사이버 사고 증거 폐기 미국은 제재 한국은 공백

미국에서 사이버 침해 사고 이후 관련 자료를 제대로 보관하지 않으면 소송 시 불이익까지 주는 사례가 나오고 있어 주목받는다. 국내에서는 조사 착수 전 증거 폐기 행위 자체를 행정제재할 규정이 미비해 정치권의 제도 개선 요구가 커지고 있다.

28일 미국 아이오와주 법무장관실에 따르면 미국 공화당 소속 15개 주 법무장관은 지난 8월3일 오픈AI에 공동 서한을 보내 허깅페이스 전산망 침입 의혹과 관련된 문서·데이터·통신 기록을 즉시 보존하라고 요구했다.

법무장관들은 오픈AI의 실험용 인공지능 모델이 다른 회사의 전산망에 무단 접근했다는 의혹을 제기하며 내부 조사자료와 관련 직원 기록 등 11개 범주의 자료를 보존 대상으로 제시했다. 향후 소송이 제기될 경우 자료를 보존하지 않으면 '증거훼손 제재'를 받을 수 있다는 경고도 서한에 담았다. 이후 앨라배마주 법무장관은 8월24일 오픈AI에 소환장을 발부해 소비자보호법 위반 여부를 조사하고 있다.

미국 법원이 증거훼손에 실제 불이익을 부과한 사례도 있다. 뉴욕주 법원은 지난 4월 보험사 그레이터 뉴욕 뮤추얼과 보안관제업체 SKOUT 모니터링의 소송에서 SKOUT이 랜섬웨어 공격 관련 기록을 보존하지 않은 행위를 '중대한 과실에 의한 증거훼손'으로 판단했다. SKOUT은 소송 가능성을 예상할 수 있었는데도 사내 메신저 기록의 자동 삭제를 중단하지 않았다. 일부 고객지원 기록은 소송이 시작된 뒤 삭제됐고 과거 보안 경보 기록도 남아 있지 않았다.

법원은 사라진 자료가 SKOUT에 불리했을 것으로 보고 증거훼손 문제를 다투는 데 든 상대방의 합리적인 변호사 비용과 소송비용을 부담하도록 명령했다. SKOUT의 답변서를 각하하는 최고 수위 제재까지는 내리지 않았다.

국내에서는 LG유플러스의 서버 폐기가 논란이 됐다. 개인정보보호위원회(개인정보위)에 따르면 국내 통신사 LG유플러스는 개인정보 유출 정황이 확인된 뒤 개인정보위 조사 착수에 앞서 관련 서버 OS를 재설치하고 일부 서버를 폐기했다. LG유플러스는 해킹 정황과 침해 흔적이 확인되지 않았다며 관련 기관에 신고하지 않았다. 이로 인해 정확한 유출 경위와 추가 개인정보 유출 여부 등을 확인하기 어려워졌고 개인정보위는 LG유플러스를 경찰에 수사의뢰했다.

증거가 사라진 행위 자체에 대한 행정제재는 없는 상황이다. 서버 폐기 등이 조사 착수 전에 이뤄져 개인정보보호법상 조사방해 규정을 직접 적용하기 어려웠고 별도 행정제재는 부과되지 않았다.

개인정보위는 조사 착수 전 이뤄진 행위에는 마땅한 제재 규정이 없다고 설명했다. 개인정보위는 개인정보 유출과 관련해 SK텔레콤과 KT에는 각각 1347억9100만원, 539억7900만원의 과징금을 부과했지만 LG유플러스에는 과징금을 부과하지 않았다.

이에 입법 공백을 메우려는 움직임이 시작됐다. 이훈기 의원(더불어민주당·인천 남동구을)은 지난 10일 고의적인 해킹 증거인멸·조사방해가 확인되면 이를 회사 귀책에 따른 위약금 면제 사유로 명확히 하고 증거인멸 방지책을 마련해야 한다고 과학기술정보통신부에 요구했다. 박정현 의원(더불어민주당·대전 대덕구)도 21일 정부기관의 수사 의뢰 이후에도 경찰 수사가 장기간 결론을 내지 못하고 있다며 사건이 영구 미제로 남아 '해킹은 은폐가 답'이라는 나쁜 선례가 생기지 않도록 경찰의 엄정한 수사를 촉구했다.

통신업계 관계자는 "해외에서는 사이버 사고가 발생하면 관련 자료를 먼저 보존하도록 하고 증거가 사라질 경우 별도의 법적 불이익을 주는 사례가 나오고 있다"며 "LG유플러스 서버 폐기 사건을 계기로 국내에서도 사고 이후 증거보존 의무와 조사방해에 대한 제재를 명확히 해야 한다는 요구가 커질 수 있다"고 말했다.