항소이유서 초안 중 일부 (이노믹스 서버 노출, 아이디/비밀번호 관리, 웹쉘 탐지)

[박진식변호사]

1.

항소이유서를 작성하였습니다.

원래 다 작성해서 올리려고 했는데, 쟁점 3개만 썼는데도... 30페이지에 달해서 일부를 먼저 올립니다.

2.

앞으로 작성할 쟁점은 해킹의 시간 및 경로의 순서에 따라 다음과 같은 것이 남아 있습니다.

해킹이 고난이도 였는지 여부

웹방화벽

DB서버의 인증및 접근제어 시스템

쿼리

개인정보 암호화

입니다.

3.

위 쟁점들 중

톰캣 서버의 아이디, 비밀번호가 제품 초기 출시 그대로 사용되었다는 점,

피고 인포섹이 ASP목마2006 웹쉘을 이미 2006년 초에 보고서로 파악하고 있었다는 점은

2심에서 새로이 밝힌 것입니다.

또한 모든 회원의 정보가 유출되었다는 점은 제가 1심 후에 새롭게 밝힌 것이라는 점은 다 아실 것입니다.

(언론보도후 옥션이 자백하였음)

쟁점 중 가장 중요한 것은 아이디, 비밀번호의 부실한 관리, 웹쉘 미탐지, 쿼리...라고 하겠습니다.

언론보도와 같이 웹방화벽, 개인정보 암호화는 크게 중요한 쟁점이 아닙니다.

4.

많은 의견 바랍니다.

특히 IT, 보안 등 관련 분야 종사자 여러분들의 많은 조언과 지적 바라겠습니다.

---------------------------------------

항 소 이 유 서

사             건          2010나 31510      손해배상(기)

                            2010나 31527     병합

원 고  (항소인)          가 충 현 외 22654

피 고 (피항소인)        주식회사 이베이옥션 외 1              

    위 사건에 관하여 원고(항소인)들의 소송대리인은 다음과 같이 항소이유를 개진합니다.

다     음

1.  원심 판단의 요지 및 부당성

    원심은 ① 미유출 원고들은 누출되었다고 볼 수 없으며, ② 유출 원고들의 경우에는 피고 옥션의 과실이 인정되지 않는다는 이유로 원고의 청구를 기각하였습니다.

    일단 ①과 관련하여서는 원심이 정보통신망법상의 ‘누출’ 개념에 대한 몰이해에 기한 나머지 판례가 설시한 법리를 오해한 것은 차치하더라도, 누출되었다는 원고의 주장에도 불구하고 ‘미유출’ 원고라고 지칭함으로써 원심 법원이 편견을 가지지 않았나 의심이 됩니다. 그러나 후술하는 바와 같이 피고 옥션의 DB에 있던 전 회원의 모든 정보가 누출되었다는 것이 밝혀졌으므로, 원심 법원의 판단은 (원고가 1심 과정 내내 주장한 바와 같이) 잘못된 사실관계를 전제로 한 판단이므로 위법한 것이며, 스스로 시정할 것으로 보입니다.

    한편 ② 옥션의 과실과 관련한 판단에 관해서는 원심은 되도록 피고 옥션의 과실을 인정하지 않으려는 듯한 태도를 보였으리라고 의심할 만큼 편향된 사실인정에 기한 사실오인을 하였습니다. 즉 원심은 개별적인 사실관계에서 과실 여부 판단도 지나치게 허술할 뿐만 아니라, 바로 이 점에서 약간의 잘못이 있다고 하더라도 해킹 사고가 발생하였다고는 단정할 수 없는 태도로 일관하였습니다. 원심의 논리대로라면 어떠한 사실이 인정되더라도 피고 옥션의 과실이 인정되기는 힘듭니다. 이러한 허술한 대응과 잘못이 모두 모아져 이 사건 해킹의 원인이 되었던 것이지 한 사실만으로 과실을 인정하기에 부족하다고 한 원심 판단은 지극히 형식적인 것입니다.

2.  외부에 노출되지 말아야 할 이노믹스 서버가 노출되어 해커의 공격대상이 된 점

    원심은 ① 상담원들뿐만 아니라 피고 옥션의 회원도 온라인 상담서비스를 받기 위해서는 이노믹스 서버에 접속할 필요가 있는 등 이노믹스 서버에 접속할 필요가 있는 등 이노믹스 서버에 대해 인터넷을 통한 외부 접속도 필요한 것으로 보이고, ② 아이디 및 비밀번호 입력과 같은 인증 및 인가절차를 시행하고 있었으며, ③ 피고 옥션은 이노믹스 서버에 대하여 필요한 범위 내에서 기술적인 보안조치를 취하고 있는 점, ④ 이노믹스 서버에 대한 침입이 곧바로 이 사건 데이터베이스 서버에 대한 침입으로 연결되지는 않는 등 피고 옥션이 무방비 상태로 이노믹스 서버를 외부에 노출하여 이 사건 해킹 사고가 발생한다고 단정할 수 없는 점 등을 종합하여 이노믹스 서버에 대한 보안조치에 관하여 어떠한 주의의무 위반이 있다고 할 수 없다고 판단하였습니다.

    원심의 판단은 기술적 이해의 부족에 기한 사실오인의 위법이 있습니다만 특히 위 ④의 판단은 경악스럽기까지 합니다. ‘이노믹스 서버에 대한 침입이 곧바로 이 사건 데이터베이스 침입으로 연결되지 않는’다고 해서 어찌 ‘이노믹스 서버가 외부에 노출되어 이 사건 해킹사고가 일어났다고 단정할 수 없’어 과실이 없다는 논리로까지 발전한다는 말입니까? 해킹이란 여러 약점을 파고들어 그 결과물로서 (이 사건과 같은 경우에는) ‘전 회원의 개인정보의 전부 유출’이란 결과가 나오는 것입니다. 이노믹스 서버에 대한 보안이 극히 부실하여 외부에 노출된 결과, 해킹이 일어난 것이지 비록 그러한 사실이 있다고 하더라도 데이터베이스 서버에 대한 침입으로 연결되지 않는다고 하여 과실을 부인하는 것은 논리칙을 현저히 일탈한 판단입니다.

    더욱이 이 사건에서는 이노믹스 서버에 대한 침입을 시작으로 데이터베이스 칩입으로 이어졌는데, ‘데이터베이스 침입으로 연결되지 않는다’는 판단도 전혀 사실에 배치되는 판단입니다.

    가. 상담원들뿐만 아니라 옥션의 회원도 이노믹스 서버에 접속할 필요가 있다?

        원심의 완벽한 사실오인입니다. 피고는 여러 차례 이노믹스 서버의 보안과 관련하여 접속경위에 대해 말을 바꿔왔습니다. 그렇게 횡설수설 말을 바꾸어왔던 피고마저도 ‘옥션 ID와 패스워드를 입력함으로써 이노믹스 서비스에서 제공하는 쌍방향 온라인 상담서비스에 접속할 수 있습니다’(12. 15.자 준비서면 제18면)라고 하였는데, 원심은 (이노믹스 서비스에 직접 접속한다고 판단하지 않았을 뿐만 아니라) 서버에 접속한다고 완전히 사실과 다른 판단을 하였습니다. 피고의 12. 29.자 참고서면 제18면에 의하더라도 일반 고객이 서버에 접근하지 않는 것이 명확히 나타나 있습니다. 피고가 시종일관 이랬다 저랬다 말을 바꾸며 헷갈리게 한 성과라 할 수 있습니다. 피고와 피고 측 증인 길기현의 왔다갔다하는 진술을 표로 정리해보겠습니다.

        

	수사기관 (갑제5호증의 1)	1심 증언 (반대신문 15항)	10. 6.자 준비서면	12. 15.자 준비서면	12. 29.자 참고서면
콜센터  상담원	-전용선2)	전용선	-서버에 대한 접근 권한이 부여되지 않음 -아이디와 패스워드를 부여받아 이노믹스 서비스 웹사이트에 접속이 가능하도록 함
배송업체 상담원	-방화벽을 거쳐 접속 -사고 이후, 방화벽 설정을 인터넷 외부에서 이노믹스 서버로의 접근을 모두 차단 -사고 이후에는 모든 외부 접속이 차단되어 현재 VPN을 통해 내부망으로 연결토록 조치	-수사기관에서의 진술은, 임시로 특정 접속을 차단하고 VPN을 통해서 접속하도록 했다는 의미 (15의 5항)			-수사기관에서의 진술은 ‘인터넷을 통한 이노믹스 서비스에 대한 접근을 차단하고, VPN을 사용하여 서비스에 접근하도록 조치하였다는 의미임 -수사기관에서 서비스에 대한 차단을 서버에 대한 차단이라고 잘못 표현한 것
외주개발업체	-VPN을 통해 인증하고 접속	VPN	VPN
고객			-웹사이트 접속을 위한 별도의 ID와 패스워드를 부여(을제55호증) -이노믹스 서버 자체에 관리자 권한을 가지고 접근한 것이 아님	-옥션 ID와 패스워드를 입력함으로써 이노믹스 서비스에서 제공하는 온라인 상담서비스에 접속할 수 있음 -별도의 아이디와 패스워드는 필요하지 않음	-아이디와 패스워드를 받는 인증절차가 필요하다는 의미에서 ‘별도’라는 표현을 사용한 것임

                (1)     피고는 (은밀하게 제출한¹⁾) 12. 29.자 참고서면에서 자신의 진술이 모순되고 허위였다는 점에 대해 두 가지 점에서 인정하였습니다. 그 첫 번째가 ‘피고가 10. 6.자 준비서면에서 상담고객에게 웹사이트 접속을 위한 별도의 아이디와 패스워드가 필요하다고 한 것은 이노믹스 서비스 이용을 위해서는 상담 고객이 옥션 회원에 가입하여 아이디와 패스워드를 받는 인증절차가 필요하다는 의미로서 별도라는 표현을 사용한 것’(12. 29자 참고서면 제23면)이며, ‘온라인 사이트가 제공하는 서비스를 이용하기 위하여는 온라인 사이트만의 별도 회원 아이디와 패스워드 등의 인증절차가 필요하나, 특정 서비스 사용시마다 온라인 사이트 회원 아이디와 패스워드 외에 별도의 아이디와 패스워드를 부여하지 않는 것은 당연한 일’(제24면)이라는 주장입니다.

            피고의 이전 준비서면에서는 ‘상담고객, 상담원, 택배사 상담원 등의 경우에는 별도의 아이디와 패스워드를 부여하여 이노믹스 서비스 웹사이트에 접속’(10. 6.자 제8면)하였다고 하여 분명히 다른 상담원들과 같이 이노믹스 서비스 웹사이트를 위한 ‘별도’ 아이디라고 표현했던 것이며, 이것이 온라인 사이트만의 ‘별도’ 아이디와 패스워드를 받는 인증절차(12. 29.자 제24면)라고는 도저히 읽혀지지 않습니다. 옥션사이트의 고객이라면 당연히 이미 아이디와 비밀번호를 부여받았을 테고, 이러한 고객들이 상담을 하기 위해 (별도의 아이디와 패스워드가 필요하지 않고) 기왕에 받은 아이디와 패스워드로 사이트에 로그인만 하면 되는데 이러한 설명을 하면서, 상담을 신청하기 이전에 애초에 옥션사이트에서 회원 가입할 때의 아이디, 패스워드를 받는 인증절차를 언급한다는 것도 말이 안 될 뿐만 아니라, 이를 ‘별도의’ 아이디 패스워드가 필요하다고 하는 것은 도대체가 무슨 말인지 모를 궤변에 가까운 변명입니다.

            지금이라도 10. 6.자 준비서면이 마치 일반 고객들도 이노믹스 서비스 웹사이트에 접속하려는 듯이 보이기 위한 허위 주장이었음을 솔직히 인정하고 사과하기 바랍니다.

        (2) 더욱이 피고는 10. 6.자 준비서면에서 고객이 별도의 아이디와 패스워드를 부여받는다고 하면서, 이노믹스 웹사이트의 로그인 화면(을제55호증)을 보여주었습니다. 따라서 위 피고의 변명과 같이 상담을 원하는 고객이, 애초에 아이디와 패스워드를 부여받는 인증절차를 의미했다는 피고의 변명이 사실이 아님을 적나라하게 보여준다 하겠습니다.

        (3) 피고는 ‘일반 고객은 옥션 사이트에서 옥션 ID와 패스워드를 입력함으로써 이노믹스 서비스에서 제공하는 쌍방향 온라인 상담서비스에 접속할 수 있다’(12. 15.자 준비서면 제18면)라고 하고 있습니다.

            이 역시 거짓말입니다. 이노믹스 웹서비스에 고객들은 접속할 필요가 없으며, 이는 상담원들이 접속할 수 있고 그를 위해 별도의 아이디와 비밀번호로 로그인하게 하는 것입니다(을제55호증). 따라서 온라인 상담서비스에 접속할 이유도 전혀 없으며, 실제로 피고 옥션의 사이트에서 상담은 고객이 특정한 웹사이트에 접속하여 하는 것이 아니라 이메일을 통한 상담만 하고 있습니다(갑제29호증 고객센터 상담원 문의 사이트 캡처화면).

            따라서 고객이 별도의 아이디와 비밀번호로 이노믹스 서비스에 접속한다는 사실도 거짓말일 뿐만 아니라, (아이디와 비밀번호를 부여받음이 없이 애초에 회원가입시의 아이디와 비밀번호로 사이트에 로그인한 후) 고객 상담을 받을 때 이노믹스 서비스에 접속한다는 것도 전혀 사실이 아닙니다.

        이와 같이 피고는 사실을 은폐하기 위해 철저히 왜곡된 주장을 하였는바, 원심은 이러한 피고의 현란한 주장에 현혹된 나머지, ‘피고 옥션의 회원이 옥션 사이트에 로그인한 다음 온라인 상담서비스를 이용하는 경우에 이노믹스 서버에 접속되도록 하였다’(원심 판결문 제13면)고 완전히 사실에 어긋난 판단을 한 것입니다. 온라인 상담서비스를 이용하는 경우에도 이노믹스 사이트에 접속하지도 않은데(이 점에 대해 피고는 허위 주장을 하였음), 피고가 주장하지도 않은 이노믹스 서버에 접속되도록 하였다는 허위 사실을 그대로 인정하게 된 것입니다.

    나. 이노믹스 서버에 대하여 필요한 범위 내에서 기술적인 보안조치를 취하고 있다?

        피고는 원고의 거듭된 3차례의 석명요구에 묵묵부답하다가, 은밀하게 제출한 참고서면에서야 답변을 하였습니다. 즉 ‘피고가 사고 이후의 잠정적 보안조치로 배송업체 상담원에 대하여 인터넷을 통한 이노믹스 서비스에 대한 접근을 차단하고 VPN을 사용하여 서비스에 접근하도록 조치’(12. 19.자 참고서면 제17면)하였다는 부분이 그것입니다. (이러한 피고의 주장을 볼 때, 사고 이후에 VPN 인증을 도입한 것이 아니냐는 취지의 원고대리인의 신문에 대하여, ‘악성코드가 발견되어서 유입경로 등을 파악하기 위해서 임시로 특정 접속을 차단하고 인증인가를 받을 수 있는 VPN을 통해서 접속하도록 했다’(반대신문 15의 5항)고 하여 VPN 인증을 도입하지 않았다는 길기현의 증언은 위증임이 확실합니다).

        피고는 여전이 ‘잠정적으로 인터넷으로부터의 모든 접근을 차단하고, 배송업체에 대하여도 VPN을 총하여 접속하도록 하는 특단의 임시조치를 취한 것’(제20면)이라고 하나, 이는 사실이 아닙니다. 배송업체 측이 아이디와 비밀번호만으로 인터넷에서 접속할 수 있게 한 것이 보안상의 큰 허점이라고 생각했으므로, 배송업체 상담원에게 해킹 사건 이후 VPN을 통한 접속만을 허용한 것입니다. (피고가 주장한 바와 같이 잠정적인 임시조치였다면, 현재에는 배송업체 상담원에게 어떠한 보안조치하에 접속하게 하는지 석명을 구합니다)

        이렇게 보안조치를 해킹사고 이후에 완전히 바뀐 것, 그리고 이를 길기현이 1심 증언과정에서 은폐하려 한 것을 볼 때, 아이디와 비밀번호만으로 웹서비스에 접속하도록 하는 것(그로 인하여 서버의 이용권한까지 취득할 수 있도록 하는 것)이 보안상 취약하다는 점은 명백한데도 불구하고, 원심은 ‘필요한 범위 내’라는 극히 애매한 표현으로 보안조치를 다 하였다고 하였으나 이는 사실오인, 법리오해의 위법이 있는 잘못된 판단입니다.

    다. 아이디 및 비밀번호 입력과 같은 인증 및 인가 절차를 시행하고 있어 과실이 없다는 판단에 대하여

        원심은 ‘피고 옥션은 이노믹스 서버에 웹서비스를 통하여 접속하거나 직접 접속하는 모든 사람에 대하여 아이디, 비밀번호 입력과 같은 인증 및 인가 절차를 시행하고 있었다’는 이유로 보안조치에 관하여 주의의의 위반이 없다고 판단했습니다.  그러나 아이디와 패스워드로 하는 인증절차가 얼마나 허술한지, 피고 옥션에서 이 사건 해킹사고 후 배송업체들도 VPN인증을 거치도록 한 점에 대해서는 아무런 고려 없이 막연하게, 피고의 왜곡된 주장만을 취신한 판단으로 위법합니다.

        (1) 배송업체는 (웹방화벽이 아닌) 네트워크 단의 일반 방화벽을 통하여 접속하였습니다. 배송업체 상담원들은 전용선을 통과하지도 않았을 뿐만 아니라 VPN 인증을 거치지 않고 서버에 접속을 하여, 극도로 보안이 취약하였던 것입니다(증인 홍민표 신문사항 2의 나항). 

            ID/PW만을 이용해 개인정보처리시스템에 접속시 키로깅 등에 의한 ID/PW 노출에 따른 위험이 증가하므로 추가적인 인증수단이 필요(갑제20호증 참조)한데도 만연히 아이디, 패스워드만으로 인증을 한 것입니다. 실제로 이 사건에서는 이노믹스 서버에 접속할 수 있는 아이디를 탈취하여 해킹이 이루어진 것이므로, 아이디, 패스워드만의 인증의 위험성으로 인하여 해킹이 발생하였던 것입니다. 아래에서 보듯이, 인터넷으로 접속할 경우 방화벽이 있다고 하더라도 특정포트가 외부에서 접속할 수 있도록 열려있는 것이기 때문에, ID와 패스워드만 알면 관리자 권한을 쉽게 탈취할 수 있게 되는 것입니다(갑제30호증).

        (2) 피고는 방화벽 설정과 관련하여 ‘배송업체의 상담원들은 허용된 특정 포트를 통하여 필요한 서비스에 접근하였으며, 공개 서비스를 제외한 나머지 서비스에 대해서는 접근할 수 없었다’(12. 15.자 준비서면 제18면)고 하여 마치 ‘방화벽’이라는 용어와 결부지어 대단한 보안조치를 취한 것처럼 주장합니다. 그러나 ‘네트워크단의 일반 방화벽’이란 것 자체가 다른 포트는 차단하고 특정한 포트만 열어놓는 것입니다. 따라서 웹의 특성상 방화벽을 설치하더라도 사용하는 서비스 포트는 항상 개방해야 하기 때문에 웹서비스 포트를 향한 공격에 대해서는 무방비 상태로 노출되게 됩니다(갑제7호증 제67면). 따라서 웹사이트에 대한 공격이 있었던 이 사건 해킹에 대해서는, 방화벽으로 아무런 보안이 되지 않는 것입니다. 피고는 ‘일반 방화벽’의 일반적 특성만을 서술하고서 굉장한 보안조치를 취한 듯이 주장하고 있는 것이나, 이는 허용된 특정포트를 향한 공격에는 무방비 상태이므로 과실을 자인하는 것입니다. (피고는 이러한 공격을 차단하기 위한 웹방화벽을 설치하지 않았습니다)

            피고는 특정포트를 통하여 필요한 서비스에 접근하였는데, ‘공개 서비스’를 제외한 나머지 서비스에 대해서는 접근할 수 없었다고 합니다. 피고가 말하는 ‘공개 서비스’의 의미가 무엇인지 모르겠으나, 공개 서비스라면 인터넷을 통한 일반적인 접속과 다를 바 없으므로, 결국 피고가 말한 방화벽은 특별한 보안조치라고 할 바가 전혀 없습니다(일반 이용자들의 공개된 사이트에의 접속도 당연히 방화벽을 통과하게 되므로 배송업체에 대해서는 별다른 보안조치를 취하지 않았다는 것입니다).

            또한 피고가 말하는 ‘공개’ 서비스만 접속하게 했다는 것도 사실을 의도적으로 왜곡하는 것에 불과합니다. 일단 피고가 그 증거라면서 제시한 을제116호증으로 ‘공개’ 서비스만 접속했다는 것이 전혀 드러나 있지 않을 뿐만 아니라, 배송업체의 상담원들이 접속하게 되는 이노믹스 웹사이트가 ‘공개’된 것도 전혀 아닙니다. 방화벽을 통과해야 하므로 특정 포트로만 접속이 가능하다고 주장해놓고, 이 웹사이트가 ‘공개’되었다는 것은 무슨 말입니까? 아이디와 비밀번호로 로그인까지 해야 하는데 ‘공개’ 서비스 운운하는 피고의 주장은 사실을 호도하고 있는 것에 불과합니다.

        (3) 그러면서 피고는 ‘배송상태 관련 답변과 같은 제한적인 정보를 업데이트하거나 조회할 수 있도록 방화벽을 통한 통신망 접근을 허용’(12. 15.자 제18면)하였다고 합니다. 피고가 말하는 위와 같은 서비스가 ‘공개’ 서비스도 아닐 뿐만 아니라 의도적으로 제공하는 서비스를 축소하고 있는 것입니다. 위 이노믹스 웹사이트에서 확인할 수 있는 정보는 위와 같은 것이 아니라, 배송을 위하여 필요한 배송지, 배송받을 고객의 정보도 알아야 함은 당연합니다. 위 서비스가 공개되었다는 의미, 배송업체에서 접속하여서 확인할 수 있는 정보가 무엇인지 증거자료에 의해 밝히도록 석명을 구합니다.

        (4) 피고는 ‘고객상담원이나 외주개발업체의 경우 회사와 매우 밀접한 신뢰관계가 형성되어 있어 전용선과 VPN을 통한 인증절차를 거치게 하였고, 배송업체들의 경우는 신뢰관계가 형성되지 않아 인터넷을 통하여 웹서비스에 접속하도록 하였다’(12. 15.자 제17면)고 합니다.

            피고는 신뢰관계가 형성되지 않아 인터넷을 통한 접속을 허용하였다고 하는데, 신뢰관계가 형성되지 않은 자라면 더욱더 보안에 철저하게 VPN 인증을 거치는 등 별도의 보안장치가 필요할 것(증인 홍민표 신문사항 2의 나항)인데도, ID, 패스워드만으로 로그인하게 하여 피고의 웹서비스를 제한 없이 이용하게 한 것입니다. 피고의 주장과 같이 신뢰관계가 없기 때문에 더 허술한 보안을 하였다는 것 자체가 말이 안 됩니다.

            더욱이 이 사건 해킹이 발생한 이후,  사고 이후에는 방화벽 설정을 인터넷 외부에서 이노믹스 서버로의 접근을 모두 차단하고 VPN 인증을 통하여서만 접속하게 하였던 것(증인 길기현 반대신문 15의 5항)을 어떻게 설명한단 말입니까? 피고의 논리대로라면, 신뢰관계가 없는데도 현재까지 배송업체들도 VPN 인증을 하는 이유가 도저히 설명이 안 됩니다. 신뢰관계 유무에 따라 접속 방법에 차등을 두었다(더욱이 신뢰관계가 없을수록 더욱 허술한 방법으로 접속을 하게 하였다)는 피고의 주장이 사실이 아님을 보여주는 것입니다.

    라. 피고는 이노믹스 서비스의 접속과 이노믹스 서버에의 접속이 다르다고 하여 혼동을 주고 있는 것입니다.

        (1) 피고가 주장하는 황당한(그로 인하여 원심이 판단에 착오를 일으킨) 논리 중의 하나가 ‘서비스에 대한 접근’과 ‘관리자 권한을 가지고 서버 자체에 접근(10. 6.자 제6면)’, ‘관리적인 목적의 서버 접근(12. 29.자 제14면, 제21면)’을 구별하고 있는 것입니다. 그러나 개발업체가 '필요한 프로그램을 개발하고 정기적으로 유지․보수‘(12. 15.자 준비서면 제17면)하기 위하여 (VPN을 통하여 웹사이트를 거쳐²⁾) 웹서버에 접속하는 것은 이 사건의 쟁점과 전혀 무관한 것입니다.  피고는 이와 같이 개발업체가 웹서비스 및 웹서버의 본래의 목적과는 달리, 유지․보수 목적의 서버 접속이라는 개념을 등장시켜 혼란을 주려하고 있는 것입니다.

            원고가 말하는 웹서버에의 접속은, 위와 같이 (예외적인) 개발업체의 유지․보수 목적의 서버 자체에 대한 접속이 아닌, 웹서비스에 접속을 하게 되면 자동적으로 하게 되는 웹서버에의 접속을 말한 것입니다. 웹서비스에 접속을 하는 것은 웹서버에 저장되어 있는 데이터 등을 이용한 서비스를 제공받기 위한 것입니다. 웹서버에서 제공하는 데이터 등을 이용하지 않고서는 웹서비스라는 개념 자체가 성립하지 않고 아무런 서비스가 제공되지 않는 것입니다. 따라서 결국 ‘웹서비스에 접속’와 (웹서비스를 이용하기 위해서는 반드시 필요하므로 웹서비스에 접속하게 되면 결국 하게 되는) ‘웹서버에 접속’은 다른 의미가 아니라고 한 것입니다. 피고는 이러한 점을 완전히 무시하고 이 사건 해커가 웹서버에 접속한 것은 자신들이 알 수 없는 경위로 접속한 것이며, 웹서버에 대한 보안이 완벽했다고 주장하기 위하여 위 둘이 마치 구별되는 개념인 양, 전혀 이질적인 개념인 ‘관리자 권한을 가지고’ 웹서버에 ‘직접’ 접속 개념을 끌어들인 것입니다.

        (2) 피고의 직원 길기현도 수사기관에서 ‘방화벽 설정을 인터넷 외부에서 이노믹스 서버로의 접근을 모두 차단하였다’(갑제5호증의 1 제248면)고 하여, 이노믹스 ‘웹서비스’에 대한 차단이 결국에는 ‘서버’로의 접근이 차단된다는 것, 즉 서비스에 접속하는 것이 결국에는 서버에 접근하는 것이라는 사실을 명백히 인정하고 있습니다. 서비스에 대한 접속이 서버에 대한(이용 목적의, 따라서 권한을 취득할 수 있는) 접속이라고 볼 수 있고, 실무상 당연히 이렇게 쓰이고 있기 때문에 그와 같이 진술한 것입니다.³⁾

        (3) 따라서 원고가 일관되게 주장해 온 바와 같이, 일반인에게는 전혀 공개되지 아니한 이노믹스 웹서비스가 해커에게 노출되었고, 결국에는 이노믹스 서버가 해커의 공격의 대상이 되어 관리자 권한까지 탈취하여 이노믹스 서버에 접속하였던 것입니다.

            공개되지 아니하여야 할 이노믹스 서비스 웹사이트의 주소가 해커에게 발각되었습니다(피고 역시 자신의 자료에서 이노믹스 서비스 웹사이트의 주소를 공개하지 않고 있는 것을 보아도, 주소가 일반인에게 공개되지 아니하여야 함을 보여줍니다). 이에 따라 이노믹스 웹서비스에 웹쉘을 설치하여 관리자 권한을 탈취한 후, 웹서비스와 연동되어 있는 이노믹스 웹서버가 해커에게 노출되었던 것입니다.  (이후 후술하는 바와 같이 이노믹스 서버에 접속한 해커는 데이터베이스 서버의 아이디와 비밀번호까지 탈취하게 된 것입니다)

            피고는 이노믹스 웹서비스의 웹사이트 주소가 공개되지 아니하여야 한다는 점, 이노믹스 서비스 서버가 노출되지 않아야 한다는 점에 대해서는 전혀 다투지 못하고 있으면서, 이와 같이 왜곡된 개념으로 재판부에 혼란을 주고 있는 것입니다.

3.  피고 옥션의 허술한 아이디와 비밀번호로 인하여 이 사건 해킹이 시작된 것입니다.

    가. 이노믹스 서버 시스템의 톰캣 서버의 아이디와 비밀번호는 초기 기본 설정이 아무런 변경없이 유지되었고, 해커는 바로 이 약점을 파고들어 침입한 것입니다.

        피고 옥션의 이노믹스 서버 시스템에 톰캣⁴⁾ 서버가 설치되어 운용되고 있었습니다. 그런데 톰캣 서비스의 아이디는 admin, 비밀번호는 admin으로 초기 설정 상태 그대로 운영되고 있었습니다(갑제7호증, 원심 판결문 제4면⁵⁾).  따라서 해커는 바로 이러한 허점을 찾아내어 톰캣 서버에 admin 아이디로 접속한 것입니다(갑제7호증).

        그런데 원심은 경솔하게 ‘비밀번호는 기본으로 설정되어 있는’ 이라는 의미를 제대로 파악하지 못하고, 또한 갑제7호증 상에는 ‘admin 아이디로 접속’하였다고 기재되어 있으나 이를 누락하고 ‘톰캣 서버에 접속’이라고만 한 것입니다. 이로 인하여 원심은 해커가 아무런 특별한 기술적 조치 없이 톰캣 서버를 통하여 접속하였다는 중요한 사실을 간과한 것입니다. 이를 볼 때, 원심 판결은 첫 단추부터 잘못 끼워진 것입니다.

        그렇다면 톰캣 서버를 발견한 해커는 어떻게 톰캣 서버에 접속하였겠습니까? 단순히 애초의 기본설정인 admin을 입력하여 본 결과 그대로 접속할 수 있었던 것입니다. 이에는 어떠한 특별한 기술도 없었습니다.

        경찰조사 과정에서 피고 옥션의 직원인 길기현은 ‘2000년경 납품되어 톰캣이 아닌 IIS가 운영되고 있었고, 이노믹스 서버와의 연동을 위해 톰캣이 설치되어 운영되고 있었는데 그 당시 설정이 계속 유지되었으나, 이미 설정이 완료된 톰캣 관리자의 비밀번호 등에 관한 정보는 모르고 있었습니다’라고 밝히고 있습니다. 즉 피고 옥션은 톰캣 서버를 설치하면서 관리자 아이디와 비밀번호를 초기 설정인 ‘admin’ 그대로 유지되고 있었던 것이고, 관리책임자인 옥션도 비밀번호를 재설정하지 않은 것입니다.  (피고가 위 진술이 기재되어 있는 길기현의 2008. 4. 4.자 피의자신문조서를 복사하여 제출하도록 석명을 구합니다)

        해커는 아이디와 비밀번호를 admin로 입력해 보았다가 바로 이러한 황당한 허점 때문에 쉽게 톰캣 서버에 침입하여 ① 톰캣 서버에 침입하여 백도어프로그램을 설치하였고, ② IP주소 등 시스템 정보를 획득하고, ③ 통신 내용에서 데이터베이스 서버의 아이디 'auction', 비밀번호 ‘auctionuser'로 위 서버에 접속하는 등(판결문 제4, 5면) 모든 해킹행위의 시발점이 된 것입니다.

        따라서 이노믹스 시스템의 톰캣 서버의 아이디와 비밀번호가 애초에 제품 출시때부터 설정되어 있는 기본 아이디와 비밀번호인 admin으로 설정되어 있는 있어서는 안 될 황당한 실수를 한 것이고, 이러한 점에 피고의 과실이 있음은 명백합니다. 이미 이러한 사실관계를 파악해 놓고도 이에 관해 아무런 판단을 하지 않은 원심 판단은 위법합니다.

    나. 

        피고는 이노믹스 서버의 비밀번호에 피고 회사의 회사명이 들어간 것이 피고 회사의 정보보호정책 및 관리지침에 반한다는 원고의 주장에 대해 아무런 반박을 하지 못하고 있습니다.

4.  웹쉘이 이노믹스 서버에 설치되었음에도 이를 발견하지 못한 점에 피고의 과실이 없다는 판단에 대하여

    위에서 본 바와 같이 피고의 이노믹스 서버가 노출되어 있었고, 해커는 톰캣 서버의 아이디, 비밀먼호가 초기 그대로 변경되지 않고 설정되어 있는 것을 기회로 쉽사리 톰캣 서버에 침입하였습니다. 해커는 이와 같이 이노믹스 서버에 침입한 이후, 관리자 권한을 취득하기 위하여 웹쉘을 설치하였습니다. 원심은 피고들이 웹쉘을 발견하지 못한데 대해서도 이상한 논리로 피고들의 과실을 인정할 수 없다고 하였는바, 이는 전적으로 잘못된 것입니다.

    가. 원심은 웹쉘을 탐지하지 못한 피고들의 과실에 대해 명시적인 판단을 하지 않았을 뿐만 아니라, 웹쉘을 인지한 시기가 이 사건 해킹이 끝난 이후였다는 것을 근거로 과실이 없다고 판단하였습니다.

        (1) 원고는 1심 과정 내내 피고 옥션과 옥션의 보안관제 업무를 담당한 피고 인포섹 측이 당시 이미 널리 알려진 웹쉘을 발견하지 못한데 대하여 과실이 있다는 점을 주장하였습니다. 그러나 원심은 휴리스틱 기능이 전문화된 백신 프로그램을 사용하지 않았고 탐지할 수 없는 백신프로그램을 사용하였다고 하여 과실이 없다는 판단만 하였을 뿐, 과실에 대해 구체적인 판단을 하지 않았습니다.

            피고 옥션의 웹서버에서 발견된 웹쉘은 ASP목마2006 이었습니다. ① 위 웹쉘의 명칭에서 볼 수 있듯이 대중적으로 알려진 것은 이미 2006년도여서,  KISA에서 2007년 2월에 만든 자료(갑제21호증)에도 이미 ASP목마2006에 대한 탐지방법이 이미 나와 있었던 점, ② 해커가 웹을 통해 요청할 때 네트워크에서 패킷 탐지가 충분히 가능하고, 이 때 검색을 통해 특정문자열이 들어가 있는지만 살펴보았더라도(갑제21호증 제10면) 웹쉘의 설치 및 구동 여부를 충분히 파악할 수 있었던 점 등에서 이를 탐지하지 못한데 피고들의 과실은 충분히 인정되며, 단지 (휴리스틱 기능이 전문화된) 백신 프로그램을 설치한지 여부만으로(물론 그에 관한 원심 판단도 잘못되었지만) 과실여부를 판단할 수는 없는 것입니다.

            피고 옥션은 국내 최대의 인터넷 쇼핑몰을 운영하는 회사로서 2,000여만명의 고급 정보를 보유하고 있는 회사였습니다. 이런 회사에서 최대한의 보안조치를 해야 하고 주의 의무도 엄격히 판단하여야 함에도 불구하고, 단지 탐지가 어렵다고 하여 과실을 부인한 원심 판단은 큰 오류를 범한 것입니다. 큰 회사의 서버를 관리하는 피고들로서는 여러 공격을 당하게 되므로 다양한 웹쉘을 접할 수가 있기 때문에 충분히 웹쉘 정도는 탐지가 가능하고 당연히 탐지를 했어야 하는 것입니다.

            웹쉘의 코드가 스크립트 언어로 쓰여지거나 인코딩 되어 있다고 하더라도 통신 자체를 암호화하지는 않으므로 해커가 웹을 통해 요청할 때 네트워크에서 패킷 탐지가 충분히 가능하고, 이 때 검색을 통해 특정문자열이 들어가 있는지만 살펴보았더라도 웹쉘의 설치 및 구동 여부를 충분히 파악할 수 있었을 것입니다. 또한 암호화가 되어 있다 한들 자신의 웹서버에 있는 일반 정상적인 파일이 아님은 쉽게 알 수 있으므로 웹쉘을 탐지하기 어렵다는 것은 말이 안 될 뿐만 아니라, 웹쉘의 탐지가 불가항력적인 것은 전혀 아니므로 피고의 주장은 이유 없습니다.

            보안이라는 것은 별 것 아닌 것 같은 현상들을 연계분석하고 그 안에서 문제를 발견하여 정의하며, 정의된 문제를 정책으로 피드백하는 일련의 작업들을 하는 것입니다. 자신의 회사가 공격받은 성향을 분석하여 관제모니터링과 그 결과를 부지런히 반복해서 피드백하는 과정을 통해 현재의 공격 트렌드를 분석하면 충분히 대비할 수 있는 것이었습니다(갑제26호증).

        (2) 원심은 피고들이 이 사건 해킹 사고 당시 적절한 대응조치를 취하지 아니하여 해킹 사고를 막지 못한 것은 아니라고 판단하였습니다. 그러나 원고가 주장, 입증하여 원심이 인정한 사정만으로도 피고가 웹쉘을 탐지하지 못한 데 대하여 과실이 충분히 인정됩니다.

            ① 피고 인포섹이 피고 옥션과 공동으로 2008. 1. 4. 22:00경⁶⁾ 침입탐지시스템(IDS) 및 방화벽에 대한 점검을 한 후, 2시간 후인 00:00경 외부에서 공격이 시도된 적이 없었다고 피고들은 판단하였습니다(을제101호증 제6면, 원심 판결문 제25면 인정사실(1)항).

                그러나 이러한 피고들의 판단은 성급했고 오류가 있었다는 점은 이미 드러난 바와 같습니다. 피고 옥션의 웹사이트의 속도 저하는 피고 인포섹이 이와 같이 보고한 이후인 1. 4. 1:48경에도 계속되고 있었으며, 더욱이 피고들은 위 문제의 원인이 이노믹스 서버라는 것도 당시 이미 파악하여 1. 4. 01:27경에는 이노믹스 서버에 접속하여 점검을 계속하고 있었고 09:00경 피고 옥션의 바이러스 백신으로도 악성 코드를 발견할 수 있었던 상태였습니다.

                따라서 웹서버에 공격 가능성을 이미 알고 있었음에도, 웹서버 분석 결과가 아닌, 네트워크 단에서의 탐지시스템인 IDS와 (웹방화벽이 아닌) 네트워크 방화벽 로그만의 분석에 기해 이상이 없다고 판단한 것(을제105호증 제6면에 의하면 IDS, 방화벽 로그를 분석한 결과 외부에서의 공격이 시도된 내용은 없다고 기재되어 있습니다)은 보안업체로서 지극히 안이하고 형식적인 탐지였으며, 이는 이 사건 해킹과는 전혀 관계없이 엉뚱한 조사를 한 것입니다. 그럼에도 원심은 이러한 사실에 기해 과실이 없다고 판단했는바, 명백한 사실오인입니다.

            ② 피고 인포섹은 1. 8. 02:55에야 이노믹스 서버에서 웹쉘인 ‘ASP목마2006’을 발견하고, 이를 04:28경 보고서를 통해 웹쉘이 발견되었음을 피고 옥션에게 알려주었는데, 제3자의 시스템을 원격 제어할 수 있는 웹쉘로서 심각도는 마이너라는 내용이었습니다(갑제12호증의 1, 원심 판결문 제26면 인정사실(5)항).

                피고 측은 이미 이노믹스 서버에 문제가 있어 탐지까지 하였지만, 이를 발견하지 못한 것입니다. 만약 해킹의 징후가 있었던 1. 3.경이나, 1. 4. 이노믹스 서버를 점검하여 웹쉘을 파악하였다면 해킹을 막을 수 있었을 것입니다. 그러나 피고들은 1. 4. 01:27경 이노믹스 서버에 접속하여 점검하였음에도 웹쉘의 존재를 전혀 파악하지 못한 것입니다. 이렇게 뒤늦게 웹쉘이 설치되었음을 파악한 데 대하여 피고들의 과실임은 부인할 수 없습니다.

                그럼에도 원심은 웹쉘을 늦게 파악하여 결과적으로 해킹을 막지 못한 피고들의 과실을 부인할 수 없을 것 같자, 이상한 논리로 피고들을 면책시켰습니다. 즉 ‘웹쉘을 인지한 시기는 이 사건 해킹이 이미 끝난 2008. 1. 8. 04:28경 이후였’으므로 과실이 없다는 취지인 것 같습니다. 도대체 무슨 말입니까? 웹쉘을 늦게 파악하여 결국 해킹을 인지하지 못한 명백한 과실을, 해킹이 끝난 이후에 파악하여 대처가 늦어져서 해킹에 속수무책으로 당하였어도 과실이 없다는 원심 판단은 경험칙, 논리칙에 반한 것으로 사실오인, 법리오해의 위법이 있습니다.

        (3) 더욱이 피고 인포섹은 2006년 2월 27일 ‘ASP목마2006과 응용’이라는 제목의 악성코드 분석보고서(갑제31호증)를 제작하였는바, 피고 인포섹은 이미 2006년도 초반에 이 사건 해킹에 사용된 웹쉘인 ASP목마2006의 구성, 탐지방법 및 조치사항 등을 사전에 모두 파악하고 있었습니다.

            ASP목마2006의 구성 파일들도 파악하고 있었고(갑제31호증 제1면 2항), 탐지방법으로는 웹쉘로 의심되는 코드를 추적하고 존재하지 않을 경우는 eval‎(Request("#")나 Execute(Session("#")과 같은 악의적인 코드가 정상 asp소스에 포함되지 않았는지 확인하여야 한다(갑제31호증 제5면 5항)라고 기재되어 있습니다.

            실제로 이 사건 해킹시에 2008. 1. 3. 20:44경 생성된 웹쉘인 ‘temp.asp'의 파일의 내용은 eval‎(Request("#")로 나타났는데(갑제12호증의 2 제4면), 이는 인포섹의 보고서와 일치하고 있습니다.

        (4) 원심은 ‘웹쉘에 관리자 아이디, 비밀번호를 탈취하는 기능이 있다고 하더라도 모든 웹쉘에 그러한 기능이 있다고 단정하기는 어렵다’(판결문 제28면)고 전제한 후, 웹쉘을 발견하지 못한 과실이 없다는 근거로 내세웠습니다. 원심의 논리를 이해하기도 힘들지만, 완전한 사실오인입니다.

            일단 아이디, 비밀번호를 탈취하는 기능이 모든 웹쉘에 없다는 전제도 잘못되었지만, 그러한 기능이 없다면 이 사건 해킹의 원인이 되었던 웹쉘을 발견하지 못한 피고들의 과실이 없다는 것인지 원심의 논리는 전혀 상식에 맞지 않습니다.

            더욱이 웹쉘은 ‘제3의 시스템을 원격제어할 수 있는 기능’이 있으며 이는 피고도 인정하고 있는 바입니다(12. 15.자 준비서면 제5면, 갑제12호증의 1  1. 8.자 인포섹보고서). 이 점에 대해서는 원심 증인 홍민표도 이러한 사실을 명백하게 인정하였으며(주신문 3의 1항), 피고 측이 을제112호증의 1을 제시하면서 아이디와 비밀번호 탈취기능은 없는 것 아니냐고 신문하여도 ‘제시한 자료에는 없지만 나열된 기능들에 의하여 충분히 아이디와 비밀번호를 탈취할 수 있다’(반대신문 제12항)고 증언하였습니다.

            따라서 아이디, 비밀번호를 탈취하는 기능도 당연히 있지만, 여기에 국한한다기 보다는 더 넓게 (피고도 인정하고 있듯이) 제3의 시스템을 시스템관리자의 시스템을 원격 제어하는 기능이 있다는 것이 원고의 주장이고 이것이 사실입니다. 그러나 원심은 웹쉘을 발견하지 못한데 대해 피고의 과실을 부인하는 방편으로 전혀 사실이 아닌 ‘모든 웹쉘에 관리자의 아이디, 비밀번호 탈취기능이 없다’는 것에 기한 원심 판단은 심각한 오류가 있는 것입니다.

    나. 피고는 웹쉘을 탐지하기 위한 휴리스틱(heuristic) 기능이 전문화된 전용 백신을 설치하지 않은데 과실이 없다는 판단에 대하여

        원심은 ‘맥아피, 노턴, V3 등 백신 프로그램에 의해서는 탐지할 수 없는 웹쉘이고, 휴리스틱 기능이 전문화된 다른 종류의 백신 프로그램에서는 웹쉘의 탐지가 가능하였다고 하더라도 오탐지가 많기 때문에 널리 이용되지 않으므로 웹쉘을 탐지하지 못한데 대하여 과실이 없다’(판결문 제29면)고 판단하였습니다.

        (1) 원심도 인정하고 있듯이 휴리스틱 기능이 전문화된 다른 종류의 백신프로그램(Kaspersky, ESET SOD32, AntiVir, BitDefender, AVG, avast)으로는 이 사건 웹쉘은 충분히 탐지가 가능 했습니다. 따라서 이미 이 사건 해킹에 사용된 ASP목마2006은 이미 2006년도부터 알려준 웹쉘이었으며, 피고 인포섹의 보고서를 보아도 피고는 충분히 웹쉘로 인한 해킹의 위험성을 인식하고 있었습니다. 그럼에도 피고는 이에 대해 아무런 대비를 하지 않았고, 자신의 바이러스 백신으로, 이미 알려지고 자신의 보고서에도 등장한 웹쉘을 탐지하지 못하였다면 이러한 대비를 하지 못한 피고의 과실은 충분히 인정될 수 있습니다.

            맥아피, 시멘텍 백신과, V3는 범용 백신들로 기본적으로 웹쉘에 대한 탐지기능이 현격히 떨어지는 시그너처 기반으로서 악성 프로그램을 발견하는데 한계가 있는 것입니다. 수없이 변종이 나오는 바이러스를 매번 분석하여 백신 DB에 반영하는 방식으로는 더 이상 웹쉘 같은 것에 효과적으로 대처할 수 없기 때문에, 최근에는 휴리스틱 기능을 탑재하지 않은 바이러스 백신은 그 효과 면에서 현격히 떨어져 더 이상 시장에서 가치가 없어지고 있습니다.

        (2) 피고는 자신이 사용한 백신에도 휴리스틱 기능이 탑재되어 있다고 주장합니다. 그러나 이는 원고의 주장취지를 잘못 이해했거나 의도적으로 곡해하고 있는 것입니다. 휴리스틱 탐지기능이란 이미 DB에 추가되지 않은 새로운 백신도 탐지하기 위하여 파일 안에 함수나 특징 등으로 악성코드를 귀납적으로 탐지하는 기능으로, 알려지지 않은 위협요소로부터 사전에 방어하는 것입니다(따라서 휴리스틱 기능이 있다는 것은 case by case로 탐지할 수 있는지의 문제입니다). 피고가 주장하듯이 맥아피, 시판텍 사의 백신이 휴리스틱 기능을 탑재하고 있었다는 것은, 이번에 문제된 ‘ASP목마2006’이라는 웹쉘을 탐지하기 위한 휴리스틱 기능이 없었다는 원고의 주장에 대한 맞는 답변이 아닙니다. 피고가 자신의 과실이 없다고 주장하려면, 이 사건 해킹에서 문제된 웹쉘을 탐지하지 못한데 과실이 없다는 의미로서 이러한 웹쉘을 탐지할 수 있는 휴리스틱 기능이 있었는지, 과연 위 백신들이 이러한 휴리스틱 기능을 탑재하고 있었는지, 또한 이 사건 사고당시에 이러한 기능을 사용하였는지 구체적으로 밝혀야지, 일반적으로 휴리스틱 기능 자체가 있다고 하는 것은, (휴리스틱 기능이 case by case로 문제를 해결하려는 기법이라고 볼 때) 맞는 항변이 전혀 아닙니다. (피고의 1. 11.자 참고서면에도 이에 관한 구체적인 답이 전혀 없습니다. 제4면 참조) 이에 대해 밝히도록 석명을 구합니다.

        (3) 따라서 이미 공격방법으로 널리 알려진 ASP목마2006을 탐지하지 못한 피고의 과실은 명백합니다. 원심 판시와 같이, 인공지능을 기반으로 활동하여 오탐지가 많아 이를 사용하지 않았다는 점은 피고의 과실을 부인하는 사유가 될 수는 결코 없습니다. 원심의 논리는 경험칙에 반하여 과실을 인정하지 않은 것으로서 법리오해의 위법이 있습니다.

            (또한 오탐이라는 것도 위협이 있는 코드 등에 대한 탐지인데 정상적인 것까지도 잘못 탐지할 수 있다는 것이므로 보안성으로 봤을 때는 장점으로 볼 수도 있는 것입니다. 단지 오탐 가능성으로 경고창이 뜬다는 이유로 휴리스틱 기능을 사용하지 않는 경우가 있는데 피고도 이와 같은 경우라고 할 것입니다.)

    다. 피고들은 초기 단계에서 웹쉘을 발견하지도 못했을 뿐만 아니라, 웹쉘을 발견하고 한 조치들도 적절하지 않아 해킹임을 파악하지 못한 것입니다.

        (1) 피고 인포섹은 이노믹스 서버에 웹쉘이 설치된 것을 1. 8.에나 발견하였고, 그로 인해 해킹이 있었음을 안 것은 (피고 주장대로 하더라도) 제보가 있고 나서 며칠이 2월 초였습니다.  웹쉘이 발견되었다는 것은 그 시스템자체가 해커에게 점령당한 것과 동일하므로 해당 웹쉘이 어떻게 서버 내에 설치되었는지 서버 내부의 로그들에 웹쉘 파일명을 가지고 조사하면 오래 걸리지 않는 시간에 파악할 수 있습니다. 피고 회사와 같이 대규모의 네트워크라고 하더라도 중앙집중식으로 관리가 가능하여 한 자리에 앉아서 서버 관리를 할 수 있으므로 피고의 주장과 같이 해킹의 파악에 시간이 오래 걸리는 것이 전혀 아닙니다. 

            따라서 웹쉘을 초기 단계에서 파악하지 못하였을 뿐만 아니라, 이로 인하여 해킹을 파악하지 못하여 결과적으로 4일에 걸쳐 이루어진 해킹을 전부 막지 못했던 것입니다. 이러한 피고 측에 과실이 없다는 원심 판단은 너무나 이상합니다. 

        (2) 피고들의 웹쉘 미탐지의 과실도 크지만, 웹쉘을 탐지하고 나서의 조치도 엉성하기 그지 없었습니다.

            ① 피고 옥션은 악성코드가 발견되었는데도 이를 삭제만 하고, 악성코드를 분석하여 침입경로, 다른 악성코드가 생성되었는지, 위 악성코드가 구체적으로 어떠한 역할을 하였는지에 관해 피고 인포섹에 문의를 하지 않았습니다. 피고 인포섹도 구석명 사항에 대한 답변에서 ‘피고 옥션의 담당자로부터 악성코드를 삭제하였다는 이야기를 들었고, 위 파일이 삭제된 이후에는 그 파일명만으로는 파일의 내용이 무엇인지 확인할 수 없으며, 파일이 삭제되었으므로 그 파일로 인한 추가적인 피해가 발생하지 않았다는 답변을 하였다’(구석명사항에 대한 답변 5의 가항)는 실로 황당한 답변을 한 것입니다.

                이러한 해킹방지대책에는 단순히 악성코드의 존재를 파악할 뿐만 아니라, ‘악성코드의 내용을 파악’하여야 하는데(갑제27호증 제51면 참조) 피고는 이러한 절차를 전혀 거치지 않은 것입니다. 실제로 2009. 7. 7. DDos 공격시에도 공격 당일 악성코드 실행파일을 입수, 이를 보안업체에 전달해 백신을 만들도록 한 예가 있습니다(갑제27호증 제47면).

                이는 피고가 거시하고 있는 침해사고 대응절차의 4단계 중 ‘데이터의 수집 및 분석’을 전혀 하지 않은 것입니다. 만약 이 단계에서 위 악성 코드의 침입경로나 기능 등을 충분히 파악했다면 이 사건 해킹은 충분히 방어가 가능했습니다.

            ② 악성코드가 발견된 이노믹스 서버에 대한 백신 점검을 하였다고 하나(12. 15.자 제4면), 이에 대한 구체적인 입증자료가 전혀 없습니다. 이에 대한 증거를 제출하도록 석명을 구합니다.

            ③ 피고는 데이터베이스 점검(12. 15.자 준비서면 4면), 전체 서버를 대상으로 한 백신 스캔 검사와 결과 분석 시행(5면), DB 초기 점검(6면), 데이터베이스에 대한 비인가 접근 여부를 확인하여 위하여 DB 접근 모니터링 툴을 통한 DB 접속기록 확인(7면) 등을 하였다고 주장하나 이에 관한 어떠한 입증자료도 제출하지 못하고 있습니다. 관련 자료를 보더라도 DB 서버 점검에 관한 구체적인 기록이 전혀 없습니다. DB 서버 점검을 하였다는 구체적인 자료를 제출하도록 석명을 구합니다.⁷⁾

            ④ 피고 측은 12. 15.자 준비서면에서 취약점을 점검 하였다고 할 뿐(12. 15.자 7면, 그러나 을제108호증은 취약점 점검에 관한 자료가 아님), 취약점이 어느 곳이었는지는 밝히지 못하고 있습니다. 취약점을 찾아내 보안하는 조치(갑제13호증 4면)를 전혀 취하지 않고 이를 단순히 삭제만 하였기 때문입니다. 1. 8.자 보고서에는 웹쉘을 발견하고도 이를 삭제하라고만 지시하고 있으며, 1. 10.자 보고서에서는 접근을 금지하는 조치를 취하였을 뿐, 취약점 분석은 전혀 하지 않고 있습니다.

                피고는 취약점 분석 역시 포함되어 있다는 성의 없는 허위 주장을 하고 있는바(12. 29.자 준비서면 제27면) 발견한 취약점이 무엇이었고, 어떠한 조치를 하였는지 밝히도록 석명을 구합니다.

5.  이 사건 해킹에 사용된 웹쉘이 탐지가 불가능한 것으로서 고난도의 해킹이라고 볼 수 있는지 여부

[꽝이]

늘 고생이 많으십니다..힘내십시요~

[사랑씨앗]

준비하시느라 고생이 많으십니다. 더운 날씨에 감기 조심하십시오.

[[맥가이버]]

이제 다시 시작이군요..화이팅

[골목길에서]

참꼬 기다리겠습니다,화이팅

[문현진]

아 너무 어렵네요 ㅠㅠ 변호사님 정말 대단하신 것 같아요 ^^;;;

[서민시대]

힘내세요! 항상 뒤에서 응원하고 있습니다!

[송옥철]

옥션 이 사람들 참...;;;;; 잘못을 했으면 빨리 인정/사과/보상을 해야지, 왜이런데요 정말?;;;

[송옥철]

하여간 항상 뒤에서 응원하고 있겠습니다. 변호사님 화이팅입니다.~*

[이관성]

2. 외부에 노출되지 말아야 할 이노믹스 서버가 노출되어 해커의 공격대상이 된 점



원심은 ① 상담원들뿐만 아니라 피고 옥션의 회원도 온라인 상담서비스를 받기 위해서는 이노믹스 서버에 접속할 필요가 있는 등 이노믹스 서버에 접속할 필요가 있는 등 이노믹스 서버에 대해 인터넷을 통한 외부 접속도 필요한 것으로 보이고,


중복 된거 같은데...저만..그런가요...

[금오산도령]

수고가 많으십니다. 힘내세요~~^^*

[맑은기둥]

확실한 것: 옥션과 인포섹의 과실, 상대(우리)측 변호사를 잘못만났다는 것
불확실한 것: 판사의 컴퓨터지식수준, 원심처럼 컴맹, 양심맹, 상식맹 판사를 만나면 대략 OTL

1. 전문용어설명서 같은 것은 첨부 하시나요? 포트스캔, 패킷 캡쳐, 라우터, 스크립트 등은 컴맹판사에게는 대략 외계어 일텐데요...특히 '스크립트' 이 단어는 내포한 의미가 따로 있는데...이건 그냥 일반 텍스트 파일이라는 뜻으로 프로그래밍에서도 스크립트 언어= 비쥬얼 베이직과 같은...즉, 수준 낮은, 쉬운, 소스코드가 다 까발려져 있는, 공개된, 탐지하기 쉬운(그냥 노트패드로도 소스를 볼 수 있는)....이라는 뜻들을 내포하고 있는데...

[박진식변호사]

1심에서 대부분의 용어들은 다 설명이 되었습니다. 스크립트에 관한 귀하의 설명이 어떤 뜻인지 조금 구체적으로 설명바랍니다.

[맑은기둥]

2. 맥아피, 노턴, v3 등 개도 안쓰는 백신따위가 우리 재판결과에 영향을 미치다니 믿을 수가 없군!!!
당시의 권위있는 기관에서 발간한 백신순위를 제시하고 왜 상위백신을 쓰지 않았느냐! 고 따질수는 없는 건가요?
'누구나 다 쓰는 백신' = '누구나 다 뚫는 백신' 이라는 뜻인데 저따위 백신들이 널리 쓰이는 것이 성능상 우위 때문이 아니자나요
옥션이 스스로 시스템 부하 때문에 카스퍼스키 같은 성능우위의 백신을 안쓰고 저 따위 쓰레기 백신을 썼다고 했는데 그건 대놓고 시스템 부하 때문에 보안을 포기하였다고 자백한 건데..면책이라니!
보안 관련해서는 '널리 쓰인다' 와 '보안' 은 반비례 관계인데 판사가 돌았나...

[박진식변호사]

혹시 백신순위 관련 자료가 있으신가요....? 이러한 문헌 자료가 많이 필요합니다.

[맑은기둥]

3. "해커가 발각되기로 마음먹었거나" 부분에서 뒤집어졌습니다...항소 이유서가 이렇게 웃겨도 돼는 건가요? 전체적으로 원심 판결에 대한 좀 감정적인 표현들이 눈에 띄는데 항소 이유서라는 것을 처음 봐서...(개인적으로는 아주 맘에 들지만) 법원 문서들에도 이런 표현들도 써도 되나보죠? 경악스럽다, 현란하다, 현혹되었다, 기술적 이해부족, 완벽한 사실 오인, 이상한 논리, 피고를 편들어주기 위한...등등 저는 지적하는 것이 아니라 물어보는 겁니다. 원래 항소 이유서가 원심에 대해서 이렇게 까는 문서인지? ㅎㅎㅎ

[박진식변호사]

제가 좀 스타일이 그런 편이라 재판부에서 지적을 많이 받는 편이긴 합니다.^^ 그런데... 이번 서면은 일부로 조금 과격하게 썼습니다. 도대체가 보안전문가 한 명하고만 얘기를 해 보면.... 옥션의 주장이 얼마나 개소리인지, 얼마나 보안을 황당하게 했는지 자명한데도.... 컴맹 재판부에서 그냥 옥션, 아니 김앤장의 주장에 깜박 넘어가버린 것이거든요... 그런데 고등법원 재판부도 컴맹이긴 마찬가지입니다.... 그래서 조금 걱정이 됩니다. 엘지텔레콤 사건과 동일한 재판부라서 알게 되었습니다.

[유진아]

애휴. 아무쪼록... 수고하시네요 빨리 결과가 나왔음하는데 지금까지 기다린거 헛되지않게 꼭 이기길바랍니다

[BluesWayne]

고생이 많으십니다..이렇게 의견서를 올려주시는것은 좋은데..혹시나 상대방측에서 들어와서 이걸보고 그쪽 논리를 만드는건 아닐지 하는 생각이 드내요..박변호사님이 고생은 많이 하시는데 어렵게 작성하신거로 아는데 혹시나 하는 노파심에서 올려봤습니다..더운데 건강도 잘챙기세요..꾸벅~!

[박진식변호사]

저희 전용게시판은 정회원만 볼 수 있게 등업 절차를 거쳤습니다.^^ 저쪽에서 서면을 먼저보려고 착수금 3만원을 냈을까요?ㅎㅎㅎ 그러면 어쩔 수 없고... 어차피 준비서면은 상대방에게 송달하여 줍니다.

[박현준이]

박진식 변호사님! 수고가 많으시네요!! 화이팅입니다.1