계정 도용 피해, 내 잘못도 있을까

낯선 기기에서 로그인됐다는 알림, 바뀌어 버린 비밀번호, 도용된 계정으로 올라온 글. 최근 한 대형 커뮤니티에서 벌어진 계정 도용 사태의 전형적 장면이다. 그런데 정보가 처음 새어 나온 곳은 정작 그 커뮤니티가 아니었다. 보안이 취약한 다른 사이트에서 유출된 아이디·암호가 불법 유통됐고, 같은 정보를 여러 곳에 '재사용'한 이용자들이 연쇄로 뚫린 사례로 알려졌다.

유출된 곳과 뚫린 곳이 다르다

이번 사태의 핵심은 '크리덴셜 스터핑'(유출된 계정 정보를 다른 사이트에 대입해 로그인을 시도하는 수법)이다. A 사이트에서 새어 나온 조합을 B 사이트에 그대로 넣어 보는 것이다. 같은 아이디·비밀번호를 쓰는 이용자라면 B도 함께 뚫린다.

법적으로 보면 책임의 출발선이 달라진다. 정보를 실제로 유출한 사이트에는 개인정보 보호를 위한 안전조치 의무 위반이 문제될 수 있다. 반면 정보를 재사용한 B 사이트는, 스스로 유출한 것이 아니라 이용자가 동일 비밀번호를 쓴 결과 로그인을 허용한 것이어서 책임 성격이 다르다.

운영자 책임은 '조치를 다했는가'로 갈린다

운영자에게 손해배상을 물으려면, 법령이 정한 기술적·관리적 보호조치를 게을리했고 그 때문에 피해가 생겼다는 점이 인정돼야 한다. 판례는 사고 발생 사실만으로 곧바로 운영자 과실을 인정하지는 않는 것으로 알려져 있다. 접속 이상 탐지, 비정상 로그인 차단, 2단계 인증 제공 여부 같은 '통상 요구되는 수준'을 다했는지가 관건이다.

이용자 쪽 사정도 함께 따진다. 동일 비밀번호 재사용처럼 이용자의 부주의가 피해에 기여했다면, 배상액을 정할 때 과실상계로 반영될 수 있다. 결국 책임은 한쪽에 다 지워지기보다 사실관계에 따라 나뉜다.

그래서 어떻게

먼저 재사용부터 끊어야 한다. 주요 계정은 서로 다른 비밀번호를 쓰고 2단계 인증을 켜 두는 것이 실질적 방어선이다. 피해가 의심되면 로그인 기록·알림 문자·비밀번호 변경 이력을 캡처해 두는 것이 중요하다. 배상을 다툴 때 '언제 어떻게 뚫렸는지'를 입증할 증거가 되기 때문이다. 유출 출처가 다른 사이트라면 그곳의 안전조치 위반 여부도 별도로 확인해 둘 필요가 있다.