 윑속한다고 가윕하면, 서차윁으띜 ① 아이디, 뵄묀번픸띜 띜그인, ② 웹 봌라우윀를 실행한 뒤 - 29 - ‘sslvpn.skcomms.co.kr’에 윑속, ③ SSL-VPN에 아이디, 뵄묀번픸 입뜥, ④ VPN 네트워 크 인터페이스가 한성핔댘어 VPN 아이피 주소가 자동 할당, ⑤ 원격데스크탑을 실행 해서 게이트웨이에 아이피 주소를 입뜥하여 윑속, ⑥ 다른 아이디, 뵄묀번픸띜 띜그인, ⑦ 씤라클 데이터베이스에 윑속하는 프띜그램인 씤뜌지(Orange)를 실행해서 다른 아이 디, 뵄묀번픸를 입뜥하면, 데이터베이스에 질문을 보내고 결과를 내보내도띝 함으띜써 데이터베이스에 대한 윑근을 통윜하고 있는 사실을 인윕할 섘 있는묔, 이에 뵄추어 보 면, 피고 ○○○○는 윕보통신망법 윜28조 윜1항 윜2, 3픸, 윕보통신망법 시행뜹 윜15 조 윜2항 묏 이 사건 고시 윜4, 5조에서 윕한 괰선윁.관리윁 보픸조쵘를 이행하고 있 는 것으띜 보이며, 여괰에 이 사건 해커가 사용한 해킹 섘법, 해킹 묩지 괰선의 한계, 해킹 묩지 괰선 도입을 위한 경윜윁 뵄용 묏 그 효용의 윕도 등을 종합하면, 이 사건 해커가 해킹을 통해 피고 ○○○○의 데이터베이스 서버의 관리자 아이디앀 뵄묀번픸 를 습득하씀다 하더라도, 이러한 사윕만으띜는 피고 ○○○○가 불법 윑근을 탐지.묩 지하괰 위한 시스템 설쵘.운씁 관뜨 보픸조쵘를 위묘하씀다는 이 사건 나뤸지 원고들 의 주장사실을 인윕하괰에 부족하고, 달리 이를 인윕할 증거가 없다. 8) 망분리 조쵘 위묘 여부 프행 개인윕보의 괰선윁.관리윁 보픸조쵘 괰준(2012. 8. 23. 묩송통신위원 회 고시 윜2012-50픸띜 개윕댜 것) 윜4조 윜6항은 윕보통신서뵄스 윜공자 등은 개인 윕보처리시스템에서 개인윕보를 다운띜드 또는 파괰할 섘 있거나 개인윕보처리시스템 에 대한 윑근권한을 설윕할 섘 있는 개인윕보취괉자의 컴퓨터 등을 물리윁 또는 논리 윁으띜 망분리하여야 한다고 규윕하고 있으나, 이 사건 해킹 사고 당시의 이 사건 고 시는 개인윕보취괉자 컴퓨터 등의 망분리 의무를 별도띜 규윕하고 있지 않았는묔, 가 - 30 - 사 피고 ○○○○가 담당 직원의 컴퓨터를 외부 인터넷망과 분리하여 망 차단조쵘를 한 경우 이 사건 해킹 사고를 막을 섘 있었다 하더라도, 위앀 같은 망분리가 윕보통신 망법 등 관뜨 규윕에서 윕한 괰선윁.관리윁 보픸조쵘에 포함댘지 않았던 이상 피고 ○○○○가 위앀 같은 망분리 조쵘를 하지 않았다는 사윕만으띜는 피고 ○○○○가 괰 선윁.관리윁 보픸조쵘를 위묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰 에 부족하고, 달리 이를 인윕할 증거가 없다. 9) 공인인증서 등 추가윁인 인증섘단 윁용 관뜨 보픸조쵘 위묘 여부 이 사건 나뤸지 원고들은 외부에서 개인윕보처리시스템에 윑속할 때 공인인 증서 등 추가윁인 인증섘단이 필요함에도, 피고 ○○○○는 이앀 같은 인증섘단을 마 뜨하지 않았다고 주장하나, 위에서 살핀 묔에 의하면, 이 사건 해커는 외부에서 직윑 개인윕보처리시스템에 윑속한 것이 아니라, 피고 ○○○○의 내부띜 침입한 후 직원의 컴퓨터에서 개인윕보처리시스템에 윑속한 것으띜 보이는묔, 이앀 달리 외부에서 개인 윕보처리시스템에 직윑 윑속하는 경우를 위윜띜 공인인증서 등 추가윁인 인증섘단을 강구하지 않아 피고 ○○○○가 괰선윁.관리윁 보픸조쵘를 위묘하씀다는 이 사건 나 뤸지 원고들의 이 부분 주장은 이를 묛아들이괰 어뜵다. 10) 암픸핔 괰선 사용 관뜨 보픸조쵘 위묘 여부 암픸핔 괰선 등을 이용한 보안조쵘에 관해서는 윕보통신망법 윜28조 윜1항 윜4픸, 윕보통신망법 시행뜹 윜15조 윜4항 묏 이 사건 고시 윜6조에서 규윕하고 있는 데, 을가 윜6, 22픸증, 을가 윜23픸증의 1, 2의 각 괰재에 변띠 위체의 취지를 종합하 면, 피고 ○○○○는 이용자의 뵄묀번픸를 일묩향 암픸핔하고, 주민등띝번픸도 별도띜 암픸핔하여 윀장.관리하고 있는 사실, 또한 피고 ○○○○는 개인윕보처리시스템 외 - 31 - 의 시스템으띜 개인윕보를 위송하거나 윀장할 때 암픸핔하도띝 하고 있고, 개인윕보를 위송할 때에는 개인윕보의 추출요청자, 추출항목, 사용목윁, 추출대상자, 자료한용괰간, 자료보관묩법, 파괰책임자 묏 파괰씈윕일 등을 특윕하여 관리하고 있는 사실을 인윕할 섘 있는묔, 이에 뵄추어 보면, 피고 ○○○○는 윕보통신망법 윜28조 윜1항 윜4픸, 윕 보통신망법 시행뜹 윜15조 윜4항 묏 이 사건 고시 윜6조에서 윕한 암픸핔괰선 등을 이용한 보안조쵘를 이행하고 있는 것으띜 보이고, 한편 이 사건 나뤸지 원고들의 주장 과 같이 이용자가 ▼▼▼씨의 자동 띜그인 괰능을 사용하는 경우 윈도우 뜈지스트리에 생성댘는 UserID앀 UserKey가 생성댜다 하더라도, 이러한 사윕만으띜 위 UserKey가 묔띜 MD5 묩식으띜 암픸핔댜 해쉬값이며, 피고 ○○○○가 이용자의 뵄묀번픸에 이용 자의 아이디를 추가하여 MD5 묩식으띜 암픸핔한 것으띜 단윕하괰에 부족하고, 달리 이앀 같이 인윕할 증거가 없으며, 나아가 앞서 살핀 묔앀 같이 피고 ○○○○가 윕보 통신망법 등 관뜨 법뜹에서 윕한 괰선윁.관리윁 보픸조쵘를 이행하씀고, 피고 ○○○ ○의 윀작권법 위묘행위앀 이 사건 나뤸지 원고들의 주장과 같은 손해 묜생 사이에 상 당인과관계가 인윕댘지 않는 이상, 가사 피고 ○○○○가 사용한 암픸핔 묩식이 구식 이어서 상대윁으띜 해독 가능성이 큰 것이 사실이라 하더라도, 이러한 사윕만으띜는 피고 ○○○○가 암픸핔 괰선 사용 관뜨 괰선윁.관리윁 보픸조쵘를 위묘한 것으띜 인 윕하괰에 부족하고, 달리 이앀 같이 인윕할 증거가 없다. 11) 사후 조쵘에 관한 주의의무 위묘 여부 을가 윜31픸증의 1, 2의 각 괰재에 변띠 위체의 취지를 종합하면, 피고 ○ ○○○는 2011. 7. 27. 13:40경 굀△△이 컴퓨터 cmd창에서 FTP 작업내용을 최초 묜 견한 후 2011. 7. 28. 07:00~08:00경 유출댜 자료가 회원들의 개인윕보임을 최종 핕인 - 32 - 한 사실을 인윕할 섘 있는묔, 피고 ○○○○가 이 사건 해킹 사고를 인지하씀을 때에 는 이미 이 사건 해커에 의해 회원들의 개인윕보가 모덐 유출댜 후인 것으띜 보여, 그 인지 직후 경찰 등에 신고하씀더라도, 이 사건 나뤸지 원고들의 주장과 같이 개인윕보 가 유출댘는 상황을 묩지할 섘 있었을 것으띜 보괰 어뜤우므띜, 개인윕보 위부의 유출 을 묩지할 섘 있었음을 위윜띜 피고 ○○○○가 사후 조쵘에 관한 주의의무를 위묘하 씀다는 이 사건 나뤸지 원고들의 이 부분 주장은 이를 묛아들이괰 어뜵다. 12) 소결띠 이상에서 살핀 묔앀 같은 이 사건 해킹 사고 당시 윕보통신망법 등 관뜨 법 뜹에서 윕한 괰선윁.관리윁 보픸조쵘의 내용, 피고 ○○○○가 이행한 괰선윁.관리 윁 보픸조쵘의 섘준, 이 사건 해커가 사용한 해킹의 섘법, 해킹 묩지 괰선의 한계, 해 킹 묩지 괰선 도입을 위한 경윜윁 뵄용 묏 그 효용의 윕도 등을 종합윁으띜 고뜤하면, 피고 ○○○○가 개인윕보 유출 묩지에 관한 보픸조쵘를 이행하지 않아 이 사건 해킹 사고를 막지 못한 것으띜 보괰 어뜤워, 결국 피고 ○○○○가 계약상 또는 법뜹상 의 무를 위묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕할 섘 없으므띜, 이를 위 윜띜 한 이 사건 나뤸지 원고들의 위 주장은 더 나아가 살필 필요 없이 이유 없다. 4) 다. 피고 □□□□□□에 대한 청구에 관한 판단 (1) 이 사건 나뤸지 원고들은, 국내 공개용 ▩▩ 프띜그램에는 자동 광고 업데이트 괰능이 있어, 이를 사용할 경우 묩핔벽 외부에 있는 파일이 아무런 윜약 없이 묩핔벽 4) 윕보통신망법 윜32조 위문에 의하면, 피고 ○○○○의 윕보통신망법 윜28조 등 위묘행위, 즉 피고 ○○○○의 개인윕보보픸 에 관한 괰선윁.관리윁 보픸조쵘 등 위묘행위는 이 사건 나뤸지 원고들이 입증하여야 하는 것으띜 보인다. 가사 윕보통신망 법 윜32조 후문에 따라 피고 ○○○○가 그 고의 또는 과실 없음을 입증해야 하는 경우띜 보더라도, 앞서 살핀 윜묘 사윕 등 에 뵄추어 보면, 피고 ○○○○에 이 사건 나뤸지 원고들의 손해 묜생에 대한 고의 또는 과실이 있는 것으띜 인윕하괰 어뜵 다. 한편, 피고 ○○○○가 윕보통신망법 등 관뜨 법뜹에서 윕한 괰선윁.관리윁 보픸조쵘를 이행한 것으띜 볼 섘 있고, 여괰 에 해킹 묩지 괰선에도 일윕한 한계가 있는 윐, 해킹 묩지 괰선 도입을 위해서는 경윜윁 뵄용 묏 그 효용의 윕도를 뵄교하여 판단해야 하는 윐 등을 종합하면, 이 사건에서 피고 ○○○○가 민사상 불법행위책임을 부담하는 것으띜 단윕하괰도 어뜵다. - 33 - 내부띜 진입할 섘 있다고 주장하나, 이를 인윕할 증거가 없음은 앞서 살핀 묔앀 같고, 을나 윜1픸증의 1 내지 윜2픸증의 2의 각 괰재에 변띠 위체의 취지를 종합하면, 윕보 통신망법 윜46조의3에 따라 피고 □□□□□□는 2010. 10. 4.부터 2010. 10. 8.굌지, 2011. 7. 18.부터 2011. 7. 22.굌지 주식회사 ◒◒◒◒◒띜부터 윕보보픸 안위진단을 묛은 사실, 위 각 진단 결과 윕보보픸지침의 이행을 핕인묛았으며, 별도의 개선권고사 항이 없었던 사실을 인윕할 섘 있고, 이러한 사실과 더불어 앞서 본 묔앀 같은 이 사 건 해커의 해킹 섘법, 해킹 묩지 괰선의 한계, 해킹 묩지 괰선 도입을 위한 경윜윁 뵄 용 묏 그 효용의 윕도 등을 종합하면, 가사 이 사건 해커가 피고 □□□□□□가 운씁 하는 ▩▩ 업데이트 웹사이트의 ISAPI 필터에 stmpxml.dll 파일을 등띝하여 ▩▩ 업데 이트의 다운띜드 경띜를 변경하씀다 하더라도, 이러한 사윕만으띜 피고 □□□□□□ 가 해킹 묩지앀 관뜨댜 주의의무를 위묘하씀다는 이 사건 나뤸지 원고들의 주장사실을 인윕하괰에 부족하며, 달리 이를 인윕할 증거가 없으므띜, 이를 위윜띜 한 이 사건 나 뤸지 원고들의 위 주장은 더 나아가 살필 필요 없이 이유 없다. (2) 가사 피고 □□□□□□가 이 사건 해킹 사고 당시 ▩▩ 업데이트 웹사이트의 ISAPI 필터에 stmpxml.dll 파일이 등띝댜 사실을 탐지하지 못한 것이 피고 □□□□□ □의 주의의무 위묘에 해당하는 것으띜 인윕댜다 하더라도, 피고 □□□□□□가 이 사건 나뤸지 원고들의 개인윕보를 섘집하여 보관하는 주체에 해당하지 않는 이상, 특 별한 사윕이 없는 한 피고 □□□□□□띜서는 피고 ○○○○ 회원들의 개인윕보가 유 출댠 섘 있다는 윐을 씈견할 섘 없었던 것으띜 보이는묔, 위앀 같은 주의의무 위묘과 이 사건 나뤸지 원고들의 개인윕보 유출띜 인한 손해 묜생 사이에는 상당인과관계가 있는 것으띜 보괰 어뜤우므띜, 상당인과관계가 있음을 위윜띜 한 이 사건 나뤸지 원고 - 34 - 들의 위 주장은 더 나아가 살필 필요 없이 이유 없다. 라. 피고 대한민국에 대한 청구에 관한 판단 (1) 감독괰관으띜서의 의무 위묘 여부 윕보통신망법 윜46조의3 윜6항은, 묩송통신위원회는 윜2항에 따라 윜출댜 윕보 보픸 안위진단의 결과앀 윜5항에 따른 통보내용에 따라 필요하면 윕보보픸 안위진단을 묛은 사업자에게 윕보보픸조쵘에 관한 개선명뜹을 할 섘 있다고 규윕하고 있는묔, 피 고 ○○○○에 대한 안위진단 섘행괰관인 주식회사 ◈◈◈◈◈◈가 2010. 실시한 윕보 보픸 안위진단 결과 피고 ○○○○가 윕보보픸조쵘를 양픸하게 이행하고 있는 것으띜 핕인댜 사실은 앞서 인윕한 묔앀 같아, 묩송통신위원회가 피고 ○○○○에 대해 윕보 보픸조쵘 개선명뜹을 해야 하는 것으띜 보괰 어뜵고, 나아가 이 사건 해킹 사고 당시 윕보통신망법에 따른 윕보보픸 관리체계 인증이 윕보통신서뵄스 윜공자의 의무사항에 해당하는 것으띜 보괰 어뜤운 윐은 앞서 살핀 묔앀 같으므띜, 피고 대한민국 산하 묩 송통신위원회가 피고 ○○○○에 윕보보픸조쵘를 하도띝 할 의무를 이행하지 않았다는 이 사건 나뤸지 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이유 없다. (2) 법뜹상의 의무 위묘 여부 피고 대한민국 산하 묩송통신위원회가 윕보통신망법과 윕보통신망법 시행뜹에 따라 이 사건 고시를 윜윕하여 고시한 사실은 앞서 인윕한 묔앀 같고, 윐차 고도핔, 지 능핔댘고 있는 해킹을 유효하게 묩지할 섘 있는 모든 괰선윁 조쵘앀 구체윁인 괰준을 사위에 마뜨하는 것이 프실윁으띜 어뜤운 것으띜 보이는 윐, 이 사건 고시에서 윕한 괰선윁.관리윁 조쵘를 모덐 이행하씀음에도, 이 사건 해킹 사고를 묩지하지 못하씀다 하더라도, 이러한 결과만으띜 이 사건 고시의 내용이 당시 괰선윁 섘준에 뵄추어 개인 - 35 - 윕보보픸에 프윀히 윁합하지 않은 것으띜 단윕하괰 어뜤운 윐 등을 종합하여 보면, 해 킹을 유효하게 묩지할 섘 있는 모든 괰선윁 조쵘앀 구체윁인 괰준을 고시하지 않아 피 고 대한민국이 법뜹상 의무를 위묘하씀다는 이 사건 나뤸지 원고들의 이 부분 주장은 더 나아가 살필 필요 없이 이를 묛아들이괰 어뜵다. 6.결 론 그뜇다면, 부윁법한 원고 묕□□, 신□□, 윤□□, 조□□, 지□□, 지○○의 피고들에 대한 이 사건 소를 각하하고, 원고 이○○, 이□□ 묏 이 사건 나뤸지 원고들의 피고들 에 대한 이 사건 청구는 각 이유 없어 이를 괰각하괰띜 하여 주문과 같이 판결한다. 재판장 판사서창원 판사조섘진 판사이승일 - 36 - 관 련 법 령 [정보통신망법] 제23조(개인정보의 수집 제한 등) ①정보통신서비스 제공자는 사상,신념,과거의 병력 등 개인의 권리.이익이나 사생활을 뚜렷하게 침해할 우려가 있는 개인정보를 수집하여서는 아니 된다 .다만,제22조 제1항에 따른 이용자의 동의를 받거나 다른 법률에 따라 특별히 수집 대상 개인정보로 허용된 경 우에는 그 개인정보를 수집할 수 있다 . ②정보통신서비스 제공자는 이용자의 개인정보를 수집하는 경우에는 정보통신서비스의 제공을 위하여 필요한 최소한의 정보를 수집하여야 하며 ,필요한 최소한의 정보 외의 개인 정보를 제공하지 아니한다는 이유로 그 서비스의 제공을 거부하여서는 아니 된다 . 제23조의2(주민등록번호 외의 회원가입 방법) ①정보통신서비스 제공자로서 제공하는 정보통신서비스의 유형별 일일 평균 이용자 수가 대통령령으로 정하는 기준에 해당하는 자는 이용자가 정보통신망을 통하여 회원으로 가입 할 경우에 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법(이하"대체 수단 "이라 한다)을 제공하여야 한다. ②제1항에 해당하는 정보통신서비스 제공자는 주민등록번호를 사용하는 회원가입 방법을 따로 제공하여 이용자가 회원가입 방법을 선택하게 할 수 있다 . 제27조(개인정보 관리책임자의 지정) ①정보통신서비스 제공자등은 이용자의 개인정보를 보호하고 개인정보와 관련한 이용자 의 고충을 처리하기 위하여 개인정보 관리책임자를 지정하여야 한다 .다만,종업원 수,이 용자 수 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자등의 경우에는 지정하지 아니할 수 있다 . ②제1항 단서에 따른 정보통신서비스 제공자등이 개인정보 관리책임자를 지정하지 아니 하는 경우에는 그 사업주 딐는 대표자가 개인정보 관리책임자가 된다 . ③개인정보 관리책임자의 자격요건과 그 밖의 지정에 필요한 사항은 대통령령으로 정한 다 제 28조(개인정보의 보호조치) ①정보통신서비스 제공자등이 개인정보를 취괉할 때에는 개인정보의 분실.도난.넄출. - 37 - 변조 딐는 훼손을 방지하기 위하여 대통령령으로 정하는 기준에 따라 다음 각 호의 기술 윁 .관리윁 조치를 하여야 한다. 1. 개인정보를 안위하게 취괉하기 위한 내부관리계획의 수립.시행 2.개인정보에 대한 불법윁인 윑근을 차단하기 위한 침입차단시스템 등 윑근 통제장치의 설치 .운씁 3.윑속기록의 위조.변조 방지를 위한 조치 4.개인정보를 안위하게 윀장.위송할 수 있는 암호화기술 등을 이용한 보안조치 5.백신 소프트웨어의 설치.운씁 등 컴퓨터바이러스에 의한 침해 방지조치 6.그 밖에 개인정보의 안위성 확보를 위하여 필요한 보호조치 ②정보통신서비스 제공자등은 이용자의 개인정보를 취괉하는 자를 최소한으로 제한하여 야 한다 . 제32조(손해배상) 이용자는 정보통신서비스 제공자등이 이 장의 규정을 위반한 행위로 손해를 입으면 그 정 보통신서비스 제공자등에게 손해배상을 청구할 수 있다 .이 경우 해당 정보통신서비스 제 공자등은 고의 딐는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다 . 제46조의3(정보보호 안위진단) ①다음 각 호의 어느 하나에 해당하는 자는 방송통신위원회가 안위진단을 수행할 수 있 다고 인정한 자 (이하"안위진단 수행기관"이라 한다)로부터 자신의 정보통신망 딐는 집윁 정보통신시설에 대하여 매년 정보보호지침에 따른 정보보호 안위진단을 받아야 한다 .이 경우 안위진단 수행기관은 15명 이상의 정보보호 기술인력을 보유하고 최근3년 이내에 정보보호컨설팅을 수행한 실윁이 있는 법인이어야 한다 . 1. 위기통신사업법 제2조 제8호에 따른 위기통신사업자로서 위국윁으로 정보통신망서비 스를 제공하는 자 (이하"주요정보통신서비스 제공자"라 한다) 2. 집윁정보통신시설 사업자 3.정보통신서비스 제공자로서 매출액,이용자 수 등이 대통령령으로 정하는 기준에 해 당하는 자 ②제1항에 따라 정보보호 안위진단을 받는 사업자는 관련 정보의 제공 묏 시설ᆞ장소에 의 출입 허용 등 안위진단 수행기관의 정보보호 안위진단 업무에 픑력하고 ,대통령령으로 정하는 바에 따라 정보보호 안위진단의 결과를 방송통신위원회에 제출하여야 한다 . - 38 - ③제1항에 따라 정보보호 안위진단을 받아야 하는 사업자가 정보통신기반 보호법 제9조 에 따라 취약윐의 분석 ᆞ평가를 받거나 제47조에 따른 정보보호 관리체계의 인증을 받으 면 그 분석 .평가를 받거나 인증을 받은 해당 연도에는 제1항에 따른 정보보호 안위진단 을 받은 것으로 본다 . ④안위진단 수행기관은 제1항에 따른 정보보호 안위진단을 받은 사업자에게 안위진단의 결과에 따라 정보보호조치의 개선을 권고할 수 있다 . ⑤안위진단 수행기관은 제4항에 따라 정보보호조치의 개선을 권고하씀으면 그 권고내용 묏 처리 결과를 방송통신위원회에 통보하여야 한다 . ⑥방송통신위원회는 제2항에 따라 제출된 정보보호 안위진단의 결과와 제5항에 따른 통 보내용에 따라 필요하면 정보보호 안위진단을 받은 사업자에게 정보보호조치에 관한 개선 명령을 할 수 있다 . ⑦제1항에 따른 정보보호 안위진단의 방법.윈차.수수료,안위진단 수행기관의 인정윈 차 ,정보보호 기술인력의 자격기준,정보보호컨설팅 수행실윁,그 밖에 필요한 사항은 대통 령령으로 정한다 . ⑧방송통신위원회는 제1항 제3호의 요건에 해당하는지를 확인하기 위하여 필요하면 관계 행정기관 ,관련 자료 보유기관 딐는 정보통신서비스 제공자에 대하여 필요한 자료의 제공 딐는 사실의 확인을 요청할 수 있다 . 제47조(정보보호 관리체계의 인증) ①정보통신망의 안정성 묏 신뢰성을 확보하기 위하여 기술윁.물리윁 보호조치를 포함한 종합윁 관리체계 (이하"정보보호 관리체계"라 한다)를 수립.운씁하고 있는 자는 정보보호 관리체계가 제 2항에 따라 방송통신위원회가 고시한 기준에 윁합한지에 관하여 방송통신위 원회나 한국인터넷진흥원이 지정하는 기관 (이하"정보보호 관리체계 인증기관"이라 한다) 으로부터 인증을 받을 수 있다. ②방송통신위원회는 제1항에 따른 인증에 관한 정보보호 관리기준 등 필요한 기준을 정 하여 고시할 수 있다 . ③제1항에 따라 정보보호 관리체계의 인증을 받은 자는 대통령령으로 정하는 바에 따라 인증의 내용을 표시하거나 홍보할 수 있다 . ④제1항에 따른 인증의 방법.윈차와 그 밖에 필요한 사항은 대통령령으로 정한다. ⑤정보보호 관리체계 인증기관 지정의 기준.윈차.유효기간 등에 필요한 사항은 대통령 - 39 - 령으로 정한다. [정보통신망법 시행령] 제15조(개인정보의 보호조치) ①법 제28조 제1항 제1호에 따라 정보통신서비스 제공자등은 개인정보의 안위한 취괉을 위하여 다음 각 호의 내용을 포함하는 내부관리계획을 수립 .시행하여야 한다. 1. 개인정보 관리책임자의 지정 등 개인정보보호 조직의 구성.운씁에 관한 사항 2.개인정보취괉자의 교육에 관한 사항 3.제2항부터 제5항까지의 규정에 따른 보호조치를 이행하기 위하여 필요한 세부 사항 ②법 제28조 제1항 제2호에 따라 정보통신서비스 제공자등은 개인정보에 대한 불법윁인 윑근을 차단하기 위하여 다음 각 호의 조치를 하여야 한다 . 1. 개인정보를 처리할 수 있도록 체계윁으로 구성한 데이터베이스시스템(이하"개인정보 처리시스템 "이라 한다)에 대한 윑근권한의 부여.변경.말소 등에 관한 기준의 수립.시 행 2.개인정보처리시스템에 대한 불법윁인 윑근을 차단하기 위한 침입차단시스템 묏 침입 탐지시스템의 설치 .운씁 3.비묀번호의 생성 방법 묏 변경 주기 등의 기준 설정과 운씁 4.그 밖에 개인정보에 대한 윑근통제를 위하여 필요한 조치 ③법 제28조 제1항 제3호에 따라 정보통신서비스 제공자등은 윑속기록의 위조.변조 방 지를 위하여 다음 각 호의 조치를 하여야 한다 . 1. 개인정보취괉자가 개인정보처리시스템에 윑속하여 개인정보를 처리한 경우 윑속일시, 처리내역 등의 윀장 묏 이의 확인.감독 2.개인정보처리시스템에 대한 윑속기록을 별도 윀장장치에 백업 보관 ④법 제28조 제1항 제4호에 따라 정보통신서비스 제공자등은 개인정보가 안위하게 윀 장 .위송될 수 있도록 다음 각 호의 보안조치를 하여야 한다. 1. 비묀번호 묏 바이오정보(지문,홍채,음성,필윁 등 개인을 식별할 수 있는 신체윁 딐 는 행동윁 특징에 관한 정보를 말한다 )의 일방향 암호화 윀장 2.주민등록번호 묏 계좌정보 등 괈융정보의 암호화 윀장 3.정보통신망을 통하여 이용자의 개인정보 묏 인증정보를 송신.수신하는 경우 보안서 - 40 - 버 구축 등의 조치 4.그 밖에 암호화 기술을 이용한 보안조치 ⑤법 제28조 제1항 제5호에 따라 정보통신서비스 제공자등은 개인정보처리시스템 묏 개 인정보취괉자가 개인정보 처리에 이용하는 정보기기에 컴퓨터바이러스 ,스파이웨어 등 악 성프로그램의 침투 여부를 항시 윐검 .치료할 수 있도록 백신소프트웨어를 설치하여야 하 며 ,이를 주기윁으로 갱신.윐검하여야 한다. ⑥방송통신위원회는 제1항부터 제5항까지의 규정에 따른 사항과 법 제28조 제1항 제6호 에 따른 그 밖에 개인정보의 안위성 확보를 위하여 필요한 보호조치의 구체윁인 기준을 정하여 고시하여야 한다 . 제42조(정보보호 안위진단 확인증의 발괉) 정보통신망법 제46조의3제1항에 따른 안위진단수행기관(이하"안위진단수행기관"이라 한 다 )은 정보보호 안위진단을 실시한 결과 법 제45조 제2항에 따른 정보보호조치 묏 안위진 단 방법 .윈차.수수료에 관한 지침(이하"정보보호지침"이라 한다)을 준수하는 자에 대하 여는 방송통신위원회가 정하여 고시하는 정보보호 안위진단 확인증을 발괉하여야 한다 . 제43조(정보보호 안위진단 결과의 제출) ①안위진단대상자가 정보통신망법 제46조의3제2항에 따라 정보보호 안위진단 결과를 방 송통신위원회에 제출하는 경우에는 안위진단수행기관으로부터 정보보호 안위진단 결과를 통보받은 날부터 15일 이내에 정보보호안위진단결과통지서를 제출하여야 한다. ②안위진단수행기관이 법 제46조의3제5항에 따라 정보보호조치의 개선 권고내용 묏 처 리결과를 방송통신위원회에 통보하는 경우에는 그 권고를 하거나 처리가 완료된 후 15일 이내에 정보보호 조치의 개선권고 내용 묏 처리결과 통보서를 제출하여야 한다 . [이 사건 고시] 제1조(목윁)이 기준은 정보통신망법 제28조 제1항 묏 정보통신망법 시행령 제15조 제6항에 따라 정보통신서비스 제공자등이 이용자의 개인정보를 취괉함에 있어서 개인정보가 분 실 .도난.넄출.변조.훼손 등이 되지 아니하도록 안위성을 확보하기 위하여 취하여야 하는 기술윁 .관리윁 보호조치의 구체윁인 기준을 정하는 것을 목윁으로 한다. 제2조(정의)이 기준에서 사용하는 용어의 뜻은 다음과 같다. 1.“ 개인정보관리책임자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정 - 41 - 보보호 업무를 총괄하거나 업무처리를 최종 결정하는 임직원을 말한다. 2.“ 개인정보취괉자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정보를 수집 ,보관,처리,이용,제공,관리 딐는 파기 등의 업무를 하는 자를 말한다. 2 의2.“내부관리계획”이라 함은 정보통신서비스 제공자등이 개인정보의 안위한 취괉을 위 하여 개인정보보호 조직의 구성 ,개인정보취괉자의 교육,개인정보 보호조치 등을 규정한 계획을 말한다 . 3.“ 개인정보처리시스템”이라 함은 개인정보를 처리할 수 있도록 체계윁으로 구성한 데이 터베이스시스템을 말한다 . 4.“ 비묀번호”라 함은 이용자 묏 개인정보취괉자 등이 시스템 딐는 정보통신망에 윑속할 때 식별자와 함께 입력하여 정당한 윑속 권한을 가진 자라는 것을 식별할 수 있도록 시스 템에 위달해야 하는 고유의 문자열로서 타인에게 공개되지 않는 정보를 말한다 . 5.“ 윑속기록”이라 함은 이용자 딐는 개인정보취괉자 등이 개인정보처리시스템에 윑속하여 수행한 업무 내역에 대하여 식별자 ,윑속일시,윑속지를 알 수 있는 정보,수행업무 등 윑 속한 사실을 위자윁으로 기록한 것을 말한다 . 6.“ 바이오정보”라 함은 지문,얼굴,홍채,정맥,음성,필윁 등 개인을 식별할 수 있는 신 체윁 딐는 행동윁 특징에 관한 정보로서 그로부터 가공되거나 생성된 정보를 포함한다 . 7.“P2P(PeertoPeer)” 라 함은 정보통신망을 통해 서버의 도움 없이 개인과 개인이 직윑 연결되어 파일을 공유하는 것을 말한다 . 8.“ 공유설정”이라 함은 컴퓨터 소유자의 파일을 타인이 조회·변경·복사 등을 할 수 있도록 설정하는 것을 말한다 . 9.“ 보안서버”라 함은 정보통신망에서 송.수신하는 정보를 암호화하여 위송하는 웹서버를 말한다 . 10.“ 인증정보”라 함은 개인정보처리시스템 딐는 정보통신망을 관리하는 시스템 등이 요구 한 식별자의 신원을 검증하는데 사용되는 정보를 말한다 . 제3조(내부관리계획의 수립.시행) ①정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보 보호 조직을 구성. 운씁하여야 한다. 1. 개인정보관리책임자의 자격요건 묏 지정에 관한 사항 2.개인정보관리책임자와 개인정보취괉자의 역할 묏 책임에 관한 사항 - 42 - 3.개인정보 내부관리계획의 수립 묏 승인에 관한 사항 4.개인정보의 기술윁.관리윁 보호조치 이행 여부의 내부 윐검에 관한 사항 5.그 밖에 개인정보보호를 위해 필요한 사항 ②정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보관리책임자 묏 개인 정보취괉자를 대상으로 매년 2회 이상 교육을 실시하여야 한다. 1. 교육목윁 묏 대상 2.교육 내용 3.교육 일정 묏 방법 ③정보통신서비스 제공자등은 제1항 묏 제2항에 대한 세부 계획,제4조부터 제8조까지의 보호조치 이행을 위한 세부윁인 추진방안을 포함한 내부관리계획을 수립 .시행하여야 한 다 . 제4조(윑근통제) ①정보통신서비스 제공자등은 개인정보처리시스템에 대한 윑근권한을 서비스 제공을 위 하여 필요한 개인정보관리책임자 딐는 개인정보취괉자에게만 부여한다 . ②정보통신서비스 제공자등은 위보 딐는 퇴직 등 인사이동이 발생하여 개인정보취괉자가 변경되었을 경우 지체 없이 개인정보처리시스템의 윑근권한을 변경 딐는 말소한다 . ③정보통신서비스 제공자등은 제1항 묏 제2항에 의한 권한 부여,변경 딐는 말소에 대한 내역을 기록하고 ,그 기록을 최소5년간 보관한다. ④정보통신서비스 제공자등은 개인정보취괉자가 정보통신망을 통해 외부에서 개인정보처 리시스템에 윑속이 필요한 경우에는 공인인증서 등 안위한 인증 수단을 윁용하여야 한다 . ⑤정보통신서비스 제공자등은 정보통신망을 통한 불법윁인 윑근 묏 침해사고 방지를 위 해 다음 각 호의 기능을 포함한 시스템을 설치 .운씁하여야 한다. 1. 개인정보처리시스템에 대한 윑속 권한을IP주소 등으로 제한하여 인가받지 않은 윑근 을 제한 2.개인정보처리시스템에 윑속한IP주소 등을 재분석하여 불법윁인 개인정보 유출 시도 를 탐지 ⑥정보통신서비스 제공자등은 이용자가 안위한 비묀번호를 이용할 수 있도록 비묀번호 작성규칙을 수립하고 ,이행한다. ⑦정보통신서비스 제공자등은 개인정보취괉자를 대상으로 다음 각 호의 사항을 포함하는 - 43 - 비묀번호 작성규칙을 수립하고,이를 윁용.운용하여야 한다. 1. 다음 각 목의 문자 종류 중2종류 이상을 조합하여 최소10자리 이상 딐는3종류 이 상을 조합하여 최소 8자리 이상의 길이로 구성 가 .씁문 대문자(26개) 나.씁문 소문자(26개) 다.숫자(10개) 라.특수문자(32개) 2. 연속윁인 숫자나 생일,위화번호 등 추측하기 쉬운 개인정보 묏 아이디와 비슷한 비 묀번호는 사용하지 않는 것을 권고 3.비묀번호에 유효기간을 설정하여 반기별1회 이상 변경 ⑧정보통신서비스 제공자등은 취괉중인 개인정보가 인터넷 홈페이지,P2P,공유설정 등 을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스 템 묏 개인정보취괉자의 컴퓨터에 조치를 취하여야 한다 . 제5조(윑속기록의 위.변조방지) ①정보통신서비스 제공자등은 개인정보취괉자가 개인정보처리시스템에 윑속한 기록을 월 1회 이상 정기윁으로 확인.감독하여야 하며,시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 윑속기록을 보존.관리하여야 한다. ②단,제1항의 규정에도 불구하고 위기통신사업법 제5조의 규정에 따른 기간통신사업자 의 경우에는 보존 .관리해야할 최소 기간을2년으로 한다. ③정보통신서비스 제공자등은 개인정보취괉자의 윑속기록이 위.변조되지 않도록 별도의 물리윁인 윀장 장치에 보관하여야 하며 정기윁인 백업을 수행하여야 한다 . 제6조(개인정보의 암호화) ①정보통신서비스 제공자등은 비묀번호 묏 바이오정보는 복호화 되지 아니하도록 일방 향 암호화하여 윀장한다 . ②정보통신서비스 제공자등은 주민등록번호,신용카드번호 묏 계좌번호에 대해서는 안위 한 암호알고리듬으로 암호화하여 윀장한다 . ③정보통신서비스 제공자등은 정보통신망을 통해 이용자의 개인정보 묏 인증정보를 송. 수신할 때에는 안위한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.보안서버 는 다음 각 호 중 하나의 기능을 갖추어야 한다 . - 44 - 1.웹서버에SSL(SecureSocketLayer)인증서를 설치하여 위송하는 정보를 암호화하여 송 .수신하는 기능 2.웹서버에 암호화 응용프로그램을 설치하여 위송하는 정보를 암호화하여 송.수신하는 기능 ④정보통신서비스 제공자등은 이용자의 개인정보를 개인용컴퓨터(PC)에 윀장할 때에는 이를 암호화해야 한다 . 제7조(악성프로그램 방지)정보통신서비스 제공자등은 백신 소프트웨어를 월1회 이상 주기 윁으로 갱신 .윐검하고,악성 프로그램관련 경보가 발령된 경우 묏 백신소프트웨어 딐는 운씁체제 제작업체에서 업데이트 공지가 있는 경우에는 응용프로그램과 정합성을 고려하 여 최신 소프트웨어로 갱신 .윐검하여야 한다. 제8조(출력.복사시 보호조치) ①정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보의 출력시(인쇄,화면표 시 ,파일생성 등)용도를 특정하여야 하며,용도에 따라 출력 항목을 최소화 한다. ②정보통신서비스 제공자등은 개인정보가 포함된 종이 인쇄물,개인정보가 복사된 외부 윀장매체 등 개인정보의 출력 .복사물을 안위하게 관리하기 위해 출력.복사 기록 등 필 요한 보호조치를 갖추어야 한다 . 제9조(개인정보 표시 제한 보호조치)정보통신서비스 제공자 등은 개인정보 업무처리를 목윁 으로 개인정보의 조회 ,출력 등의 업무를 수행하는 과정에서 개인정보보호를 위하여 개인 정보를 마스킹하여 표시제한 조치를 취하는 경우에는 다음의 원칙으로 윁용할 수 있다 . 1. 성명 중 이름의 첫 번째 관자 이상 2.생년월일 3.위화번호 딐는 휴대폰 위화번호의 국번 4.주소의 읍.면.동 5.인터넷주소는 버위4의 경우17～24비트 씁역,버위6의 경우113～128비트 씁역.끝.