“도박사이트 운영에 대해서는 전혀 몰라요. 저는 월급 받고 일한 프로그래머로 그냥 근로자입니다.”

[대전시민뉴스 김혁수 기자] 불법 도박사이트나 불법촬영물 유통 플랫폼 사건에서 개발자와 서버관리자에게는 어쩌면 가장 억울한 한마디일 수 있다. 돈을 걸고 도박한 것도 아니고 불법촬영물을 직접 촬영하거나 게시한 것도 아니며 사이트에서 발생한 범죄수익을 나눠 가진 것도 아니라는 것이다. 실제 IT 산업은 철저한 분업으로 움직인다. 발주자가 있고 개발자가 있으며, 서버를 관리하는 사람이 따로 있고 보안 취약점을 점검하는 엔지니어도 있다. 개발자의 손을 거쳐 만들어진 프로그램이 범죄에 사용됐다는 결과만으로 개발자를 운영자와 똑같이 처벌한다면 정상적인 개발·보안 산업까지 위축될 수 있다. 그러나 반대편의 질문도 만만치 않다. 사이트 첫 화면부터 불법촬영물이 올라오고 회원에게 도박머니를 충전시키며 수익금을 환전하도록 설계돼 있는데도 코드만 짜고 서버 내려가지 않도록 관리하는 근로일 뿐이라는 설명으로 책임에서 완전히 벗어날 수 있을까?

법무법인 대련 임지혜 변호사와 함께 지난 8월 행정안전부의 정책 브리핑을 보며 법률 칼럼을 이어 나갔다. 정부는 지난 8월 불법촬영물 등의 유통사이트를 심층 분석한 결과 분석대상 3만4628개 가운데 음란물 유통을 목적으로 활성화된 불법사이트가 6683개에 달했고 한국어 운영 등 국내 관련 사이트도 1316개로 파악됐다고 발표했다. 정부 추산 한국인 관련 영상은 약 215만 개에 달했으며 특히 눈여겨볼 대목은 이들 사이트에 도박·성매매 등 또 다른 불법 영역으로 이용자를 끌어들이는 배너광고가 4만686개 게재돼 있었다는 점이다. 정부가 수사와 처벌뿐 아니라 광고와 계좌를 통한 수익원 차단, 불법사이트 무력화까지 포함하는 범정부 대응을 내놓은 이유다. 

이제 불법사이트는 하나의 범죄만을 위해 만들어진 단순한 홈페이지라고 보기 어렵다. 영상이 사람을 끌어들이고 광고가 도박사이트로 연결하며 회원정보가 축적되고 결제와 가상자산, 서버와 해외 호스팅이 결합한다. 따라서 수사 역시 운영자 한 사람을 찾아내는 데서 멈추지 않고 누가 사이트를 만들었고 누가 서버를 유지했으며 누가 회원정보를 관리했고 누가 결제와 환전 구조를 구축했는가를 따라갈 수밖에 없다. 기술자가 범죄의 주변인이 아니라 범죄 인프라의 일부로 의심받는 순간이 생기는 것이다.

여기에서 형법상 공범의 문제가 등장한다. 임 변호사는 “범죄를 함께 실행했다면 공동정범이 문제될 수 있고 범죄를 실행하는 사람의 행위를 용이하게 해줬다면 방조범 성립 여부가 검토될 수 있습니다. 그러나 불법사이트에 기술을 제공했다는 사실만으로 모든 개발자나 디자이너와 같은 피고용인이 자동으로 공범이 되는 것은 아닙니다.”라고 하며 형사책임을 판단할 때는 개발자가 사이트의 실제 용도를 언제 알았는지, 무엇을 개발해줬는지, 일회성 제작에 그쳤는지 아니면 개설 이후에도 서버, 회원 관리, 결제와 보안 등을 계속 관리했는지, 범죄수익과 연결된 보수를 받았는지, 수사기관의 추적을 피하기 위한 기능까지 구현했는지 등 구체적인 사정을 살펴야 함을 설명하였다.

예컨대 일반적인 쇼핑몰 솔루션을 납품했는데 발주자가 나중에 이를 범죄에 이용한 경우와 처음부터 불법 도박사이트라는 사실을 알면서 베팅·충전·환전 기능을 개발하고 이후 장애가 발생할 때마다 서버를 복구해 준 경우를 같은 선상에 놓기는 어렵다. 마찬가지로 영상 스트리밍 기술 자체는 중립적이지만, 불법촬영물이 지속적으로 유통된다는 사실을 인식한 이후에도 회원등급과 결제기능을 추가하고 서버 차단을 우회하도록 기술적 조치를 해줬다면 형사책임을 판단하는 사정은 달라질 수 있다. 결국 법이 묻는 것은 개발자의 직업명이 아니다. 그 사람이 알고 있었던 것과 실제로 해준 일이 무엇인가다.

올해 대법원이 내놓은 판단은 이러한 디지털 범죄의 확장성을 보여준다. 대법원은, 해킹 등 부정한 방법으로 개인정보를 취득해 자신이 운영하는 도박사이트의 업무상 개인정보파일로 운용한 경우에도 개인정보 보호법상 개인정보처리자에 해당할 수 있다고 판단했다. 또한 개인정보의 목적 외 이용죄와 정당한 권한 없는 개인정보 이용죄는 서로 독립된 별개의 범죄로서 하나의 행위가 각 요건을 충족하면 상상적 경합관계에 있다고 판시했다(2026​. 4. 16. 선고 2026도477 판결).

한 번의 행위가 ‘불법사이트 운영’이라는 이름 하나로만 평가되지 않을 수 있다는 의미이기도 하다. 임 변호사(법무법인 대련)는 “성격에 따라 도박공간개설을 비롯해 개인정보보호법 위반, 불법촬영물의 유통·소지·저장과 관련한 성폭력처벌법상 문제, 범죄수익의 취득·은닉 등이 중첩돼 수사대상이 될 가능성이 있기에 공모 관계에 대한 사실만 확인하고 안심하기보다 자신에게 구체적으로 어떤 범죄의 정범, 공범, 방조 혐의가 적용되고 있는지를 먼저 확인하는 것이 중요합니다.”라고 하였다.

IT 범죄에서 개발자가 실제 운영자가 아니라는 사실은 중요한 사정이지만 그것만으로 형사책임 여부가 결정되지는 않는다. 수사단계에서는 개발을 의뢰받은 경위와 계약내용, 작업 범위, 사이트의 불법성을 인식하게 된 시점, 이후 추가 개발이나 유지보수 여부, 대가의 지급방식 등을 객관적인 자료와 함께 정리해야 하는 것이 수사 초기부터 필요한 것이다. 

“제 기술로 불법 자금을 해킹한 것인데 정의롭고 정당한 것 아닌가요?”

흥미로운 변화는 해킹의 반대편에서 일어나고 있다. 정부는 올해 화이트해커가 기업이나 기관의 보안 취약점을 발견해 신고하는 취약점 신고, 조치, 공개제도를 시범 도입하고, 이후 법제화를 추진하고 있다. 그동안 현행 정보통신망법의 침입금지 규정에 선의로 취약점을 탐색하는 화이트해커조차 법적 위험을 우려해야 한다는 지적이 이어졌고, 대규모 개인정보 유출과 AI 기반 사이버위협이 커지면서 제도적 안전장치를 마련할 필요성이 제기된 것이다.

그러나 여기서 흔히 하는 오해가 있다. 보안과 공익을 위한 해킹은 정당한가? 임 변호사(법무법인 대련)는 “만약 보안업체가 기업과 계약을 체결해 정해진 서버와 기간, 방법의 범위 안에서 모의침투를 수행하는 것과 아무런 권한 없이 타인의 시스템에 들어가 취약점을 발견한 뒤 좋은 뜻으로 한 일이었다고 주장하는 것은 법적으로 전혀 다른 문제입니다.”라고 하며 계약이나 사전 승인 여부, 접근 권한과 테스트 범위, 개인정보의 열람 및 복제 여부, 발견한 정보를 이후 어떻게 이용했는지가 중요함을 강조하였다. 

▲사진설명=법무법인 대련 대표 김범식 변호사 업무 모습. 사진=법무법인 대련 제공.

보안업체나 개발자에게도 무엇을 할 수 있는지 만큼 어디까지 해도 되는지를 문서로 남기는 일이 중요해지고 있다. 모의해킹 계약이라면 대상 시스템과 테스트 기간, 허용되는 공격기법, 개인정보 접근 시 처리방법, 발견된 취약점의 보고와 폐기방법 등을 사전에 구체화할 필요가 있다. 기술적 능력이 뛰어날수록 권한의 경계가 모호해지는 것이 아니라 오히려 더 명확해야 한다. 2026년 화이트해커 제도화 움직임은 해킹을 느슨하게 허용하겠다는 신호라기보다, 선의의 보안활동과 범죄적 침입을 구분할 수 있는 경계선을 보다 명료하게 만들겠다는 흐름으로 읽는 것이 정확하다.

실제 수사가 시작됐다면 대응의 출발점 역시 계약서와 작업지시서, 이메일 및 메신저, 깃 커밋과 작업로그, 서버 접근기록, 세금계산서와 대금 내역, 가상자산일 경우 지갑 주소의 추적 등을 통해 무엇을 의뢰받았고 어디까지 알고 있었으며 실제로 무엇을 했는지를 복원하는 것이 먼저다. 반대로 사이트의 불법성을 인식한 이후에도 상당 기간 개발·운영에 관여했다면 단순 외주였다는 주장만 고집하는 것보다 관여 정도와 범죄수익 취득 여부, 역할의 종속성, 범행 중단 시점 등을 정확히 분석하는 것이 방어전략의 출발점이 될 수 있다.

끝으로 대련 임 변호사는 “디지털 범죄는 화면 안에서 벌어지지만, 수사는 결국 사람의 인식과 행동을 추적하는 과정”이라며 “특히 개발자나 보안업무 종사자는 기술적으로 가능했다는 사실과 법적으로 허용됐다는 사실을 혼동해서는 안 된다. 범죄를 몰랐다는 주장 역시 말로 끝나는 것이 아니라 계약과 작업기록, 대화내역 등 당시의 객관적인 자료를 통해 설명할 수 있어야 한다”고 말했다.

※ 본 칼럼은 불법사이트 제작·운영에 관여한 개발자와 보안업무 종사자의 형사책임 및 화이트해커 활동의 법적 쟁점을 설명하기 위해 작성됐습니다. 법무법인 대련은 사건 관계자의 권리 보호와 절차적 공정성을 바탕으로 법률적 쟁점과 사회적 책임을 함께 살펴보고 있습니다. 구체적인 법적 판단은 개별 사건의 사실관계에 따라 달라질 수 있습니다.

※ 칼럼 법률 자문: 임지혜 변호사(법무법인 대련