남의 아이디로 산 핫딜, 누가 처벌되나

어느 커뮤니티 이용자의 계정으로 낯선 글이 올라온다. 본인은 접속한 적이 없다. 알고 보니 다른 사이트에서 유출된 아이디·비밀번호가 이곳에도 그대로 대입돼 계정이 통째로 넘어간 것이다. 한 커뮤니티는 도용 주체를 추적해 국내 은행 계좌번호와 계좌명, 유료로 결제된 인터넷 회선, 거래 기록까지 확보해 경찰에 넘겼다. 그런데 초기 신고는 반려됐다. 이유는 '계정 도용 당사자가 직접 접수해야 한다'는 것이었다.

크리덴셜 스터핑은 어떤 죄가 되나

한 곳에서 새어 나온 로그인 정보를 여러 사이트에 무작위로 대입해 같은 계정을 탈취하는 수법을 크리덴셜 스터핑이라 부른다. 남의 아이디·비밀번호로 정당한 접근 권한 없이 시스템에 들어가는 행위는 정보통신망법상 정보통신망 침입에 해당할 수 있다. 여기에 타인 계정으로 결제하거나 재산상 이익을 취했다면 컴퓨터등사용사기 등 별도 혐의가 더해질 여지도 있다.

다만 실제 처벌은 접속 주체가 누구인지, 권한 없는 접근이 입증되는지 등 사실관계에 따라 달라진다. 계좌·회선 기록이 특정 인물을 곧바로 범인으로 확정해 주지는 않는다.

'피해자가 직접 신고하라'는 벽

계정 침입죄는 이용자 개인의 법익을 보호한다. 그래서 수사기관이 '침해당한 계정의 당사자'를 신고인으로 요구하는 경우가 있다. 플랫폼이 아무리 증거를 모아도, 피해 당사자의 진술과 피해 사실 확인이 없으면 수사 착수가 지체될 수 있다는 뜻이다.

그러나 이는 절대적 요건이 아니다. 침입죄는 친고죄가 아니어서, 원칙적으로 피해자 고소가 없어도 수사가 가능하다. 신고 반려는 법 자체보다 초기 대응 실무의 문제인 경우가 많다.

그래서 어떻게

계정이 도용된 정황을 발견하면, 당사자 명의로 고소장을 제출하는 것이 가장 확실하다. 접속 기록(로그인 IP·시간), 낯선 게시·결제 내역, 비밀번호 변경 알림 같은 흔적을 캡처해 보존해 둔다. 수사 거절을 당하면 '침입죄는 친고죄가 아니다'라는 점을 근거로 재접수하거나, 관할 검찰청에 이의를 제기하는 방법도 있다. 다른 사이트에서 쓰던 비밀번호를 재사용하지 않는 것이 가장 값싼 예방책이다.