L게임 보안 사고와 법정 소송 결과

산중수복(山重水復)이라는 고사성어는 갈 길은 먼데 길은 보이지 않고 난제가 가득한 형국을 일컫는다. 한국 온라인 게임의 대표로 일컬어지는 L게임과 관련된 사건ㆍ사고를 지켜보니 이 사자성어의 의미를 제대로 표현하는 것 같다. 명의도용, 개인정보유출, 아이템 해킹, 게임 서버 해킹, 기술문서 유출, 아이템 현금거래 문제 등 명성만큼 사건과 사고가 끊이지 않고 있으나 뚜렷한 해결책은 제시하지 못한 듯 하다. 2004년 무렵부터 법정 소송 등으로 세간을 떠들썩하게 했으나, 추후 소송 과정이나 결과에 대해서는 모르는 이가 많다. 이런 소송의 경우, 시작은 있으나 지지부진한 진행으로 끝을 명확히 알기가 어렵다. 사건은 발발했으나, 원인과 최종적인 결과는 도무지 알 수가 없으니 타산지석(他山之石)으로 삼을래야 삼을 수가 없어 애석하다. 그래서 다양한 매체의 기사, 대법원 사건정보, 개인 블로그 등등을 떠돌아다니며 개인정보 유출 및 명의도용과 관련된 사건들을 정리해 보았다. 소를 잃었으면 외양간이라도 고쳐야 하지 않겠냐는 심정에서. 온라인 게임의 대표주자 L게임 L게임은 대다수의 유저(또는 이용자)를 보유한 온라인 게임의 표준으로 불리는 정액제 게임의 하나이다. 심각한 중독성을 가진 탓에 사회문제로 대두되기도 하였으며 특히 아이템 상거래의 대표적 게임으로 일컬어진다. 온라인 게임에서 사용되는 무기와 같은 아이템들이 현실세계에서 시장을 형성하고 실제로 판매와 거래가 이루어질 뿐만 아니라, 아이템 탈취와 불법 아이템 판매 등이 성행하고 있다. 이렇듯 게임이 돈이 된다는 사실은 곧 게임 유저의 개인정보와 아이템 확보가 범죄의 대상이 될 수 있음을 의미한다. L게임과 관련된 여러 사건 중에서 개인의 보안과 관련된 측면에서 개인정보유출과 명의도용 사건에 대해 살펴보고자 한다. 개인정보유출 사건과 명의도용 사건의 차이점은 본인이 직접 회원가입을 한 적이 있느냐 없느냐에 있다. 개인정보유출은 이용자가 직접 회원가입을 한 상태로, 게임회사에서 회원정보 DB관리에 허술함을 보인 경우에 해당한다. 반면에 명의도용은 다른 경로로 유출된 개인정보를 이용하여 제삼자가 회원가입을 시도하는 경우로, 본인확인 절차를 거치지 않은 게임회사의 회원가입 정책에 문제가 있는 경우이다.

<표 1> 개인정보유출과 명의도용의 차이점
	개인정보유출	명의도용
피해자	자발적으로 회원가입을 한 사람	회원가입 한 적이 없는 사람
피해 대상	아이디, 비밀번호	이름, 주민등록번호
문제점	회원가입시 적법하게 수집한 정보가 유출됨	회원가입시 본인확인 절차를 거치지 않음
사건개요	회사측의 부주의로 정보가 유출된 사례	다른 곳에서 유출된 개인정보가 2차적으로 이용된 사례

L게임의 개인정보유출 사건을 살펴보면, 2004년 5월에 게임 업그레이드 진행 과정에서 유저의 아이디와 비밀번호를 담은 ‘로그파일’이 암호화되지 않은 상태로 노출된 사건이 있다. 유저 5명이 제기한 소송은 원고의 일부승소로 판결이 났다. 1차 소송 2심에서는 50만원의 배상금이 10만원으로 낮춰졌으며 이후 진행된 2차 민사소송에서도 1차 2심의 판결과 동일하게 10만원의 위자료 배상 판정을 받았다. 그 판정은 비록 피해자의 실제 피해 사실을 확인할 수 없더라도, 정신적 피해를 고려해 나온 결과라고 한다.

<표 2> L게임의 정보유출사건
사건명	L2 정보유출사건	L2 정보유출사건	L2 정보유출사건
	1차 민사소송	1차 민사소송 2심	2차 민사소송
사건발생일	2004년 5월 11일-16일
사건개요	게임 업그레이드 과정에서 오류로 인해 사용자 아이디 및 비밀번호 노출
판결	5명에게 각각 위자료 500만원 청구 소송 제기해, 50만원 지급 판결로 원고 일부승소(서울중앙지법 민사 43단독)	정씨 등 3명에게만 10만원씩 위자료 배상 판정	44명 유저에게 각각 10만원씩 총 440만원 손해 배상 판결(서울중앙지법 민사 83단독)
판결일	2006년 4월 01일	2007년 1월 26일	2008년 1월 23일

L게임과 관련된 명의도용 소송은 자신의 명의가 도용되었다고 주장한 약 2만 여명이 집단으로 제기한 소송이다. 이 재판의 경우에는 원고의 패소로 끝이 났다. 법원의 따르면, 회사는 제3자로서 명의도용 행위자들과 직접적 관련성이 없어 원고들의 손해를 전보할 책임이 없기 때문이라고 한다. 또한 명의도용 행위를 묵인 또는 방치한 것에 대해서는 회사가 적절한 주의 의무를 다했다고 덧붙였다. 이 회사의 주의 의무(회원가입 약관)에 관해 이의를 제기한 소송도 있었지만, 법원은 회사의 손을 들어주었다.

<표 3> L게임의 명의도용 사건
사건명	명의도용사건
사건발생일	2006년 2월
사건개요	이름과 주민등록번호 도용된 1만 689명의 원고 소송(재판 준비만 1년이 걸린 사건)
판결	1인당 100만원, 총 106억 8900만원의 손해배상에 대해 민사소송 원고패소 판결 (서울중앙지법 민사합의16부)
판결일	2007년 5월 31일

2004년 이후 법정공방을 거치면서 L게임의 보안 체계는 확실히 발전하고 있는 것처럼 보인다. 통합계정 사용, 시스템 정기점검, 온라인 보안센터 운영, OTP(일회용 비밀번호 생성) 서비스, 아이템 봉인 및 비밀번호 수시 변경 공지와 같이 보안 강화를 위해 노력하고 있음이 분명하다. 일부에서는 보안에 대한 전반적인 인식과 인프라가 부족했던 시기에 L게임이 희생양이었다는 시각도 있다. 그러나 많은 이용자에게 사랑받는 세계적 게임이라는 위상으로 볼 때, 게임 이용자의 정보를 소중히 여기는 노력이 좀 더 필요하지 않았나 하는 아쉬움이 있다. 여전히 소송에 소송이 걸려있는 현 상황을 타개하기 위해서는 기업정신과 기술적 대응방안에 대한 보다 진지한 고민이 요구된다. 그러나 이용자가 모든 책임을 기업에 돌리려 한다면, 이는 바람직하지 못하다. 완벽하고 완전한 보안이라는 것은 없으며, 개인정보 유출과 명의도용의 피해는 결국 이용자의 몫이 되기 때문이다. 따라서 이용자 스스로 자신의 개인정보를 안전하게 관리하려는 노력을 게을리하지 않아야 할 것이다.@