농협전산망 장애 사건의 형사법적 고찰 (A Review of NH Bank Cyber Attack)

서지정보

· 발행기관 : 경상국립대학교 법학연구소
· 수록지 정보 : 법학연구 / 19권 / 2호 / 129 ~ 157페이지
· 저자명 : 양종모

초록

정보화 사회의 진전에 따라 정보통신망 인프라는 단순한 경제적 효과를 넘어 사회 각 방면에 영향을 미치며, 이러한 정보통신망에 대한 지나친 의존도 때문에 컴퓨터 시스템은 사이버테러리스트의 주요 공격 목표가 되고 있다.
2011년 4월 12일 농협은 모든 금융거래가 중단되는 초유의 전산망 장애를 겪었는데, 이로 인한 경제적 손실도 엄청났다.
이러한 전산망 장애는 북한 해커들에 의하여 자행된 새로운 유형의 사이버 테러에 의한 것임이 밝혀졌다. 북한 해커들은 업데이트 프로그램으로 위장하여 농협의 전산망 유지업체인 한국 IBM 직원의 노트북에 악성 봇을 설치하고, 정보를 탐지하다가, 마지막 단계에서는 농협의 2백여 대 서버의 주요 시스템의 파일을 삭제하는 명령을 내렸고 그 결과로 농협 전산망은 마비되기에 이른 것이었다.
악성 봇은 목표 시스템에 몰래 이식이 되어 그 시스템을 좀비PC로 만드는 악성 코드로 수많은 변종이 있을 뿐 아니라 수백 개의 봇넷이 존재한다.
통상 악성 봇에 의하여 시스템이 감염이 되어 좀비 시스템이 되면 범인인 봇 마스터는 C&C 서버를 통하여 이러한 좀비시스템들을 조종하며, 이러한 봇 마스터의 명령에 의하여 좀비시스템들은 동시에 행동을 개시하여 파괴 등 특정목표를 수행한다.
봇넷은 감염된 좀비PC들을 이용해서 스팸메일 등을 생성해 보내서 피싱이나 악성 봇의 유포에 이용하기도 하는데, 이런 악성 봇의 유포로 좀비PC를 확장한 후 종국에는 분산서비스 공격 등 사이버테러를 자행하기도 한다.
본 연구에서 이런 유형의 봇과 봇넷의 개념을 살펴보고 이를 이용한 사이버 테러 범죄의 처벌가능성을 검토한 다음 어느 벌조에 의하여 처벌이 가능하다면 그 요건이 무엇인지를 살펴보았다.
위 사건에서 범인들이 정보통신망에 장애를 발생하게 한 행위는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제71조 제10호를 위반한 것이 된다.
또한 범인들이 정보통신망을 침입하고, 후일 접근을 목적으로 보호조치를 우회하기 위하여 시스템 프로그램을 변경하거나, 악성 봇을 설치한 것은 정보통신망의 완전성을 해하는 것이 되고, 따라서 정보통신망에 장애를 발생한 것이라는 요건도 충족한다. 따라서 이러한 행위도 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제71조 10호, 제72조 제1항이 적용되어야 하고, 컴퓨터등장애업무방해죄 등 형법의 다른 죄도 성립한다. 악성프로그램 유포나 비밀침해 등 여타 다른 행위에 대하여도 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제71조 제9호, 제11호 등이 적용될 수 있다.
사이버 공격을 구성하는 일부 유형의 범죄에 대하여는 법령의 흠결 때문에 처벌이 불가능하다. 예를 들어 악성코드 유포·전달 행위의 미수는 처벌을 할 수 없다. 이런 흠결을 보완하기 위한 새로운 입법이 필요하다.

영어초록

Due to our country’s high dependence on computer systems in managing and operating the critical infrastructures, it’s becoming a primary target from the ‘Cyber Terrorists’.
In the 12^th of April 2011, Korea's National Agricultural Cooperative lender,Nonghyup or NH Bank, has experienced a system-wide crash that halted all of its banking transactions. This breaches resulted in huge financial losses.
This outage was the results of "unprecedented act of cyber terrorism" by the cyber terrorists.
It turns out that the North Korean hackers planted a malware, so-called mal bots in the laptop owned by an IBM Korea employee who was in charge of maintaining the computerized network for the NH Bank, through a web-hard service, causing the laptop to turn into a so-called “zombie PC”.
Finally the laptop was used to execute the delete command resulting a huge cyber attacks deleting the execution files of NH Bank's key systems, affecting more than two hundred IBM servers. The result was the system failure.
The ‘bots’ (also called botnets, robots, zombies and botnet fleets) are malicious software programs that are loaded on a target system unbeknownst to the victim.
There are hundreds of botnets and botnet variants.
Once infected, these botnets can be controlled through C&C Server by the bot master who controls the botnet controller, which is like a central management system for the botnet fleet. With the controller, one or many Zombie systems can simultaneously act on command.
The infected PCs(Zombie PC) are commonly used to forward transmissions such as phishing scams and spam distributing malicious software such as viruses and keyloggers, ultimately forcing all the infected ‘zombie PC’s in perpetrating distributed denial-of service (DDoS) attacks.
In this case, the bots acting as Keystroke loggers and sniffers were used to capture important information from the laptop and then to forward it back to the criminal, the bot-master.
This study introduced the concept of bots and reviewed the criminal law aspects of this type of cyber attack focusing on the punishability of that acts. In addition to explaining the punishability, it also ventured a diagnosis of what can be the requirements for the punishment.
In this case intruders caused damage to systems in violation of Article 71(10) in the Act on Promotion of Information and Communications Network Utilization and Information Protection etc.
Also intruders trespassed systems and modified systems programs , installed bots to circumvent the computer's security so that they can access the computer again later. This activity impaired the integrity of the computer and therefore meets the damage requirements. A charge under Article 71(10), 72(1) applies to this case in addition to other charges under article 314(2) in the Criminal Law.
We should also apply several other statutes like Article 71(9), (11) when punishing the conduct such as violation of secrecy, malware distribution.
But not every acts used in a cyber attack are not legally punishable due to the current cyber-crime legislation.
According to current legislation, it's not a crime to attempt to distribute a malware.
Thus new cyber-crime legislation is needed to complement this deficiency.

참고자료

· 없음