한 계정 로그인 허락받았는데 연결된 다른 서비스에 들어가도 되나요?

한 계정에 로그인할 허락을 받았더라도 연결된 다른 서비스나 모든 기능에 들어갈 권한이 자동으로 생기지는 않습니다. 정보통신망법 제48조 제1항은 정당한 접근권한 없이 또는 허용된 접근권한을 넘어 정보통신망에 침입하는 행위를 금지합니다. 실제로 허락받은 대상이 어디까지였는지와 문제된 서비스에 어떤 방식으로 접속했는지를 확인해야 합니다.

로그인 허락과 다른 서비스 이용 허락은 다릅니다

상대방이 메일 계정을 확인하도록 허락했는데 같은 로그인 정보로 연결된 클라우드나 다른 서비스를 열었다는 이유로 조사받는 상황을 생각할 수 있습니다. 하나의 비밀번호나 인증 상태로 여러 기능에 접근할 수 있다는 기술적인 사정과, 상대방이 그 기능들까지 사용할 권한을 부여했다는 사정은 같지 않습니다.

정보통신망·계정 침입의 판단 기준에서 중요한 것은 사건 당시 정당한 접근권한, 허용 범위, 실제 접속·침입 경위입니다. 처음 접근할 수 있었던 계정만 따질 것이 아니라 이후 문제된 서비스가 원래 허락 안에 들어 있었는지를 살펴야 합니다.

처음부터 연결된 서비스도 함께 허락받은 경우

첫 번째 갈래는 상대방이 여러 서비스를 함께 사용하는 것을 알고 특정 목적과 범위 안에서 접근을 허락한 경우입니다. 이때는 허락받은 계정·서비스·기능이 구체적으로 무엇인지, 해당 허락이 실제 접속 당시에도 유지됐는지가 중요합니다.

예컨대 하나의 계정으로 메일과 공유 저장공간을 함께 관리하기로 했다는 설명이 있다면 어느 자료를 확인하도록 허락했는지까지 구분해야 합니다. 모든 연결 서비스에 무제한 접근할 수 있었다고 넓혀 해석할 수는 없지만, 서비스를 여러 개 열었다는 사실만으로 정당한 권한이 없었다고 단정할 수도 없습니다.

특정 서비스만 허락받았는데 다른 기능까지 연 경우

두 번째 갈래는 상대방이 한 서비스의 특정 작업만 허락했는데, 같은 계정으로 다른 서비스의 자료나 기능을 열어본 경우입니다. 원래의 허락이 어디까지였는지와 실제 접속한 곳이 어떻게 다른지가 핵심 쟁점입니다.

로그인 비밀번호를 알고 있었거나 이미 인증돼 있었다는 사정은 그 자체로 모든 기능에 대한 허락을 뜻하지 않습니다. 반대로 어떤 서비스가 연결되어 있다는 사실만으로 그 서비스를 실제로 열었거나 그 안의 자료를 확인했다고 추정해서도 안 됩니다. 권한의 범위와 실제 행동을 각각 확인해야 합니다.

자동 연결된 상태와 직접 들어간 행동도 구별합니다

한 계정으로 로그인한 뒤 연결 서비스에 세션이 남아 있거나 일부 정보가 동기화된 경우도 있을 수 있습니다. 이때는 서비스가 연결돼 있다는 기술적 상태와 사용자가 해당 서비스의 자료를 실제로 열어본 행동을 같은 사실로 다루지 않는 것이 중요합니다.

전자정보·계정·접속로그에는 로그인·인증, 기기 접속과 IP, 보안알림 등 접속 경위를 살필 자료가 남을 수 있습니다. 다만 어느 기록이 어느 서비스의 어떤 행위를 보여주는지는 구체적으로 살펴야 합니다. 하나의 계정 이름이 여러 화면에 보인다는 이유만으로 각각의 서비스에 누가 언제 들어갔다고 단정할 수는 없습니다.

허락이 있었던 시점과 접속한 시점은 같나요?

계정 사용을 처음 허락받은 날과 문제된 다른 서비스에 접속한 날이 다르다면 그 사이 허락의 내용이나 범위가 달라졌는지도 살펴야 합니다. 특정 업무를 돕던 때의 접근권한과 업무가 끝난 후의 접속은 같은 사정으로 볼 수 없습니다.

과거 허락과 사건 당시 권한은 시간의 변화에 따른 권한 문제를 폭넓게 다룹니다. 이번 질문에서는 그중에서도 하나의 로그인 정보로 접근할 수 있는 서비스가 여러 개일 때, 최초 허락이 각 서비스와 기능에 어디까지 적용되는지가 중심입니다.

조사에서 어떤 사실을 실제로 확인하나요?

경찰 조사에서 문제된 계정이 무엇인지, 원래 허락받은 서비스와 기능은 무엇인지, 새로 접근했다고 지목된 서비스는 무엇인지부터 나눠 정리합니다. 다음으로 로그인·인증이나 기기 접속 관련 기록이 있다면 실제 접속 시점과 사용 기기를 맞춥니다.

허락받았던 목적을 사후에 과장하거나 반대로 모든 연결 서비스를 실제로 이용했다고 추측해 인정할 필요는 없습니다. 자신이 직접 한 행동과 기록을 보고 뒤늦게 알게 된 사실을 구별해야 합니다. 문제된 계정에 접속할 권한이 불분명한데 사실을 확인하겠다며 다시 로그인하거나 자료를 삭제하는 행동도 피합니다.

법적 기준과 흔한 오해

정보통신망법 제48조 제1항은 정당한 접근권한이 없는 침입과 허용된 접근권한을 넘는 침입을 모두 문제 삼습니다. 위반하는 침입행위는 같은 법 제71조의 처벌 규정과 연결됩니다. 따라서 단순히 비밀번호를 전달받았다는 사실보다 실제 허락의 대상·기능·시점과 접속경위를 맞추는 일이 중요합니다.

“한 번 로그인하도록 허락받았으니 연결된 서비스는 전부 봐도 된다”는 말도, “연결 서비스에 접속 흔적이 있으니 권한 없는 침입이 이미 확정됐다”는 말도 사실관계를 생략한 판단입니다. 업무용 계정에서 다른 자료를 열람한 경우와 달리 여기서는 여러 서비스가 하나의 로그인 체계로 연결돼 있다는 점을 별도로 살핍니다.

변호인 검토에서 결과를 가르는 지점

최초 허락의 대상이 계정 전체였는지 특정 서비스와 기능에 한정됐는지, 실제 어떤 연결 서비스에 어떤 방식으로 접속했는지, 해당 시점에 정당한 권한이 있었는지를 먼저 맞춥니다. 계정·기기·접속로그의 흔적만으로 사용자와 허락 범위를 하나로 확정하지 않도록 주의해야 합니다.

변호인과는 당시 허락에 관한 설명, 실제 사용한 계정과 서비스, 문제된 접속의 시점과 행동, 수사기관이 제시한 인증·접속 자료가 각각 어떤 사실을 보여주는지 점검할 필요가 있습니다. 허락된 접속과 권한을 넘는 접속을 구분하는 것이 핵심입니다.