랜섬웨어 공격에 대한 형사법적 고찰 (The criminal law aspects of Ransomware Attack)

서지정보

· 발행기관 : 홍익대학교 법학연구소
· 수록지 정보 : 홍익법학 / 20권 / 1호 / 31 ~ 55페이지
· 저자명 : 양종모

초록

전 세계적으로 랜섬웨어 공격이 계속되고 그로 인한 파급효과나 피해규모가 막대하다. 랜섬웨어 공격은 몸값(ransom)으로 지급하는 금전적 피해 외에도 그로 인한 업무 마비나 신용 훼손 등 간접적 피해도 초래한다. 랜섬웨어 공격은 새삼스러울 것도 없는 오래된 것이지만, 최근 다양한 형태와 더불어 그 공격 알고리즘의 성능 수준이 높아 일단 파일이 암호화되면, 돈을 지급하고 복호화할 수밖에 없을 정도로 골치 아픈 존재가 되었다. 특히 그 파일의 암호화로 인해 생명이나 신체에 직접 위해를 가할 수 있는 병원 등에 대한 반복적 공격은 모두를 경악케 하고 있고, 그 과정에서의 막대한 범죄수익 때문에 많은 유사 범행이 뒤따르고 있다.
최근 비트코인의 등장으로 랜섬웨어 공격 후에 범인들이 비트코인으로 랜섬을 지불하도록 요구하는 바람에 추적․적발이 거의 불가능에 가깝고, 특히 외국 범죄자에 의한 랜섬웨어 공격도 많아 범인을 검거하여 처벌하는 것이 쉽지는 않지만, 랜섬웨어 공격의 처벌에 대한 검토가 빠질 수는 없다. 랜섬웨어 공격 자체는 정보통신망법에 의하여 처벌하고, 돈을 요구하여 받아 챙기는 행위는 공갈죄로 의율하면 족하다는 것이 일반적 시각이지만, 공갈죄 적용 여부의 문제를 비롯하여 갖가지 문제가 생긴다. 정보통신망법 자체도 규정이 지나치게 모호하고, 포괄적이라 랜섬웨어나 정보통신망 침입 등 특정 범행 자체에 대한 묘사의 디테일이 떨어져서 적용상 문제가 많다.
따라서 이러한 랜섬웨어 공격과 관련하여 과연 현행 정보통신망법 체계로 규율하는 데 있어 문제가 없는지, 새로운 법 규정의 신설이 필요한 것이 아닌가 하는 검토가 필요하다.
정보통신망법의 악성 프로그램 전달․유포 처벌 규정은 그것을 수단으로 다른 범죄를 행한다는 의도 부분을 반영하는 등 좀 더 구체화할 필요가 있고, 랜섬웨어 공격과 같이 빈번하고 피해 규모가 큰 범죄의 경우 DDos공격을 처벌하기 위한 정보통신망법 제48조 제3항과 같이 어떤 특정 범죄 규율만을 목적으로 하는 새로운 규정의 신설이 모색되어야 하는데, 기본적으로 악성 프로그램의 전달․유포와 금품 요구 등이 결합된 형태가 되어야 한다. 뿐만 아니라, 이러한 랜섬웨어 공격에 사용된 악성 프로그램을 제작․배포하는 행위 및 그 소지행위를 처벌하는 규정 신설도 필요하다.

영어초록

Ransomware attacks are continuing throughout the world and the amount of damages caused by them continues to be enormous. In addition to the financial damage that ransomware victim has to pay for ransom, it also causes indirect damages such as business disruption or credit crush. Ransomware is an old one, but it has recently become more troublesome because it has a high level of algorithm with various forms, so once the file is encrypted, ransom has to be paid to decode encrypted files. Repeated attacks on hospitals, especially those that can directly threaten life or the body, due to the encryption of the files, are making everyone afraid, followed by many similar crimes that have been deceived by the enormous Ransom paid in the process.
Recently, with the advent of Bitcoin, the criminals demand to pay Ransom after the ransomware attack. Therefore, tracking and seizure is almost impossible. Especially, there are many ransomware attacks by foreign criminals. However, the question of how to punish ransomware attacks should not be overlooked. The ransomware attack itself can be punished by Act on Promotion of Information and Communications Network Utilization and Information Protection Etc, and the act of extorting money can be done by applying the criminal act, but there are various problems including the application of Extortion Article. The Act on Promotion of Information and Communications Network Utilization and Information Protection Etc itself is too obscure and comprehensive, so the detail of the description of the specific crime itself, such as ransomware attack or the infiltration of the information network itself, is falling, which is problematic in application.
Therefore, it is necessary to examine whether there is a problem in punishment under the present law or whether the establishment of a new legal regulation is necessary in relation to the attack of ransomware.
It is necessary to further refine the distribution of malicious programs in the Act on Promotion of Information and Communications Network Utilization and Information Protection Etc by reflecting its intention to commit other crimes by means of it, and to punish DDos attacks in case of frequent and large-scale crimes such as Ransomware attacks As stated in Article 48(3) of the Act on Promotion of Information and Communications Network Utilization and Information Protection Etc, the establishment of a new criminal code aiming only at a specific crime regulation should be sought. Basically, it should be a combination of distribution of malicious programs and demands for money. In addition, there is a need to establish new rules to penalize creating and distributing malicious programs used in such Ransomware attacks and possessions of that program.

참고자료

· 없음