[서울=뉴시스] 옥성구 기자 = 정부가 2016년 북한의 국방 전산망 해킹으로 군사비밀을 포함한 군사자료가 유출된 것에 대한 손해를 배상하라며 기업들을 상대로 50억원의 손해배상 소송을 냈지만, 법원에서 받아들여지지 않았다.

서울중앙지법 민사합의16부(부장판사 임기환)는 27일 정부가 국방망 시공업체 L사와 백신 공급업체 H사를 상대로 낸 50억원의 손해배상 청구 소송에서 원고 패소 판결했다.

정부와 L사는 2014년 국방부에서 추진하는 '국방통합정보관리소 정보시스템 이전·통합사업'과 관련해 용역 계약을 체결했다. 당시 계약에는 '국방망·인터넷망이 물리적으로 분리돼 있어야 한다' 등의 내용이 포함됐다.

또 정부는 H사와도 '바이러스 방역체계 구축사업' 관련 계약을 체결하며 '백신 관리서버 대상 해킹 공격 방지', '백신시스템 및 업데이트 파일 자체 보호 기능' 등의 내용을 담았다.

이후 2016년 7월26일 국방부 인터넷 백신 중계 서버를 시작으로 수개의 서버에 순차적으로 악성코드가 유포됐다. 또 같은해 9월3일부터 9월21일 동안 수정된 악성코드로 인해 군사자료 등 정보가 유출됐다.

국방부 검찰단은 2017년 5월 수사 결과를 발표하며 국방망 해킹 사건을 북한 해커 소행으로 결론 지었다.

당시 군 검찰단 설명에 따르면 2016년 9월23일 사이버사령부에서 대량의 악성코드가 최초 발견됐다. 당시 육·해·공군의 외부 인터넷망 PC 2만여대 보안을 관리하는 백신 중계 서버를 통해 악성코드가 유포됐지만, 사이버사는 서버 분리를 이틀 뒤에야 실시했다.

이후 해커는 육·해·공군의 모든 정보가 하나로 모이는 국방통합데이터센터(DIDC)에 침투했다. 내부 국방망과 외부 인터넷망이 혼용된 접점을 통해 국방망 서버와 PC에 악성코드를 유포했다. 이때 악성코드에 감염된 PC에서 군사비밀이 유출됐다.

군 검찰단은 국방망 공격에 사용된 IP 가운데 일부가 기존의 북한 해커들이 활용하던 중국의 심양지역의 IP였다는 점에서 북한 소행으로 추정했다. 악성코드 분석 결과 기존 북한 해커들이 활용한 악성코드 패턴과 유사한 점도 근거로 제시했다.

정부는 2017년 10월 DIDC 시공업체 L사와 백신 납품업체 H사의 계약 불이행으로 손해가 발생했다며 총 50억원의 손해배상 청구 소송을 제기했다.

정부 측은 "이 사건 해킹사고는 L사와 H사의 계약상 채무불이행이 경합해 발생했고, 군사자료 유출로 복구비용 등에 상당한 손해를 입었다"고 주장했다.

특히 L사에 대해 "국방망과 인터넷망이 서로 분리되도록 연결해야 함에도, 망혼용이 일어나도록 했다"며 책임을 물었고, H사에 대해 "키 관리를 제대로 하지 않았고, 위·변조 모듈을 정상 작동되도록 할 의무를 다하지 않았다"고 지적했다.

이에 대해 재판부는 "L사가 인터넷망 PC의 악성코드 감염에 관여했다거나 이에 대해 계약상 채무 불이행이 있었다고 인정할 만한 증거가 없다"고 판단했다.

또 "H사가 비밀키 보관 및 관리를 제대로 하지 않은 잘못이 있었다고 볼 증거는 없다"며 "불상의 해커에 의해 악성코드 감염이 이뤄졌다는 사실만으로 H사의 백신 관련 파일 위·변조 차단 의무 위반이 있었다고 단정할 수 없다"고 판결했다.


◎공감언론 뉴시스 castlenine@newsis.com