해킹은 전 세계 거의 모든 나라에서 불법입니다.
영국에서 컴퓨터 범죄를 규율하는 핵심 입법은 바로 1990년 컴퓨터 오용법(Computer Misuse Act 1990)입니다. 이 법은 이후 수많은 영연방(Commonwealth) 국가들의 컴퓨터 범죄 관련 입법의 기초가 되었습니다.
그러나 이 법은 동시에 상당히 논란이 많은 입법이기도 합니다. 최근에는 영국의 주요 정보기관인 GCHQ(정부통신본부)가 원하는 어떤 컴퓨터든 해킹할 수 있는 법적 권한을 부여하도록 개정되었는데요. 과연 이 법은 무엇이고, 어떤 내용을 담고 있을까요?
최초의 해커들
컴퓨터 오용법은 1990년에 처음 제정되어 시행되었지만, 그 이전에 컴퓨터 범죄가 없었다는 뜻은 아닙니다. 다만 기소하는 것이 사실상 불가능할 정도로 어려웠을 뿐입니다. 영국에서 기소된 최초의 컴퓨터 범죄 중 하나는 1985년의 '로버트 시프린·스티븐 골드 사건(R v Robert Schifreen and Stephen Gold)'이었습니다.
시프린과 골드는 흔히 구할 수 있는 일반적인 컴퓨터 장비만으로 프레스텔(Prestel, 당시 영국통신(BT)의 자회사)이 운영하던 뷰데이터(Viewdata) 시스템, 즉 현대 인터넷의 초보적인 중앙집중식 전신을 침해하는 데 성공했습니다. 해킹 방법 자체는 의외로 단순했습니다. 두 사람은 영국통신 엔지니어 한 명을 발견하고, 그가 로그인 정보(사용자명 '22222222', 비밀번호 '1234')를 입력하는 모습을 어깨 너머로 훔쳐봤습니다. 이 정보를 손에 넣은 그들은 뷰데이터 시스템을 마음대로 누비며 심지어 영국 왕실의 개인 메시지까지 열람했습니다.
영국통신은 곧 수상함을 느끼고 해당 뷰데이터 계정들을 감시하기 시작했고, 얼마 지나지 않아 의심이 적중했습니다. BT는 경찰에 신고했고, 시프린과 골드는 체포되어 위조 및 변조법(Forgery and Counterfeiting Act) 위반 혐의로 기소되었습니다. 두 사람은 유죄 판결을 받고 각각 750파운드와 600파운드의 벌금형을 선고받았습니다.
문제는 위조 및 변조법이 컴퓨터 범죄, 특히 금전적 이득이 아닌 호기심과 탐구심에서 비롯된 행위에는 사실상 맞지 않는 법이라는 점이었습니다.
시프린과 골드는 판결에 불복해 항소했고, 승소했습니다. 검찰은 이 무죄 판결에 대해 귀족원(House of Lords)에 상고했지만 패했습니다. 이 항소 심판 중 한 명인 데이비드 브레넌 경(Lord David Brennan)은 무죄를 확정하며, 정부가 컴퓨터 범죄자를 처벌하고 싶다면 그에 걸맞은 법률을 새로 만들어야 한다고 지적했습니다.
바로 이 필요성이 컴퓨터 오용법의 탄생으로 이어졌습니다.
컴퓨터 오용법이 금지하는 세 가지 범죄
1990년 제정된 컴퓨터 오용법은 세 가지 특정 행위를 범죄로 규정했으며, 각각 처벌 수위도 달랐습니다.
- 권한 없이 컴퓨터 시스템에 접근하는 행위
- 추가 범죄를 저지르거나 돕기 위해 컴퓨터 시스템에 접근하는 행위
- 프로그램의 작동을 방해하거나, 소유권이 없는 데이터를 임의로 수정하기 위해 컴퓨터 시스템에 접근하는 행위
결정적으로, 1990년 컴퓨터 오용법상 범죄가 성립하려면 반드시 고의(intent)가 있어야 합니다. 예컨대 실수로, 우연히 접근 권한이 없는 서버나 네트워크에 연결된 것은 범죄가 아닙니다.
하지만 접근 권한이 없다는 사실을 알면서도 고의적으로 시스템에 침입하는 것은 완전히 불법입니다.
당시 기술이 비교적 새로웠던 탓에 입법자들도 기본적인 수준의 이해만 가지고 있었고, 그 결과 이 법은 컴퓨터로 저지를 수 있는 다른 바람직하지 못한 행위들은 규율하지 못했습니다. 그래서 이후 여러 차례 개정을 거치며 다듬어지고 확장되어 왔습니다.
DDoS 공격은 어떨까?
눈치 빠른 독자라면 위에서 설명한 법 조문만으로는 DDoS(분산 서비스 거부) 공격이 불법이 아니라는 점을 알아차렸을 것입니다. DDoS 공격은 막대한 피해와 혼란을 일으킬 수 있음에도 말입니다. 그 이유는 DDoS 공격이 시스템에 '접근'하지 않기 때문입니다. 대신 특정 시스템에 엄청난 양의 트래픽을 쏟아부어 시스템이 더 이상 감당하지 못할 때까지 압박하는 방식입니다.
DDoS 공격은 2006년에야 범죄로 규정되었습니다. 그 1년 전, 한 청소년이 자신의 직장에 500만 통이 넘는 이메일을 쏟아부은 혐의로 재판을 받았지만 무죄 판결을 받은 것이 계기였습니다. 새 입법은 2006년 경찰 및 사법법(Police and Justice Act 2006)을 통해 도입되었으며, 컴퓨터 오용법에 새로운 수정 조항을 추가해 컴퓨터나 프로그램의 작동 또는 접근을 방해할 수 있는 모든 행위를 범죄화했습니다.
1990년 법과 마찬가지로, 이 역시 필수적인 고의와 인지가 있을 때에만 범죄가 성립합니다. 고의적으로 DDoS 프로그램을 실행하는 것은 불법이지만, DDoS 공격을 실행하는 바이러스에 감염된 것 자체는 범죄가 아닙니다.
중요한 점은, 이 시점까지 컴퓨터 오용법은 누구에게나 동등하게 적용되었다는 사실입니다. 경찰관이나 스파이가 컴퓨터에 해킹하는 것과 침실의 청소년이 해킹하는 것은 똑같이 불법이었습니다. 이것이 2015년 개정으로 바뀌게 됩니다.
바이러스 제작도 불법입니다
컴퓨터 오용법의 후반부에 추가된 또 다른 조항(제37조)은 컴퓨터 범죄를 용이하게 할 수 있는 도구의 제작, 취득, 공급 행위를 범죄로 규정합니다.
예를 들어 DDoS 공격을 실행할 수 있는 소프트웨어 시스템을 만들거나, 바이러스나 트로이목마를 제작하는 것이 불법이 됩니다.
그런데 이 조항은 몇 가지 잠재적 문제를 낳습니다. 첫째, 컴퓨터 보안 강화를 목적으로 해킹 도구와 익스플로잇을 만들어 온 정당한 보안 연구 산업은 어떻게 될까요?
둘째, 정당한 용도와 불법적인 용도 모두에 쓰일 수 있는 '이중 용도(dual use)' 기술은 어떻게 될까요? 좋은 예가 구글 크롬입니다. 웹 서핑용으로 쓸 수 있지만 SQL 인젝션 공격에도 활용될 수 있습니다.
답은 역시 '고의'입니다. 영국에서 기소는 왕립검찰청(Crown Prosecution Service, CPS)이 담당하며, 누군가를 기소할지 여부를 결정합니다. 재판에 회부할지 여부는 CPS가 준수해야 하는 여러 서면 지침에 따라 결정됩니다.
이 경우 지침은 제37조에 따라 기소하는 것은 범죄 의도가 있는 경우에만 이루어져야 한다고 명시합니다. 또한 어떤 제품이 컴퓨터 범죄를 돕기 위해 만들어졌는지 판단할 때, 검사는 정당한 사용 사례와 제작 배경에 있는 동기를 함께 고려해야 한다고 덧붙였습니다.
요컨대 이는 악성코드 제작을 범죄화하면서도, 영국이 번성하는 정보보안 산업을 유지할 수 있게 하는 균형점이라 할 수 있습니다.
"007 — 해킹 라이선스"
컴퓨터 오용법은 2015년 초에도 다시 개정되었지만, 조용히, 별다른 화려함 없이 진행되었습니다. 두 가지 중요한 변화가 있었습니다.
첫 번째는 영국의 특정 컴퓨터 범죄가 이제 종신형으로 처벌될 수 있다는 점입니다. 해커가 자신의 행위가 무단임을 알면서 고의적으로 저질렀고, '인간의 복지와 국가 안보'에 '중대한 피해'를 일으킬 가능성이 있거나 그러한 피해에 대해 무분별했다고 판단될 경우 종신형이 선고될 수 있습니다.
이 형량은 흔한 불만 많은 일반 청소년에게 적용되는 것 같지는 않습니다. 오히려 인명에 중대한 피해를 줄 가능성이 있는 공격이나, 국가 핵심 기반시설을 겨냥한 공격을 실행한 이들에게 적용되도록 마련된 것입니다.
두 번째 변화는 경찰과 정보 요원들에게 기존 컴퓨터 범죄 입법에 대한 면책 특권을 부여한 것입니다. 기술적 수단으로 자신의 활동을 은폐하는 유형의 범죄자에 대한 수사를 단순화할 수 있다며 이를 환영하는 이도 있었습니다. 반면 프라이버시 인터내셔널(Privacy International) 등은 이 제도가 남용되기 쉽고, 이런 유형의 입법이 존재하기에 충분한 견제와 균형 장치가 갖춰져 있지 않다고 우려했습니다.
컴퓨터 오용법의 이번 개정안은 2015년 3월 3일 통과되어 2015년 5월 3일 법률로 시행되었습니다.
컴퓨터 오용법의 미래
컴퓨터 오용법은 살아있는 입법입니다. 그 생애 내내 변화해 왔으며, 앞으로도 계속 그럴 가능성이 높습니다.
다음 변화는 뉴스 오브 더 월드(News of the World) 도청 스캔들로 인해 이루어질 것으로 보입니다. 스마트폰을 컴퓨터로 정의하고(실제로 그렇습니다), 고의로 정보를 유출하는 행위를 새로운 범죄로 규정하는 내용이 포함될 전망입니다.
그때까지 여러분의 생각을 듣고 싶습니다. 이 법이 너무 과하다고 생각하십니까? 아니면 충분하지 않습니까? 의견을 남겨주시면 아래에서 함께 이야기를 나눠보겠습니다.