오길영, "해킹사고의 사법적 평가에 대한 비판: 소위 ‘옥션’ 판결에 대한 평석을 중심으로", 민주법학 제62호 (2016.11), 253-288쪽. 

<국문초록>

본고는 해킹사건에 대하여 우리 대법원이 수립한 과실판단 법리의 모순과 오류를 지적하기 위한 글이다. 이를 위하여 이 글은 대표적인 해킹사건이자 사회적으로 큰 이슈가 되었던 바 있는 소위 ‘옥션 사건’을 대상으로 대법원 판단의 문제점을 각 쟁점별로 분석하는 형태로 진행된다.

글의 전반부에는 ‘옥션 사건’의 사실관계를 분석한다. 이와 더불어 실제 ‘옥션 사건’에서 발생했던 기술적인 상황들을 이해하고 그 과실의 존부를 쉬이 인지케 하기 위하여, 일반적인 해킹 기법에 대한 간략한 설명을 사전적으로 설명하였다.

글의 중반부에는 ‘옥션 사건’에서 과실판단의 대상이 된 주요한 쟁점들을 상세하게 검토하였다. 관리자 계정의 기본값 설정, 방화벽의 부재, 침입탐지시스템 등 보안체계상의 미비 등의 부인할 수 없는 과실들에 대한 판단에 있어 법원의 판단미진이나 오류가 존재함을 밝힌다.

글의 후반부에서는 해킹 사건의 과실에 대한 대법원의 평가를, 앞서 살핀 내용들을 토대로 하여 비판한다. 특히 그 판단에 있어 사실상 절대적인 기준으로 채택한 바 있는 ‘기술적‧관리적 보호조치’의 문제점을 살핌으로써, 대법원이 수립한 법리가 전체적으로 타당하지 못함은 물론 모순이 내재하고 있음을 밝힌다.

주제어: 해킹, 기본값 설정, 방화벽, 침입탐지시스템, 기술적‧관리적 보호조치

<Abstract>

A Critique of the Judicial Evaluation Regarding Hacking Case

Oh, Kil-Young

Professor, ShinGyeong Univ.

This paper aims to point out the contradiction and errors of the Supreme Court’s decision regarding judgement on negligence about a hacking case. For that purpose, the Supreme Court’s judicial opinion about the so-called ‘Auction Case’, a typical hacking case which raises a social issues, by the point in dispute, is analyzed.

The first part of this article focuses on the analysis of a fact relevance of the ‘Auction Case’. At the same time, we provide a brief description of the general hacking technique in order to understand the technical situation, as well as to easily ascertain the existence of negligence in the actual time of the ‘Auction's hacking’.

Next, we undertake a detailed examination on the major issues that are the subjects of a judgement on negligence, i.e. the default setting of the system administrator account, the nonexistence of firewall, the inadequate security system, including the intrusion detection system, etc. From these undeniable negligence aspects, we can find and reveal the lack of judgment and misunderstanding in the court’s decision.

In the concluding part of this article, the Supreme Court’s evaluation of the negligence on a hacking case is criticized on the basis of a previous review. By analyzing the problem of ‘the Appropriate Technical and Organizational Measures’ adapted as the actual and absolute criteria regarding judgement of negligence about a hacking case, we conclude that the Supreme Court’s principle has a contradiction and is not generally valid.

Key phrases: hacking, default setting, firewall, intrusion detection system, appropriate technical and organizational measures