회사 서버가 해킹됐다면 손해배상 어디까지 가능할까? 기업이 확인할 핵심 기준

안녕하세요. 송파 형사전문변호사 박현철입니다.

회사 서버에 외부인이 무단으로 접속해 자료를 빼내거나 시스템을 훼손했다면 형사 고소만 떠올리기 쉽습니다.

하지만 기업 입장에서는 실제로 발생한 복구비용과 업무중단 손실, 유출된 기술·데이터의 가치, 제3자에 대한 배상책임​까지 함께 살펴봐야 합니다.

특히 해킹 사건은 시간이 지나면 접속로그와 시스템 기록이 사라질 수 있기 때문에, 손해배상을 생각한다면 사고 직후부터 손해액을 입증할 자료를 확보하는 과정이 중요합니다.

1. 해킹으로 실제 지출한 복구비용부터 정리해야 합니다

회사 서버가 해킹되면 가장 먼저 발생하는 손해는 시스템을 정상화하기 위해 지출하는 비용입니다.

예를 들어,

• 서버 복구 비용

• 디지털 포렌식 비용

• 외부 보안업체 조사비용

• 계정 및 접근권한 재설정 비용

• 보안 시스템 추가 구축비용

등이 발생할 수 있습니다.

다만 이러한 비용을 모두 상대방에게 청구한다고 해서 자동으로 전액 인정되는 것은 아닙니다.

실제 손해배상에서는 해킹과 해당 지출 사이에 상당한 인과관계가 있는지, 그리고 실제로 얼마가 지출되었는지를 입증해야 합니다.

제가 기업 관련 사건을 검토할 때도 단순히 “복구에 많은 돈이 들었다”는 설명보다 세금계산서, 용역계약서, 포렌식 보고서, 복구내역서 등 객관적인 자료부터 확인하는 편입니다.

사고가 발생했다면 관련 비용을 별도로 정리해 두는 것이 이후 손해액 산정에 도움이 됩니다.

2. 핵심 기술이나 데이터가 빠져나갔다면 영업비밀 침해 여부를 봐야 합니다

해킹으로 유출된 자료가 회사의 핵심 기술, 고객정보, 설계문서, 사업전략 등이라면 단순한 서버 침입 문제를 넘어 영업비밀 침해가 함께 문제될 수 있습니다.

부정경쟁방지법은 영업비밀 침해로 영업상의 이익을 침해당한 경우 손해배상을 청구할 수 있도록 하고, 손해액을 산정하기 위한 별도의 규정도 두고 있습니다.

다만 회사가 중요하게 생각하는 정보라고 해서 모두 법률상 영업비밀이 되는 것은 아닙니다.

통상적으로는 해당 정보가 외부에 알려져 있지 않고 경제적 가치를 가지며, 회사가 이를 비밀로 관리해 왔는지 등이 중요합니다.

따라서 평소에,

• 직원별 접근권한을 구분했는지

• 비밀유지약정을 체결했는지

• 중요자료에 접근제한을 두었는지

• 퇴직자의 접근권한을 즉시 회수했는지

• 중요한 자료를 별도로 관리했는지

등이 향후 분쟁에서 중요한 자료가 될 수 있습니다.

실무에서는 유출된 자료의 가치뿐 아니라 회사가 그 자료를 어떻게 관리해 왔는지가 상당히 중요한 쟁점이 됩니다.

3. 개인정보가 함께 유출됐다면 회사의 추가 책임도 확인해야 합니다

해킹 사고에서 기업이 놓치기 쉬운 부분이 있습니다.

회사가 피해자인 동시에 개인정보처리자로서 별도의 의무를 부담할 수 있다는 점입니다.

예를 들어 고객이나 환자, 직원의 개인정보가 유출됐다면 회사는 개인정보 보호법에 따른 통지·신고 의무 등을 확인해야 합니다.

현행 개인정보 보호법 시행령에서는 개인정보가 유출된 사실을 알게 된 경우 원칙적으로 72시간 이내 정보주체에게 통지하도록 하고 있습니다.

또한 다음과 같은 경우에는 보호위원회 등에 신고해야 할 수 있습니다.

• 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우

• 민감정보나 고유식별정보가 유출된 경우

• 외부의 불법적인 접근으로 개인정보가 유출된 경우

등입니다.

따라서 해킹 피해 회사는 가해자에 대한 책임 추궁과 별개로 자신이 취해야 할 개인정보 보호조치가 무엇인지도 동시에 확인해야 합니다.

4. 매출 감소나 거래처 이탈도 모두 배상되는 것은 아닙니다

서버 해킹이 발생하면 회사는 종종 상당한 간접 피해를 주장하게 됩니다.

서비스가 중단되어 매출이 감소하거나, 거래처가 이탈하고, 투자 유치가 무산되는 경우도 있을 수 있습니다.

이런 손해도 경우에 따라 배상 대상이 될 수 있지만, 가장 큰 문제는 해킹 때문에 실제로 그 손해가 발생했다는 점을 입증하는 것입니다.

예를 들어 매출 감소를 주장한다면 단순히 사고 후 매출이 줄었다는 사실뿐 아니라,

• 사고 전후 매출자료

• 서비스 중단 기간

• 거래처의 해지 사유

• 사고 당시 진행 중이던 계약

• 기존 매출 추이

등을 함께 살펴봐야 합니다.

따라서 “해킹으로 회사 가치가 떨어졌다”는 추상적인 주장보다 실제로 어떤 거래가 중단되었고 어느 정도 경제적 손실이 발생했는지를 자료로 정리하는 것이 중요합니다.

5. 손해배상보다 먼저 해야 할 것은 ‘증거 보전’입니다

서버 해킹 사건에서는 형사 고소와 민사 손해배상을 동시에 검토할 수 있지만, 그보다 먼저 해야 할 일이 있습니다.

바로 접속기록과 시스템 상태를 보전하는 것입니다.

현행 정보통신망법은 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위를 금지하고 있습니다.

실제 사건에서는,

• 접속 IP

• 로그인 기록

• 관리자 계정 사용내역

• 파일 다운로드·복사 기록

• 서버 로그

• 외부 저장장치 연결 흔적

• 클라우드 접속기록

등이 중요한 증거가 될 수 있습니다.

특히 전직 직원이 과거 사용하던 계정으로 접속한 사건처럼 누가 어떤 권한으로 어느 자료에 접근했는지가 쟁점이 되는 경우에는 로그 확보가 매우 중요합니다.

실무에서도 기업이 사고 직후 시스템을 급히 정상화하는 과정에서 기존 기록을 덮어쓰거나 변경해버리는 경우가 있습니다.

따라서 시스템 복구와 별개로 사고 당시 상태를 가능한 범위에서 보존하고, 필요한 경우 전문적인 포렌식 절차를 거치는 것​이 중요합니다.

자주 묻는 질문(Q&A)

Q1. 해킹으로 서버를 복구한 비용은 전부 손해배상 청구가 가능한가요?

청구 자체는 가능하지만 실제 인정 범위는 구체적인 지출 내용과 해킹 사이의 관련성을 확인해야 합니다. 포렌식 비용이나 복구비용이 사고 대응에 실제로 필요했고 금액이 객관적인 자료로 확인된다면 손해액을 주장하는 자료가 될 수 있습니다.

Q2. 퇴사한 직원이 예전에 알던 비밀번호로 접속해도 해킹인가요?

가능성이 있습니다. 정보통신망법은 단순히 비밀번호를 어떻게 알게 되었는지가 아니라 접속 당시 정당한 접근권한이 있었는지 또는 허용된 접근범위를 넘었는지를 기준으로 규정하고 있습니다. 따라서 퇴사 후 접근권한이 사라진 상태에서 회사 시스템에 접속했다면 구체적인 접속 경위를 확인해볼 필요가 있습니다.

Q3. 회사 자료가 유출되면 모두 영업비밀 침해인가요?

그렇지는 않습니다. 해당 정보가 공개되지 않은 정보인지, 경제적 가치가 있는지, 회사가 실제로 비밀로 관리해 왔는지 등을 구체적으로 확인해야 합니다. 따라서 NDA나 접근권한 관리내역 등 평소의 비밀관리 조치가 중요합니다.

Q4. 개인정보가 해킹으로 유출됐다면 무조건 72시간 내 신고해야 하나요?

정보주체에 대한 통지는 원칙적으로 72시간 이내 이루어져야 하지만, 보호위원회 등에 대한 신고는 법령에서 정한 요건을 확인해야 합니다. 예를 들어 1천명 이상 개인정보 유출, 민감정보·고유식별정보 유출, 외부 불법접근에 따른 유출 등은 신고 대상이 될 수 있습니다.

Q5. 해킹 때문에 거래처가 계약을 해지했다면 그 손해도 청구할 수 있나요?

가능성은 있지만 해킹과 계약 해지 사이의 인과관계를 입증해야 합니다. 거래처의 해지 통보 내용, 기존 계약관계, 사고 전후의 거래내역 등을 통해 실제 손해가 해킹으로 발생했다는 점을 구체적으로 확인해야 합니다.

[상담문의] 법률사무소 스케일업 - 박현철 대표변호사

문의전화: 02-6925-7469 주소: 서울시 송파구 송파대로 201, A동 621호