“옥션 해킹사고 배상책임 無”…기업 숨통

"대법원 판결로 기업 보안 관리 소홀함 없을 것”

2008년 옥션 회원들의 대규모 회원정보 유출 사고에 대해 대법원이 회사의 손해배상 책임이 없다는 판결이 내려졌다.

일각에서는 기업들의 회원 정보 관리가 더욱 느슨해지는 것 아니냐는 우려도 제기되지만, 기업으로서는 개인정보유출 리스크 부담을 덜어낸 판결이어서 주목되고 있다.

대법원 1부(주심 고영한 대법관)는 12일 개인정보 유출 피해자들이 옥션 운영사인 이베이코리아와 보안관리업체 인포섹을 상대로 낸 소송의 상고심에서 원고 패소로 판결한 원심을 확정했다. 이들은 두 회사가 1인당 400만원씩 지급할 것을 요구한 바 있다.

지난 2008년 1월 옥션은 중국인 해커로 추정되는 이들로부터 총 네 차례 칩임을 당해 1천81만 명에 달하는 고객의 이름·주민번호·주소·연락처·계좌번호 등을 탈취 당했다.

이에 일부 피해자들은 소비자분쟁조정위원회를 통해 1인당 5만~10만원을 지급받기로 회사 측과 합의했으나, 또 다른 일부 피해자들은 변호사를 선임해 여러 건의 공동 소송을 제기했다. 소송에 참여한 수만 14만6천601명에 달했다.

소송 참여자들의 논리는 옥션이 개인정보 유출 방지를 위해 기술적 조치를 사전에 제대로 하지 않았다는 것. 또 개인정보가 도용될지 모른다는 정신적 고통을 당했다고 피해자들은 주장했다.

하지만 1심과 2심 판결은 모두 옥션의 편을 들어줬다. 사고 당시 옥션의 보안 조치와 해킹방지 기술의 발전 상황, 해킹 수법 등을 고려했을 때 옥션 운영자와 보안관리업체에 과실이 있다고 보기 어렵다는 논리였다.

즉 당시 기술과 법에 따라 회사가 적절한 보안 조치들을 취했기 때문에 책임을 묻기 힘들다는 뜻이다.

그럼에도 피해자들은 옥션이 방화벽을 설치하거나, 주민번호를 암호화 하지 않았고 악성코드 설치 사실을 알고도 조치를 하지 않아 배상 책임이 있다고 주장했으나 당시 법령에 따라 무죄 판결이 내려졌다.

한국인터넷기업협회 최성진 사무국장은 “그동안 기업들의 개인정보유출 사고의 대부분은 책임소재가 회사 내부에 있기보다 외부의 해커들로부터 발생됐다”면서 “옥션이 보안을 잘 안 갖췄다고 생각할 수 있지만 당시 보안 기술과 눈높이로는 예측할 수 있는 수준의 보안을 잘 갖춰놨던 것이 확인된 것”이라고 말했다.

또 이번 판결로 기업들의 보안 투자가 느슨해지는 것 아니냐는 우려에 대해서는 “옥션은 이미 소송 자체로 7년을 시달렸고 그 후로 기업 이미지와 이용자 신뢰 실추로 더 많은 타격을 입었다”며 “기업들은 이전보다 훨씬 높아진 법률적 보안 수준과 이용자 눈높이에 맞추려 할 테고 해킹 사고로 인한 피해가 얼마나 심각하다는 것을 전례로 알았기 때문에 보안 관리에 소홀함이 없을 것”이라고 강조했다.