악성프로그램 전달·유포 성립요건과 처벌수위, 대응 기준

개념 및 성립요건

악성프로그램 전달·유포는 정당한 사유 없이 정보통신시스템, 데이터 또는 프로그램 등을 훼손·멸실·변경·위조하거나 그 운용을 방해할 수 있는 프로그램을 다른 사람에게 보내거나 배포하는 경우 문제되는 정보통신망 범죄입니다. 실제 장애가 발생했는지뿐 아니라 프로그램 자체의 기능, 사용 목적, 설치·실행 방식, 시스템에 미치는 영향이 함께 검토됩니다.

법률상 근거

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조 제2항은 악성프로그램 전달 또는 유포를 금지합니다. 2024년 개정 후에는 제70조의2가 이를 7년 이하의 징역 또는 7천만원 이하의 벌금으로 처벌하고, 제48조 제4항과 제71조 제1항 제13호는 보호·인증 절차 우회 프로그램의 설치·전달·유포도 별도로 규율합니다.

성립요건

악성프로그램 해당성: 프로그램이 정보통신시스템, 데이터, 프로그램 등을 훼손·멸실·변경·위조하거나 운용을 방해할 수 있어야 합니다.
전달 또는 유포 행위: 파일 전송, 링크 배포, 판매, 게시, 메신저 공유, 자동 설치 유도 등이 문제될 수 있습니다.
정당한 사유 부존재: 보안 연구, 침해사고 대응, 내부 테스트처럼 정당한 목적과 통제 범위가 있었는지 확인합니다.
고의: 프로그램의 기능과 위험성, 전달·유포 사실을 인식했는지가 핵심입니다.
피해 범위: 실제 감염 수, 서버 장애, 데이터 변경, 계정 탈취, 금전 피해가 형량과 민사책임에 영향을 줍니다.
증거: 소스코드, 실행파일 해시값, 로그, IP, 서버 접속기록, 가상자산·계좌 거래, 채팅 기록이 중요합니다.

유사 범죄와의 구별

구분	핵심 차이	주로 문제되는 상황	실무상 쟁점
악성프로그램 전달·유포	운용 방해 가능성이 있는 프로그램 자체를 보내거나 퍼뜨리는 유형입니다.	랜섬웨어, 계정탈취 악성코드, 게임 핵 판매	프로그램 기능과 악성성 판단이 핵심입니다.
정보통신망 침입	정당한 접근권한 없이 시스템에 접속하는 유형입니다.	관리자 계정 접속, 서버 침입, 크리덴셜 사용	접근권한의 범위와 초과 여부가 중요합니다.
정보통신망 장애 발생	대량 신호나 부정명령 등으로 실제 장애를 발생시키는 유형입니다.	DDoS, 서버 과부하, 서비스 마비	장애 발생과 목적, 인과관계가 쟁점입니다.
컴퓨터등장애업무방해	정보처리에 장애를 일으켜 사람의 업무를 방해하는 형법상 범죄입니다.	회사 시스템 마비, 자동화 봇 업무방해	업무방해 결과와 피해 업무의 특정이 필요합니다.

처벌 및 형량

법정형

악성프로그램 전달·유포: 7년 이하의 징역 또는 7천만원 이하의 벌금(정보통신망법 제70조의2, 제48조 제2항)
정보통신망 침입: 5년 이하의 징역 또는 5천만원 이하의 벌금(정보통신망법 제71조 제1항 제11호, 제48조 제1항)
정보통신망 장애 발생: 5년 이하의 징역 또는 5천만원 이하의 벌금(정보통신망법 제71조 제1항 제12호, 제48조 제3항)
보호·인증 절차 우회 프로그램 설치·전달·유포: 5년 이하의 징역 또는 5천만원 이하의 벌금(정보통신망법 제71조 제1항 제13호, 제48조 제4항)
타인의 정보 훼손·비밀 침해·누설: 5년 이하의 징역 또는 5천만원 이하의 벌금(정보통신망법 제71조 제1항 제14호, 제49조)
컴퓨터등장애업무방해: 5년 이하의 징역 또는 1천500만원 이하의 벌금(형법 제314조 제2항)
공소시효: 7년 이하 징역형인 악성프로그램 전달·유포는 원칙적으로 7년 기준이 문제됩니다(형사소송법 제249조 제1항 제4호).

악성프로그램 사건은 법정형만으로 결론을 내리기 어렵습니다. 프로그램의 기능이 단순 자동화 도구인지, 시스템 운용을 방해할 수 있는 악성프로그램인지, 실제 피해가 발생했는지, 판매·배포 규모가 어느 정도인지가 처벌수위에 큰 영향을 줍니다.

양형기준표

구분	감경 요소	기본 영역	가중 요소	참고사항
프로그램 기능	실험용·제한적 기능, 피해 미발생	운용 방해 가능성 존재	랜섬웨어, 계정탈취, 대량 감염 기능	기능 분석과 감정결과가 핵심입니다.
전달·유포 규모	소수 전달, 즉시 회수	온라인 판매·게시	불특정 다수 유포, 조직적 판매망	다운로드 수와 판매내역이 중요합니다.
피해 결과	장애·정보유출 없음	일부 서비스 장애 또는 복구비 발생	대규모 장애, 금전피해, 개인정보 유출	피해액과 복구비 산정이 문제됩니다.
사후 대응	서버 폐쇄, 삭제·복구 협조, 피해회복	일부 협조와 반성자료	로그 삭제, 증거은폐, 추가 배포	초기 대응이 양형에 반영됩니다.

주요 판례 처벌 경향

자동 회원가입·댓글·쪽지 발송 프로그램을 판매한 사건: 대법원은 프로그램 자체의 기능, 작동 방식, 시스템에 미치는 영향을 종합해 악성프로그램 해당성을 판단해야 한다고 보아, 무죄를 선고한 항소심 판단을 유지했습니다(의정부지방법원 2017노309, 대법원 2017도16520).
게임 자동 실행·조작 프로그램 판매 사건: 대법원은 정보통신시스템 등의 운용을 방해할 수 있는 프로그램이면 실제 장애 결과가 발생하지 않아도 전달·유포죄 성립이 문제될 수 있다고 판단했습니다(부산지방법원 2017노4344, 대법원 2018도16938).
모바일 게임 서버에 비정상 명령을 전송하도록 한 프로그램 사건: 항소심은 게임사의 정보처리 장애와 영업상 피해를 고려해 정보통신망법위반과 컴퓨터등장애업무방해 책임을 판단했습니다(수원지방법원 2014노1329).
원격제어·감청성 프로그램 설치가 문제된 사건: 항소심은 악성프로그램과 통신비밀 침해 쟁점을 함께 보아 징역 8개월·집행유예 2년 및 자격정지 1년의 1심 형을 유지했습니다(서울고등법원 2016노223).
무료 프로그램 설치 과정에서 이용자 PC에 원치 않는 프로그램이 함께 설치된 사건: 대법원은 정보통신망 침입과 악성프로그램 설치 경위, 이용자 동의 범위를 중심으로 유죄 판단을 유지했습니다(대법원 2010도14607).