2. 이 사건 해킹 사고 부적절 대응 주장에 대한 판단은

피고 옥션은 2008. 1. 3.경 이 사건 사이트에 대한 이상징후를 발견한 이후부터 해킹이 완료된 이후인 2008. 1. 14.경 까지 피고 옥션이 자체적으로 수립하고 있었던 침해사고 대응 절차에 따라 피고 인포섹의 침해보고 등을 토대로 로그 및 장비 이상 유무의 점검, 악성코드의 삭제, ARP spoofing의 차단, 이노믹스 서버의 점검, TCP 80포트의 차단, 데이터베이스 서버 침해여부 점검 등의 대응 조치를 취한 것으로 보이며,

일반적으로 악성코드는 여러경로를 통해 서버에 올려지거나 생성되므로 악성코드가 발견되었다는 사실만으로 서버에 대한 해킹의 징후라고 단정하기 어렵고 웹쉘(공격자가 원격으로 해킹대상 웹서버에 명령을 수행할 수 있도록 작성된 웹스크립트 파일)에 시스템 관리자의 아이디와 비밀번호를 탈취하는 기능이 있다 하더라도 모든 웹쉘이 그러한 것이라고 단정하기 어려우며 서버별로 비밀번호가 별도로 설정되고 시스템에 따라 비밀번호가 연동하는 특성상 수십대의 데이터베이스 서버를 운영하고 있는 피고 옥션이 악성코드나 웹셀을 발견하는 즉시 해킹이 발생할 수 있다는 가능성만으로 데이터베이스 서버 관리자의 비밀번호를 변경하기는 어려우며,

또한 위 웹쉘은 해킹사고당시 기준으로 널리 사용되는 백신프로그램인 맥아피나 시멘텐사의 노턴, 안철수 연구소의 V3로 탐지할 수 없어 피고 옥션이 그로인한 실시간 탐지를 못한 것에 대해 어떠한 과실이 있다고 보기는 어렵고, 해커가 사용한 것으로 추정되는 ARP spoofing기법을 방어하기 위해서는 ARP테이블 설정을 다이나믹 모드에서 스태틱 모드로 변경하면 되나 이는 소규모 기업에 적당한 대응기술로 서로 연동하는 수백대의 서버를 운용하고 있는 옥션에게는 사용하기 어려웠던 것으로 보여 그러한 변경조치를 하지 않은 옥션의 과실로 보기도 어렵다고 판단을 하였습니다.

또한 이처럼 해커가 사용한 것으로 추정되는 포트 포워딩, ARP spoofing기법은 고급의 해킹 기법으로 사건 6개월전인 2007. 8. 10. 이미 서버거점을 마련한 다음 6개월 동안 꾸준히 치밀하게 사전작업을 거친 지능적인 해커에 의해 수백대의 웹 서버와 수십대의 데이터베이스 서버를 운용하는 등 복잡한 시스템을 보유하고 있던 피고 옥션으로서는 이 사건 해킹사고 당시 관련 법령이 정보통신서비스 제공자에게 요구하고 있는 기술적 관리적 보안조치의 내용과 이에 따라 피고 옥션이 취한 보안 조취의 내용과 수준, 해킹 방지 기술의 발전 정도, 해킹 방지 기술 도입을 위한 경제적인 효용등에 비추어 볼 때 피고 옥션이 이 사고를 근본적으로 방지하기는 쉽지 않았던 것으로 보인다 할 것이다. 이를 종합적으로 고려하면 피고 옥션이 2008. 1. 4경 이노믹스 서버에 설치된 악성코드를 발견한 다음 수행한 대응조취에 어떠한 주의의무 위반이 있었다고 할 수 없고, 달리 피고 옥션이 이 사건 해킹사고 당시 적절한 대응 조치를 취하지 않아 이사건 해킹사고를 막지 못하였다는 점을 인정할 만한 증거가 없어 원고들의 주장을 받아들이지 않았습니다.

3. 기타 정보보호 조치에 관한 주의의무 위반 주장에 대한 판단

피고 옥션은 이사건 해킹사고 당시 앞서 설명한 웹 관련 보안조치 이외에 정보통신망법상의 개인정보 보호를 위한 조치, 외부에서 접근할 필요가 있는 이노믹스 서버에 대한 배송업체상담원들과 옥션회원들의 접근할 수 있는 사용자 목록과 접근할 수 있는 인터넷 주소를 사전에 정의하여 포함되지 않는 사용자나 인터넷 주소의 접근을 불허하고, 서버에 대한 인증 및 접근시스템을 도입하여 비인가자의 접근을 차단하였으며 보안전담 부서등을 운용하여 정보보호 업무를 하였다. 이처럼 피고 옥션은 이 해킹 사고 당시 피고 옥션의 이용약관 및 정보통신망법 등에서 요구하는 각종 기술적, 관리적 정보보호 조치의 이행, 그 밖에 피고 옥션 내부의 정보보호정책 및 관리지침에 따른 보안 조치 등 다양한 방식의 해킹 방지 조치를 이행하고 있었던 점과 상당한 수준의 해킹기술을 보유한 지능적인 해커에 의해 발생한 이사건은 피고 옥션의 이용약관 및 정보통신망법 등에서 규정하고 있는 정보보호 조치 의무를 다하지 않아 이사건 해킹 사고를 예방하지 못하였다고 할 수 없고, 달리 피고 옥션이 이사건 해킹사고 당시 적절한 예방 및 대응 조치를 위하지 않아 이사건 해킹 사고를 막지 못하였다는 점을 인정할 만한 증거가 없다. 이처럼 위의 사정들을 종합하여 보면 피고 옥션이 정보통신망법 제 28조에 따른 개인정보 보호를 위한 기술적, 관리적 조치를 다한 사실이 있으므로 원고들의 손해배상 주장에 대해서도 이유없다고 판단을 하였습니다.

4. 피고 인포섹에 대한 청구에 관한 판단

피고 인포섹은 이 사건 해킹 사고 당시 엘지데이콤과 체결한 계약 및 엘지데이콤과 피고 옥션간의 계약에 따라 네트워크를 기반으로 하는 침입 차단 및 침입탐지 서비스의 제공, 보안 취약점의 진단 등의 보안 관제 업무를 담당하고 있었으며 이 사건 해킹 사고 당시 침입탐지 및 침입차단 시스템의 운용, 침해 위협 상황 전파, 침입탐지 및 침입차단 시스템의 로그 분석, 탐지 이벤트에 대한 IP차단, 웹쉘탐지, 장애 및 침해사고 분석 보고서 제공 등 합리적인 조치를 취하였던 것으로 보이며 이 사건 해킹 사고가 피고 인포섹이 담당하고 있던 보안관제 업무 범위 내에서 발생하였다고 단정할 수 없으므로 원고들의 피고 인포섹에 대한 청구를 기각하였습니다.

1심 법원은 위와 같은 이유로 이번 사건의 옥션과 인포섹의 과실을 인정하지 아니하여 옥션측의 손을 들어 주었습니다.