콘텐츠를 불러오는 중...
법률지식인
보안 취약점을 찾아 신고하면 포상금을 준다는데 처벌 걱정은 없나요?
보안 취약점을 찾아 신고하면 포상금을 준다는데 처벌 걱정은 없나요?
개발 공부를 하다가 자주 쓰는 국내 쇼핑몰 사이트에서 주소창의 숫자만 바꾸면 다른 사람 주문 내역이 보이는 것을 발견했습니다. 캡처만 두 장 떠 놓고 아직 아무한테도 말은 안 했습니다. 취약점을 신고하면 포상금을 준다는 이야기를 들었는데, 제가 그걸 확인해 본 것 자체가 문제가 되는 건 아닌지 걱정됩니다. 신고해도 괜찮을까요?
본인 사안은 포상금 제도의 근거와 취약점을 찾는 과정의 위법성을 나누어 파악해야 하는 영역입니다. 결론부터 말씀드리면 포상금 제도가 있다는 사실이 남의 시스템을 허락 없이 건드려도 된다는 허가로 이어지지는 않습니다. 신고는 보호받지만 찾는 방법은 따로 평가됩니다.
■ 포상금의 근거는 어디에 있나
정보통신망법 제47조의6이 근거입니다. 정부가 침해사고의 예방과 피해 확산 방지를 위하여 정보통신서비스, 정보통신망연결기기등 또는 소프트웨어의 보안에 관한 취약점을 신고한 사람에게 예산의 범위에서 포상금을 지급할 수 있다는 내용입니다. 같은 조 제2항은 지급 대상과 기준, 절차를 대통령령에 맡겼고, 제3항은 포상금 지급 업무를 한국인터넷진흥원에 위탁할 수 있도록 했습니다. 2022년 6월 10일에 신설된 조문입니다. 여기서 두 가지를 읽으셔야 합니다. ① 지급할 수 있다는 재량 규정이지 반드시 준다는 규정이 아닙니다. ② 대상은 취약점 자체이지 취약점을 찾은 방법이 아닙니다.
■ 그런데 찾는 과정이 문제가 됩니다
같은 법 제48조 제1항은 누구든지 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입해서는 안 된다고 정했습니다. 운영 중인 남의 서버에 로그인을 시도하거나, 관리자 페이지의 주소를 바꾸어 들어가 보거나, 다른 이용자의 정보가 보이는지 확인해 보는 행위가 여기에 닿습니다. 제71조 제1항 제11호는 이 위반에 5년 이하의 징역 또는 5천만원 이하의 벌금을 정해 두었고, 같은 조 제2항은 미수범도 처벌한다고 적었습니다. 좋은 뜻으로 했다는 사정은 구성요건을 없애 주지 않습니다. 제48조 제3항의 장애 발생이나 제4항의 우회 프로그램 설치도 함께 검토됩니다.
■ 접수는 어디로 하나
포상금 업무는 한국인터넷진흥원에 위탁될 수 있으므로 진흥원이 운영하는 신고 창구가 출발점입니다. 기업이 스스로 운영하는 신고 제도도 따로 있습니다. 어느 쪽이든 접수 전에 ① 그 서비스가 공개한 신고 정책과 허용 범위 문서를 찾아 읽고 ② 허용된 시험 대상과 금지 행위 목록을 확인하며 ③ 시험용 계정이나 별도 환경을 제공하는지 보고 ④ 발견 즉시 보고하고 공개는 유예한다는 조건을 지키는 순서로 움직이시면 됩니다. 범위를 적어 둔 문서가 있고 그 안에서 움직였다면 접근권한을 다툴 근거가 생깁니다.
■ 위험을 줄이는 방법
실무에서 권하는 선은 분명합니다. 첫째, 내 소유가 아닌 운영 환경은 건드리지 않습니다. 소프트웨어 취약점이라면 같은 제품을 직접 설치한 내 환경에서 재현하십시오. 둘째, 취약점의 존재를 확인하는 최소한의 행위에서 멈춥니다. 다른 이용자의 개인정보를 실제로 열람하거나 내려받으면 제49조의 비밀 침해가 별도로 문제 됩니다. 셋째, 확인 과정의 시각과 방법을 기록으로 남깁니다. 넷째, 금전을 조건으로 공개를 미루겠다고 말하지 않습니다. 그 한마디가 협박이나 공갈로 읽히면 사안의 성격이 완전히 달라집니다.
■ 이미 건드린 뒤라면
순서를 정해 움직이시는 편이 낫습니다. ① 확보한 자료가 있다면 더 퍼뜨리지 말고 보관 상태를 그대로 둡니다. ② 접속 일시와 사용한 방법, 내가 확인한 범위를 시간 순서로 적어 둡니다. ③ 운영자에게 알릴지, 알린다면 어떤 문구로 알릴지를 먼저 정합니다. 무심코 보낸 메일 한 통이 침입 사실을 스스로 밝히는 자백이 되는 경우가 있습니다. ④ 상대가 이미 고소를 준비하는 정황이 보이면 연락을 멈추고 변호사와 상의하십시오. 신고 포상 제도를 활용할 생각이었다는 사정은 양형에서 참작될 수 있지만, 그 주장을 어느 단계에서 어떻게 내놓을지가 결과를 가릅니다.
참조 조문
정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조의6, 제48조, 제49조, 제71조
13년차 대한변호사협회 인증 형사·부동산 전문변호사가 부산·울산·창원·대구·제주 권역에서 같은 유형 사건을 다뤄왔습니다. 사건의 갈림길에서 정확한 안내가 필요하시다면 연락 주십시오.
법무법인 대한중앙 한병철 변호사
대한변호사협회 인증 형사전문·부동산전문변호사 (13년차)
전화: 1533-7377 | 이메일: hanbyungchul@naver.com
부산 해운대 사무소 · 영남권/제주 중심, 서울·경기·충청·호남·강원 의뢰 대응
상담 신청하시면 담당자가 연락드려 상담료를 안내합니다.
법무법인 대한중앙 | 해운대 사무소
대한변호사협회 인증 형사전문·부동산전문변호사
작성·검토: 한병철 변호사 · 2026-09-24
대표 변호사 한병철
전화: 1533-7377 | 이메일: hanbyungchul@naver.com
본 글은 일반적인 법률 정보 제공을 목적으로 하며, 개별 사안에 대한 법률 자문이 아닙니다. 구체적인 사건은 정식 상담을 통해 확인이 필요합니다.
초안은 AI 도구의 도움을 받아 작성하고, 담당 변호사가 검토·수정한 뒤 게시합니다.
지금 바로 전문 변호사와 상담하세요
법무법인 대한중앙이 여러분의 법적 문제를 해결해 드립니다.
1533-7377