클라우드 해킹으로 유출된 사진 유포는 누가 책임지나요 

안녕하세요 [서울대] 법무법인 도모 대표변호사 고준용입니다.

최근에는 스마트폰이나 노트북의 사진이 클라우드에 자동으로 백업되는 경우가 많아지면서, 클라우드 계정이 해킹당해 개인 사진이 통째로 유출되고 그 사진이 메신저와 SNS 단체방을 통해 순식간에 퍼지는 사건이 잇따르고 있습니다.

막상 이런 사건에서 조사를 받는 사람들 중에는 “나는 계정을 해킹한 게 아니라 지인이 보내준 사진을 몇 명한테 전달만 했을 뿐이다”, “이미 인터넷에 다 퍼진 사진인데 나 하나 더 봤다고 문제 될 게 있겠나”라는 생각으로 가볍게 넘기려는 경우가 적지 않습니다. 그런데 정작 처벌 범위는 최초로 해킹한 사람 한 명에게 그치지 않고, 유출된 사진을 옮기고 저장하고 전달한 사람들 전체로 넓게 퍼져 나가는 경우가 많습니다.

최근 대법원은 정보통신망 무단 침입과 사진·영상의 유포를 각각 독립된 범죄로 보아, 해킹한 사람과 유포한 사람이 다르더라도 양쪽 모두에게 별도의 형사책임을 인정하는 흐름을 이어가고 있습니다.

아래에서는 클라우드 해킹으로 유출된 사진이 유포됐을 때 누구에게, 어떤 법적 책임이 어떻게 나뉘어 적용되는지 최근 판례를 중심으로 살펴보겠습니다.

1. 클라우드 계정에 무단으로 접속한 것만으로 이미 범죄가 성립합니다

사진을 실제로 빼냈는지, 유포했는지와 무관하게 무단 접속 자체가 처벌 대상입니다.

아이클라우드, 구글 포토, 네이버 클라우드처럼 사진이 자동으로 백업되는 서비스는 계정 아이디와 비밀번호만 알아내면 누구나 접속할 수 있는 구조입니다. 그래서 실제 사건에서는 클라우드 로그인 화면을 위장한 문자·메일 피싱으로 계정 정보를 빼내거나, 과거 연인·지인 관계에서 알고 있던 비밀번호로 재접속을 시도하는 방식이 흔하게 쓰입니다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법) 제48조 제1항은 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위를 금지하고 있고, 이를 위반하면 같은 법 제71조 제1항 제11호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다. 이 죄는 미수범도 처벌하므로, 비밀번호를 잘못 입력해 접속에 실패했더라도 처벌 대상이 될 수 있습니다.

여기서 자주 나오는 항변이 “예전에 사귀던 사이라 비밀번호를 알고 있었을 뿐”이라는 주장입니다. 그러나 대법원은 접근권한을 부여하거나 그 범위를 정하는 주체가 계정 명의자가 아니라 서비스제공자라는 점을 분명히 하고 있습니다.

정보통신망법 제48조 제1항에서 접근권한을 부여하거나 그 범위를 설정하는 주체는 정보통신서비스제공자이므로, 서비스제공자로부터 권한을 부여받은 이용자가 아닌 제3자가 정보통신망에 접속한 경우 그에게 접근권한이 있는지 여부는 서비스제공자가 부여한 접근권한을 기준으로 판단하여야 한다(대법원 2021. 6. 24. 선고 2020도17860 판결).

즉 비밀번호를 알고 있었다는 사정만으로는 접속 권한이 인정되지 않습니다. 계정 명의자의 동의 없이, 서비스제공자가 정한 절차를 거치지 않고 접속했다면 그 자체로 정보통신망법위반죄가 됩니다.

사진을 실제로 확인했는지, 다른 곳에 옮겼는지와 무관하게 무단 접속 자체만으로 이미 정보통신망법위반죄가 성립합니다.

2. 유출된 사진을 퍼뜨리면 해킹범과는 별도로 유포죄가 성립합니다

해킹한 사람과 유포한 사람이 다르더라도, 유포자는 독립적으로 처벌됩니다.

유출된 사진에 적용되는 조문은 사진의 내용에 따라 달라집니다. 신체 노출이나 성적 수치심을 유발할 수 있는 사진이라면 성폭력범죄의 처벌 등에 관한 특례법(이하 성폭력처벌법) 제14조 제2항이 적용되어, 촬영 당사자가 아니어도 이를 반포·판매·임대·제공하거나 공공연하게 전시한 사람은 7년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다. 사진이 성적인 내용이 아니라 일반적인 사생활 사진이라 하더라도, 이를 몰래 옮기고 퍼뜨린 행위는 정보통신망법 제49조가 금지하는 타인의 비밀 침해·누설에 해당해 같은 법 제71조 제1항 제14호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금이 적용될 수 있습니다.

실무에서 자주 보는 오해는 “나는 몇 명한테만 전달했을 뿐, 대량으로 퍼뜨린 게 아니다”라는 항변입니다. 그러나 법원은 반포와 제공을 다음과 같이 구분하고 있습니다.

성폭력처벌법 제14조 제1항에서 ‘반포’와 별도로 열거된 ‘제공’은, ‘반포’에 이르지 아니하는 무상 교부행위로서 ‘반포’할 의사 없이 ‘특정한 1인 또는 소수의 사람’에게 무상으로 교부하는 것을 의미한다(대법원 2018. 8. 1. 선고 2018도1481 판결, 대법원 2016. 12. 27. 선고 2016도16676 판결 참조).

바꿔 말하면, 특정 소수에게만 전달했더라도 계속적·반복적으로 퍼뜨리려는 의사가 있었다면 ‘제공’이 아니라 더 무거운 ‘반포’로 인정될 수 있습니다. 대법원 2018. 12. 27. 선고 2017도15226 판결도 개인용 기기나 클라우드에 전자파일 형태로 보관 중인 정보가 정보통신망법상 ‘타인의 비밀’에 해당하고, 정당한 접근권한 없이 이를 몰래 취득·누설하는 행위가 처벌 대상이 된다는 점을 확인한 바 있습니다.

해킹한 사람과 유포한 사람이 다르더라도, 유포자에게는 별도의 형사책임이 독립적으로 성립합니다.

3. “이미 퍼진 사진을 다시 보냈을 뿐”이라는 항변은 통하지 않습니다

몇 명에게 전달했는지가 아니라 반포할 의사가 있었는지가 기준입니다.

단체 채팅방이나 SNS 비공개 계정에 재유포한 경우도 처벌 대상에서 벗어나지 않습니다. 최초로 유출한 해킹범을 특정하지 못하더라도, 수사기관은 유포 경로를 따라 재유포자를 특정해 별도로 수사·기소하는 경우가 많습니다. “원본 유출자가 아니니 나는 책임이 덜하다”는 생각은 형사책임의 성립 여부에는 영향을 주지 않습니다.

사진을 퍼뜨리지 않고 그냥 저장만 해두었다는 경우도 안전하지 않습니다. 성폭력처벌법 제14조 제4항은 이러한 촬영물을 소지·구입·저장 또는 시청한 자를 3년 이하의 징역 또는 3천만원 이하의 벌금으로 별도 처벌하고 있습니다. “찜찜해서 나중에 지웠다”는 사정은 소지 시점에 이미 성립한 범죄를 지워주지 못하고, 양형 단계에서 참작될 여지만 남깁니다.

또한 같은 조 제5항은 상습으로 이러한 범행을 반복한 경우 형의 2분의 1까지 가중하도록 정하고 있고, 처음 계정에 침입한 행위(정보통신망법위반)와 사진을 유포한 행위(성폭력처벌법위반 또는 정보통신망법상 비밀누설)가 함께 인정되면 두 죄는 실체적 경합범으로 처리되어 처단형이 더 무거워집니다.

몇 사람에게 전달했는지, 원본 유출자와 같은 사람인지가 아니라 반포·소지의 의사와 사실 자체가 처벌의 기준입니다.

4. 유출 규모와 유포 방식에 따라 처벌 수위가 크게 달라집니다

영리 목적으로 정보통신망을 이용해 유포하면 3년 이상의 유기징역까지 가능합니다.

성폭력처벌법 제14조 제3항은 영리를 목적으로 촬영대상자의 의사에 반하여 정보통신망을 이용해 제2항의 반포등 범행을 저지른 경우 3년 이상의 유기징역에 처하도록 정하고 있습니다. 유출된 사진을 대가를 받고 판매하거나, 이를 빌미로 돈을 요구하는 경우가 대표적입니다. 이런 경우에는 형법 제350조의 공갈죄(10년 이하의 징역 또는 2천만원 이하의 벌금)까지 함께 적용될 수 있어 형량이 한층 무거워집니다.

양형 단계에서는 유포된 피해자의 수, 유포 범위가 특정 소수인지 불특정 다수의 공개 게시판·오픈채팅방인지, 유포가 단발성인지 반복적인지가 중요하게 작용합니다. 사진이 삭제되지 않고 여러 경로로 재확산됐다면 피해 회복이 어려워졌다는 점에서 불리하게 평가되는 경우가 많습니다.

반대로 유포 직후 자진 신고하고 게시물을 자발적으로 삭제·차단했거나, 피해자와 합의가 이루어진 경우는 양형에서 유리한 사정으로 참작될 수 있습니다. 다만 이러한 사정은 형이 정해지는 단계에서 고려될 뿐, 애초에 성립한 범죄 자체를 없애주지는 않습니다.

5. 고소부터 재판까지, 절차는 이렇게 진행됩니다

초기에 어떤 자료를 확보하느냐가 가해자 특정과 재판 결과를 가릅니다.

클라우드 해킹·사진 유포 사건은 통상 ①관할 경찰서(수원 지역이라면 수원남부·수원중부경찰서 등의 디지털성범죄 전담수사팀) 고소장 접수 → ②피해자·피고소인 조사 및 디지털포렌식(로그인 기록·접속 IP·유포 게시물 분석) → ③검찰(수원 관내 사건은 수원지방검찰청) 송치 및 처분 → ④기소 시 법원(수원지방법원) 재판의 순서로 진행됩니다. 영리 목적 유포나 상습범에 해당한다면 구속 수사 가능성도 배제할 수 없습니다.

클라우드 계정 해킹과 사진 유포를 알게 됐다면, 감정적으로 대응하기보다 아래 순서로 자료부터 확보하는 것이 좋습니다.

1. 클라우드 서비스에서 보내는 이상 로그인 알림, 새로운 기기의 접속 기록, 계정 활동 내역을 화면 그대로 캡처해 확보합니다.

2. 유포된 게시물이나 대화방의 주소(URL), 게시 시각, 유포자로 추정되는 계정 정보를 정리합니다.

3. 사진이 처음 어떤 경로로 유출됐는지(피싱 문자, 유심 재발급, 지인의 계정 공유 등) 의심되는 정황을 시간순으로 정리합니다.

이러한 자료를 바탕으로 디지털 성범죄에 전문성 있는 변호사의 도움을 받는다면, 형사 고소와 함께 게시물 삭제·차단 요청, 민사상 손해배상청구까지 병행해 실질적인 피해 회복 방안을 찾을 수 있습니다.

마치며

클라우드 해킹으로 사진이 유출된 사건은 “내가 해킹을 한 것도 아닌데 무슨 책임이 있겠나”라는 생각 때문에, 혹은 “피해를 당한 것도 부끄러운데 괜히 일을 키우는 건 아닐까”라는 생각 때문에 초기 대응이 늦어지는 경우가 많습니다.

사진을 유출당한 피해자 입장에서는 감정적으로 대응하기보다, 이상 접속 기록과 유포 경로를 하나라도 더 캡처해 두는 것이 가해자 특정과 게시물 삭제에 훨씬 유리합니다. 반대로 사진을 전달·소지한 것으로 조사받는 입장에서도 “그냥 받아서 몇 명한테 다시 보냈을 뿐”이라는 말만으로는 방어가 되지 않습니다. 실제로 반포할 의사가 있었는지, 최초 유출자와 어떤 관계였는지에 따라 결론이 크게 달라집니다.

저는 클라우드 해킹·사진 유출 피해자와, 반대로 유포·소지 혐의로 조사받는 의뢰인 양쪽 사건을 모두 다뤄온 변호사로서, 초기에 확보한 자료가 사건 전체의 결론을 바꾸는 경우를 여러 번 보아 왔습니다.

지금 상황이 애매하다면, 그게 바로 상담이 필요한 시점입니다. 결론이 달라질 수 있는 마지막 지점에서, 고준용 변호사를 찾아주시기 바랍니다.

자주 묻는 질문

Q. 클라우드 계정을 해킹한 사람이 잡히지 않으면 유포자만 처벌받고 끝나나요?

A. 아닙니다. 해킹한 사람이 특정되지 않더라도 유포·소지한 사람은 별도로 수사·기소될 수 있고, 이후 해킹범이 특정되면 정보통신망법위반죄가 추가로 인정됩니다.

Q. 이미 인터넷에 퍼진 사진을 캡처해서 몇 명에게 전달했을 뿐인데도 처벌되나요?

A. 처벌될 수 있습니다. 반포는 불특정 다수에게 퍼뜨리려는 의사가 있으면 소수에게 전달해도 성립할 수 있고(대법원 2016도16676), 이미 퍼져 있었다는 사정은 처벌을 면제하는 이유가 되지 않습니다.

Q. 유출된 사진을 보기만 하고 따로 저장은 안 했는데도 문제가 되나요?

A. 단순 열람과 저장·소지는 법적 평가가 다릅니다. 파일로 저장하거나 구입·시청까지 이르면 성폭력처벌법 제14조 제4항의 소지죄가 적용될 수 있습니다.

Q. 해킹당한 사실을 알고도 바로 신고하지 않으면 저에게 불리한가요?

A. 신고를 늦게 한 것 자체가 처벌 사유는 아닙니다. 다만 초기에 로그인 기록과 유포 경로를 확보해두지 않으면 이후 가해자 특정과 손해배상 청구가 훨씬 어려워질 수 있습니다.

Q. 클라우드 서비스업체에도 책임을 물을 수 있나요?

A. 서비스업체의 보안 관리 소홀이 확인되면 개인정보 보호법상 손해배상책임을 별도로 검토할 수 있습니다. 다만 이는 해킹범·유포자에 대한 형사책임과는 별개의 절차입니다.

Q. 유포한 사람이 해외에 있어도 처벌할 수 있나요?

A. 피해 결과가 국내에서 발생했다면 국내법 적용과 국제 수사 공조가 가능한 경우가 많습니다. 다만 실제 신병 확보까지는 별개의 문제이므로 초기부터 전문가의 조력을 받는 것이 좋습니다.