상대가 보낸 앱 파일을 설치했는데 연락처가 털렸어요 

안녕하세요 [서울대] 법무법인 도모 대표변호사 고준용입니다.

최근 문자나 메신저로 청첩장, 택배 조회, 인사 카드 등을 가장한 파일을 보내고, 이를 설치하게 만들어 스마트폰에 저장된 연락처를 통째로 빼가는 피해 상담이 늘고 있습니다.

제가 상담한 분들 중 상당수는 “아는 사람이 보낸 거니까 괜찮겠지”, “그냥 사진첩이나 초대장 앱인 줄 알았다”는 생각으로 별다른 의심 없이 설치 버튼을 눌렀던 경우였습니다. 그런데 며칠 뒤 낯선 번호로 걸려온 전화, 또는 지인들에게 자신도 모르게 발송된 이상한 문자메시지를 확인하고 나서야 무슨 일이 벌어졌는지 알게 되는 경우가 많습니다.

최근 대법원은 정당한 접근권한 없는 사람이 이용자 몰래 정보통신망의 장치나 기능을 이용해 타인의 정보를 취득하는 행위까지 ‘비밀 침해’의 범위에 폭넓게 포함된다는 입장을 확인했습니다. 파일을 직접 실행한 사람이 피해자 본인이라 하더라도, 그 정보를 몰래 빼내려는 의도로 파일을 보낸 이상 형사책임의 방향은 분명합니다.

아래에서는 상대가 보낸 파일을 설치했다가 연락처가 유출된 경우 어떤 범죄가 성립하는지, 그리고 지금 무엇부터 확인해야 하는지 최근 법리를 중심으로 살펴보겠습니다.

1. 파일을 직접 설치한 쪽이 피해자라도, 형사책임까지 넘어가지는 않습니다

몰래 정보를 빼내려는 목적으로 파일을 보냈다면, 피해자가 설치 버튼을 눌렀다는 사정만으로 책임의 방향이 바뀌지 않습니다.

정보통신망법 제48조는 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위(제1항)와, 정상적인 보호·인증 절차를 우회해 접근할 수 있도록 하는 프로그램이나 기술적 장치를 설치·전달·유포하는 행위(제4항)를 모두 금지하고 있습니다. 상대가 보낸 파일이 겉으로는 평범한 초대장이나 사진첩, 문서 파일처럼 보였더라도, 실제로는 스마트폰의 보호 장치를 우회해 저장된 정보에 접근하도록 설계돼 있었다면 이 조항이 그대로 적용될 수 있습니다.

여기서 자주 나오는 항변이 “피해자가 직접 설치 버튼을 눌렀으니 내 책임이 아니다”라는 것입니다. 그러나 형사법에서 말하는 ‘정당한 접근권한’은 정보주체가 그 실질적인 의미를 알고 부여한 권한을 뜻합니다. 발신 경위나 파일의 성격을 속여 얻어낸 ‘설치 클릭’은 정당한 권한 부여로 평가되지 않고, 오히려 그 기망 자체가 침입의 수단으로 평가됩니다.

특히 파일 이름이나 발신 경위를 청첩장, 택배 조회, 공공기관 안내 등으로 위장했다면, 이는 정상적인 인증·보호 절차를 우회하기 위한 적극적인 기망행위로 평가되기 쉽습니다. 단순한 부주의로 인한 정보 노출이 아니라, 처음부터 정보를 빼내려는 고의를 가진 침입행위로 인정될 가능성이 높다는 의미입니다.

피해자가 파일을 직접 설치했다는 사정은, 몰래 정보를 빼가려 한 상대방의 형사책임을 지워주지 않습니다.

2. 연락처를 몰래 빼간 행위는 ‘비밀 침해’로 별도 처벌됩니다

설치된 순간 이미 완성된 정보 유출은, 상대가 그 정보를 실제로 사용했는지와 무관하게 처벌 대상이 됩니다.

정보통신망법 제49조는 정보통신망에 의하여 처리·보관 또는 전송되는 타인의 정보를 훼손하거나, 타인의 비밀을 침해·도용·누설하는 행위를 금지하고 있습니다. 이를 위반하면 제71조제1항제14호에 따라 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다.

스마트폰의 메신저·연락처 애플리케이션에 저장된 정보는 통신 기능을 이용해 처리·보관되는 정보로서, 이 조항이 보호하는 ‘타인의 비밀’에 해당할 수 있습니다. 대법원은 이용자가 이미 로그인해 정보통신망에 접속된 상태에 있는 것을 이용해, 정당한 권한 없는 사람이 사용자 몰래 그 장치나 기능을 이용해 정보를 취득하는 행위도 ‘침해’에 포함된다고 판시한 바 있습니다.

정보통신망법 제49조의 ‘타인의 비밀 침해 또는 누설’에서 요구되는 ‘정보통신망에 침입하는 등 부정한 수단 또는 방법’에는 부정하게 취득한 식별부호를 직접 입력하는 행위에 한정되지 않고, 사용자가 식별부호를 입력하여 정보통신망에 접속된 상태에 있는 것을 기화로 정당한 접근권한 없는 사람이 사용자 몰래 정보통신망의 장치나 기능을 이용하는 등의 방법으로 타인의 비밀을 취득·누설하는 행위도 포함된다(대법원 2018. 12. 27. 선고 2017도15226 판결).

이 법리를 그대로 적용하면, 스마트폰 소유자가 이미 자신의 단말기에 로그인·인증된 상태를 상대방이 악용해 몰래 연락처 목록에 접근·복사해 갔다면 ‘침해’가 인정되고, 그렇게 빼낸 연락처를 다른 사람에게 넘겼다면 ‘누설’까지 별도로 인정될 수 있습니다.

정보가 실제로 어떻게 쓰였는지와 무관하게, 몰래 접근해 빼간 시점에 이미 비밀 침해는 완성됩니다.

3. 파일이 ‘악성프로그램’으로 인정되면 처벌 수위가 훨씬 높아집니다

단순히 정보를 들여다본 것을 넘어, 몰래 정보를 모아 보내도록 설계된 프로그램 자체를 유포한 죄는 훨씬 무겁게 다뤄집니다.

정보통신망법 제48조제2항은 정당한 사유 없이 정보통신시스템·데이터·프로그램을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램, 이른바 악성프로그램을 전달 또는 유포하는 행위를 금지하고 있습니다. 이를 위반하면 제70조의2에 따라 7년 이하의 징역 또는 7천만원 이하의 벌금에 처해지는데, 이는 앞서 본 비밀 침해죄(5년 이하 징역 또는 5천만원 이하 벌금)보다 형이 무겁습니다.

상대가 보낸 파일이 단순히 화면을 보여주는 수준을 넘어, 사용자 몰래 연락처·문자·통화기록을 수집해 외부 서버로 전송하거나 스마트폰 기능을 원격으로 조작하도록 설계돼 있었다면, 이 ‘악성프로그램’에 해당할 가능성이 높습니다. 실제 기능을 확인하려면 포렌식 분석을 통해 앱의 권한 요청 내역과 데이터 전송 흔적을 살펴보게 됩니다.

여기에 더해 개인정보 보호법 제59조제3호는 정당한 권한 없이 또는 허용된 권한을 초과해 다른 사람의 개인정보를 이용·훼손·유출하는 행위를 금지하고 있고, 이를 위반하면 제71조제10호에 따라 마찬가지로 5년 이하의 징역 또는 5천만원 이하의 벌금에 처해집니다. 실무에서는 정보통신망법위반과 개인정보 보호법위반이 함께 적용되는 경우가 많습니다.

파일이 실제로 어떤 기능을 수행하도록 설계됐는지가, 처벌 수위를 가르는 핵심 쟁점입니다.

4. 유출된 연락처가 보이스피싱 등에 다시 쓰이면, 사기죄까지 더해집니다

정보를 빼낸 데서 끝나지 않고 이를 이용해 사람을 속이면, 정보통신망법위반과 사기죄가 함께 인정됩니다.

실무에서 자주 확인되는 패턴은, 탈취한 연락처를 이용해 피해자 행세를 하며 지인들에게 급전을 요청하거나, 같은 방식의 악성 파일을 다시 퍼뜨려 피해를 확산시키는 경우입니다. 이 경우 정보를 빼낸 행위에 대한 정보통신망법위반과는 별도로, 지인들을 속여 금전을 편취한 부분에 대해 형법 제347조 사기죄(20년 이하의 징역 또는 5천만원 이하의 벌금)가 실체적 경합으로 추가됩니다.

피해 금액이 크거나 다수의 피해자를 상대로 조직적으로 이뤄진 정황이 확인되면 특정경제범죄가중처벌법 적용 여부까지 검토됩니다. 이 경우 이득액이 5억원 이상이면 3년 이상의 유기징역, 50억원 이상이면 무기 또는 5년 이상의 징역까지 가능해 형량 구간이 크게 올라갑니다.

피해자 입장에서는 자신의 연락처가 이런 식으로 악용됐는지를 조기에 확인하는 것이 중요합니다. 유출 사실을 안 시점, 지인들에게 실제로 이상한 메시지가 발송됐는지, 발송됐다면 그 내용이 무엇인지가 이후 수사에서 피해 범위를 특정하는 핵심 자료가 됩니다.

정보를 빼낸 것으로 끝나지 않고 이를 이용해 다른 사람을 속였다면, 처벌 수위는 한 단계 더 올라갑니다.

5. 신고부터 재판까지, 절차는 이렇게 진행됩니다

악성 앱을 지우기 전에 무엇을 남겨둬야 하는지가 사건 전체의 방향을 결정합니다.

상대가 보낸 파일로 인한 정보 유출 사건은 통상 ①관할 경찰서(수원 지역이라면 수원남부·수원중부경찰서 등) 사이버수사팀 고소장 접수 → ②피해자·참고인 조사 및 스마트폰 디지털포렌식(이미징) → ③검찰(수원지방검찰청) 송치 및 처분 → ④기소 시 법원(수원지방법원) 재판의 순서로 진행됩니다. 유포 규모가 크거나 조직적 정황이 확인되면 구속 수사 가능성도 배제할 수 없습니다.

이때 악성 앱을 서둘러 삭제하면 오히려 핵심 증거가 함께 사라질 수 있습니다. 감정적으로 대응하기보다, 아래 순서로 자료부터 확인하는 것이 좋습니다.

1. 악성 앱을 삭제하기 전에 설치 화면, 요청된 권한 목록, 설치 파일(.apk) 자체를 캡처하거나 별도로 보관해 증거를 확보합니다.

2. 상대가 파일을 보낸 메신저·문자 대화방 전체와 발신 번호, 계정 정보를 캡처해 둡니다.

3. 유출된 연락처로 지인들에게 이상한 메시지나 전화가 가지 않았는지 확인하고, 필요하다면 미리 알려 2차 피해를 막습니다.

이러한 자료를 바탕으로 정보통신망법·개인정보 관련 형사사건에 전문성 있는 변호사의 도움을 받으면, 형사 고소와 함께 유출 경로 차단, 필요하다면 민사상 손해배상 청구까지 함께 검토할 수 있습니다.

마치며

상대가 보낸 파일을 설치했다가 연락처가 유출됐다는 사실을 알게 되면, “내가 눌러서 벌어진 일인데 어쩔 수 없다”는 자책 때문에 신고 등 초기 대응이 늦어지는 경우가 많습니다.

정보를 빼앗긴 피해자 입장에서는 자책보다, 언제 무엇이 유출됐는지·지인들에게 실제로 피해가 번졌는지를 정리하는 것이 먼저입니다. 설치 화면과 대화 기록이 남아 있을수록 형사 고소와 이후 손해배상 청구 모두에서 유리해집니다.

반대로 파일을 보낸 것으로 의심받는 입장에서도 “장난이었다”, “그냥 확인해보려던 것”이라는 말만으로는 방어가 되지 않습니다. 파일이 실제로 어떤 기능을 하도록 설계됐는지, 몰래 정보를 수집·전송하려는 의도가 있었는지에 따라 결과는 크게 달라집니다.

저는 정보통신망법·개인정보 관련 형사사건에서 정보를 빼앗긴 쪽과 그 유포자로 지목된 쪽 양쪽 사건을 모두 다뤄온 변호사로서, 파일 하나의 기능과 유포 경위를 어떻게 규명하느냐에 따라 결론이 완전히 달라지는 것을 여러 번 보아 왔습니다.

지금 상황이 애매하다면, 그게 바로 상담이 필요한 시점입니다. 결론이 달라질 수 있는 마지막 지점에서, 고준용 변호사를 찾아주시기 바랍니다.

자주 묻는 질문

Q. 상대가 보낸 파일을 제가 직접 설치했는데도 저를 탓할 수 있나요?

A. 원칙적으로 아닙니다. 몰래 정보를 빼내려는 의도로 파일을 전송한 쪽에 형사책임이 있고, 피해자가 그 사실을 모르고 설치했다는 사정만으로 책임이 넘어가지 않습니다.

Q. 연락처만 유출되고 아직 별다른 피해가 없는데도 고소할 수 있나요?

A. 가능합니다. 정보통신망법 제49조 위반죄는 정보를 실제로 악용했는지와 무관하게 침해·누설 행위 자체로 성립하는 범죄입니다.

Q. 상대가 “장난이었다”, “확인하려던 것뿐”이라고 주장하면 어떻게 되나요?

A. 고의 여부가 핵심 쟁점입니다. 파일 제목이나 발신 경위를 위장했는지, 몰래 정보를 수집·전송하도록 설계됐는지 등 파일의 실제 기능과 유포 경위가 판단 기준이 됩니다.

Q. 유출된 연락처로 지인들에게 이상한 문자가 갔는데, 저도 처벌받을 수 있나요?

A. 본인이 몰랐다면 원칙적으로 처벌 대상이 아닙니다. 다만 유포 경위를 명확히 하기 위해서라도 조사에 적극 협조하고 관련 자료를 확보해 두는 것이 좋습니다.

Q. 악성 앱인지 아닌지는 어떻게 판단하나요?

A. 몰래 정보를 수집·전송하거나 기기를 원격으로 조작하는 기능이 숨어 있는지가 기준이며, 포렌식 분석을 통해 확인됩니다. 이에 따라 정보통신망법 제48조제2항(악성프로그램 유포)과 제49조(비밀침해) 중 적용 조문과 형량이 달라집니다.

Q. 경찰에 신고하면 스마트폰을 빼앗기나요?

A. 포렌식 분석을 위해 임의제출이나 압수 절차가 진행될 수 있으나, 통상 이미징 후 반환됩니다. 사전에 어떤 자료를 남겨야 하는지 안내받고 진행하는 것이 안전합니다.

Q. 형사 고소와 별도로 손해배상도 청구할 수 있나요?

A. 가능합니다. 정보 유출로 정신적 피해나 2차 피해(유포 확산 등)가 발생했다면, 형사 절차와 별도로 민사상 손해배상 청구를 검토할 수 있습니다.