랜섬웨어 공격에 대한 형사법적 고찰
The criminal law aspects of Ransomware Attack
1
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
전 세계적으로 랜섬웨어 공격이 계속되고 그로 인한 파급효과나 피해규모가 막대하다. 랜섬웨어 공격은 몸값(ransom)으로 지급하는 금전적 피해 외에도 그로 인한 업무 마비나 신용 훼손 등 간접적 피해도 초래한다. 랜섬웨어 공격은 새삼스러울 것도 없는 오래된 것이지만, 최근 다양한 형태와 더불어 그 공격 알고리즘의 성능 수준이 높아 일단 파일이 암호화되면, 돈을 지급하고 복호화할 수밖에 없을 정도로 골치 아픈 존재가 되었다. 특히 그 파일의 암호화로 인해 생명이나 신체에 직접 위해를 가할 수 있는 병원 등에 대한 반복적 공격은 모두를 경악케 하고 있고, 그 과정에서의 막대한 범죄수익 때문에 많은 유사 범행이 뒤따르고 있다. 최근 비트코인의 등장으로 랜섬웨어 공격 후에 범인들이 비트코인으로 랜섬을 지불하도록 요구하는 바람에 추적․적발이 거의 불가능에 가깝고, 특히 외국 범죄자에 의한 랜섬웨어 공격도 많아 범인을 검거하여 처벌하는 것이 쉽지는 않지만, 랜섬웨어 공격의 처벌에 대한 검토가 빠질 수는 없다. 랜섬웨어 공격 자체는 정보통신망법에 의하여 처벌하고, 돈을 요구하여 받아 챙기는 행위는 공갈죄로 의율하면 족하다는 것이 일반적 시각이지만, 공갈죄 적용 여부의 문제를 비롯하여 갖가지 문제가 생긴다. 정보통신망법 자체도 규정이 지나치게 모호하고, 포괄적이라 랜섬웨어나 정보통신망 침입 등 특정 범행 자체에 대한 묘사의 디테일이 떨어져서 적용상 문제가 많다. 따라서 이러한 랜섬웨어 공격과 관련하여 과연 현행 정보통신망법 체계로 규율하는 데 있어 문제가 없는지, 새로운 법 규정의 신설이 필요한 것이 아닌가 하는 검토가 필요하다. 정보통신망법의 악성 프로그램 전달․유포 처벌 규정은 그것을 수단으로 다른 범죄를 행한다는 의도 부분을 반영하는 등 좀 더 구체화할 필요가 있고, 랜섬웨어 공격과 같이 빈번하고 피해 규모가 큰 범죄의 경우 DDos공격을 처벌하기 위한 정보통신망법 제48조 제3항과 같이 어떤 특정 범죄 규율만을 목적으로 하는 새로운 규정의 신설이 모색되어야 하는데, 기본적으로 악성 프로그램의 전달․유포와 금품 요구 등이 결합된 형태가 되어야 한다. 뿐만 아니라, 이러한 랜섬웨어 공격에 사용된 악성 프로그램을 제작․배포하는 행위 및 그 소지행위를 처벌하는 규정 신설도 필요하다.
Abstract
Ransomware attacks are continuing throughout the world and the amount of damages caused by them continues to be enormous. In addition to the financial damage that ransomware victim has to pay for ransom, it also causes indirect damages such as business disruption or credit crush. Ransomware is an old one, but it has recently become more troublesome because it has a high level of algorithm with various forms, so once the file is encrypted, ransom has to be paid to decode encrypted files. Repeated attacks on hospitals, especially those that can directly threaten life or the body, due to the encryption of the files, are making everyone afraid, followed by many similar crimes that have been deceived by the enormous Ransom paid in the process. Recently, with the advent of Bitcoin, the criminals demand to pay Ransom after the ransomware attack. Therefore, tracking and seizure is almost impossible. Especially, there are many ransomware attacks by foreign criminals. However, the question of how to punish ransomware attacks should not be overlooked. The ransomware attack itself can be punished by Act on Promotion of Information and Communications Network Utilization and Information Protection Etc, and the act of extorting money can be done by applying the criminal act, but there are various problems including the application of Extortion Article. The Act on Promotion of Information and Communications Network Utilization and Information Protection Etc itself is too obscure and comprehensive, so the detail of the description of the specific crime itself, such as ransomware attack or the infiltration of the information network itself, is falling, which is problematic in application. Therefore, it is necessary to examine whether there is a problem in punishment under the present law or whether the establishment of a new legal regulation is necessary in relation to the attack of ransomware. It is necessary to further refine the distribution of malicious programs in the Act on Promotion of Information and Communications Network Utilization and Information Protection Etc by reflecting its intention to commit other crimes by means of it, and to punish DDos attacks in case of frequent and large-scale crimes such as Ransomware attacks As stated in Article 48(3) of the Act on Promotion of Information and Communications Network Utilization and Information Protection Etc, the establishment of a new criminal code aiming only at a specific crime regulation should be sought. Basically, it should be a combination of distribution of malicious programs and demands for money. In addition, there is a need to establish new rules to penalize creating and distributing malicious programs used in such Ransomware attacks and possessions of that program.
참고문헌 (25)
- 강동범, "사이버범죄처벌규정의 문제점과 대책", 형사정책, 19(2), pp.33~54 (2007), 한국형사정책학회[DOI]
- 김성룡, "피싱(Phishing)의 가벌성", IT와 법연구, (4), pp.251~290 (2010), IT와 법연구소
- 서규원, "랜섬웨어의 종류와 앞으로의 동향", 한국정보과학회 학술발표논문집 (2016), 한국정보과학회
- 심희기, "온라인상의 범죄행위에 대한 오프라인상의 범죄이론 연장의 가부 : 링크(link)를 포함한 일련의연결수단부여행위와 ‘공연전시", 고시연구, 통권 : 357 (2003), 고시연구사
- 양종모, "사물인터넷(IoT) 관련 사이버범죄 동향 및 형사법적 규제", 형사법의 신동향, (48), pp.305~350 (2015), 대검찰청[DOI]
- 이원상, "형사법적 관점에서의 랜섬웨어 대응방안", 범죄수사학연구, 3(1) (2017), 경찰대학 수사과학연구센터
- 지유미, "사이버범죄에 대한 형법적 대책", 비교형사법연구, 19(4), pp.431~456 (2018), 한국비교형사법학회[DOI]
- Charlotte Decker, "Cyber Crime 2.0: And Argument To Update The United States Criminal Code to Reflect The Changing Nature Of Cyber Crime", S.Cal.L. Rev, 81 (2007)
- Elkin Girgenti, "Computer Crimes", Am. Crim. L. Rev, 55, pp.911~ (2018)
- James A. Sherer, "Ransomware-Practical And Legal Considerations For Confronting The New Economic Engine of The Dark Web", Rich. J. L. & Tech, 23, pp.1~ (2017)
- Joe Dysart, "Data Kidnapping", A.B.A. J, 101, pp.31~ (2015)
- Kelsey T. Patterson, "Narrowing It Down To One Narrow View: Clarifying And Limiting The Computer Fraud And Abuse Act", Charleston L.Rev, 7, pp.489~
- Kevin V. Ryan, "Caution Advised: Avoid Undermining The Legitimate Needs of Law Enforcement To solve Crimes Involving The Internet In Amending The Electronic Communications Privacy Act", U. S. F. L. Rev, 47, pp.291~
- Kitti Mezei, "The Regulation of Crimes against Information Systems in Hungary", J. E. -Eur. Crim. L, pp.203~ (2017)
- Lawrence J. Trautman, "Industrial Cyber Vulnerabilities: Lessons from Stuxnet and the Internet of Things", U. Miami L. Rev, 72, pp.761~797 (2018)
- Malcolm Harkins, "The Ransomware Assault on the Healthcare Sector", J. L. & Cyber Warfare, 6, pp.148~ (2018)
- Marc Mehlman, "How CFOs Can Mitigate the Risk of Ransomware", Tax Executive, 70, pp.92~ (2018)
- Marcelo Triana, "Is Selling Malware A Federal Crime?", N.Y.U.L. Rev, 93, pp.1311~ (2018)
- Matthew Ashton, "Debugging the Real World: Robust Criminal Prosecution in the Internet of Things", Ariz. L. Rev, 59, pp.805~ (2017)
- Mellissa Gallegos, "Ransomware : Legal Issues to Avoid Being Held Hostage", 2017 ACBO Fall Conference (2017)
- Peter N. McClelland, "From Gibberish to Jargon: A Look at the Technical and Legal Issues Surrounding New Technologies and How they Necessitate Active Engagement by Attorneys in Client Decision-Making", Elon L. Rev, 10, pp.331~ (2018)
- Ryan M. Krisby, "HeathH Care Held Ransom: Modifications To Data Breach Security & The Future of Heath Care Privacy Protection", Health Matrix, 28, pp.365~
- Stephen Kloepfer, "Ambiguity and Vagueness in the Criminal Law: An Analysis of Types", Crim. L.Q, 27, pp.94~ (1984)
- Tiffany Curtiss, "Computer Fraud And Abuse Act Enforcement : Cruel, Unusual, And Due For Reform", Wash. L. Rev, 91, pp.1813~
- Wolfgang McGavran, "Intended Consequences: Regulating Cyber Attacks", Tul. J. Tech. & Intell. Prop, 12, pp.259~ (2009)