모리스 웜

코넬대학교 박사과정에 입학한 로버트 태판 모리스가 네트워크 보안의 허점을 이용해 여러 컴퓨터로 전파되는 프로그램 개발에 착수. 사용자들이 알아채기 어렵도록 실행 흔적을 감추고 자원 사용을 줄이려 했으나, 실제 운영 중인 타인의 컴퓨터에 사전 동의 없이 침투하도록 설계한 실험. 이미 감염된 컴퓨터도 일정 비율로 다시 감염시키는 장치가 통제되지 않은 복제를 낳은 핵심 원인. 기술적 호기심과 무단 접근의 책임이 뒤이어 충돌하게 된 출발점.

코넬대학교 대학원생 로버트 태판 모리스가 1988년 11월 2일 저녁 MIT의 컴퓨터를 거쳐 자기복제 프로그램을 배포. 유닉스 계열 시스템의 여러 취약점을 이용한 웜이 예상보다 빠르게 복제되며 대학·군·연구기관의 컴퓨터를 마비시키거나 심하게 느리게 만든 사건. 파일 자체를 파괴하지는 않았으나 이용 중단과 복구 작업으로 실질적인 피해를 발생시킴. 약 6천 대가 영향을 받았다는 추정으로 널리 알려졌지만 정확한 감염 수와 손실액은 산정하기 어려웠던 대규모 네트워크 사고.

웜이 확산된 다음 날 UC 버클리 등의 연구자들이 프로그램을 분석하고 임시 수정책을 공유하며 대응에 착수. 로런스 리버모어 국립연구소는 감염을 제한하기 위해 새벽에 비기밀 컴퓨터망과 외부 인터넷의 연결을 차단하고 버클리의 대응책을 자체 시스템에 적용. 연구소 내부망은 하루 이내, 외부 인터넷 연결은 11월 4일 복구한 반면 일부 기관은 일주일가량 단절을 지속. 연결 차단이 확산 억제에 도움을 주면서도 치료법 전달을 늦추는 역설과 상시적인 기관 간 연락 체계의 부재가 드러난 대응.

국방고등연구계획국(DARPA)의 요청으로 카네기멜런대학교 소프트웨어공학연구소에 컴퓨터 비상대응 조직 CERT가 출범. 모리스 웜에 대응하던 기관들이 같은 분석을 반복하고 상충하는 조치를 전달한 경험을 계기로, 사고 정보를 모으고 전문가의 기술 대응을 조정할 상설 창구 마련. 단순히 감염된 컴퓨터를 복구하는 일을 넘어 긴급 상황의 연락망을 만들고 인터넷 공동체의 보안 인식을 높이는 임무 부여. 이후 취약점 신고자와 소프트웨어 공급자를 연결하고, 여러 경쟁 업체의 제품에 공통된 결함을 중립적인 입장에서 조정하는 역할로 확대. 인터넷의 상호 연결성이 사고의 파급 범위를 넓힌 만큼 대응도 개별 관리자의 임시 조치를 넘어 기관 간 협력을 필요로 한다는 인식의 제도화.

인터넷 활동 위원회가 RFC 1087 「Ethics and the Internet」를 발표하고 무단 접근, 정상적인 이용 방해, 자원 낭비와 사생활 침해를 용납할 수 없는 행위로 규정. 인터넷을 연구 공동체가 함께 의존하는 기반시설로 보면서 네트워크 전체에 영향을 줄 수 있는 실험에 각별한 주의 의무를 부과. 동시에 보안 강화가 정보의 자유로운 흐름을 지나치게 막아서는 안 된다는 긴장도 명시. 웜 사태 이후 기술적 방어와 더불어 연구자의 전문적 책임을 공적인 규범으로 정리한 선언.

코넬대학교 예비조사위원회가 웜의 제작·배포와 대학 내부 관여 여부, 컴퓨터 사용 규정 및 윤리적 책임을 조사한 보고서를 교무 책임자에게 제출. 모리스의 제작·배포와 규정 위반을 확인하고, 파일 파괴와 별개로 반복 복제와 방어 조치가 연구와 시스템 운영을 중단시킨 피해를 지적. 광범위한 전파 의도와 통제 불능의 결과를 구분하되 사건을 영웅적 행동으로 취급하지 않는 입장. 감염 규모는 수천 대로 판단하면서 정확한 수치를 체계적으로 산정하지 않았다는 한계도 명시.

시러큐스 연방대배심이 로버트 태판 모리스를 1986년 컴퓨터 사기 및 남용 방지법 위반 혐의로 기소. 피해 파일의 삭제 여부만이 아니라 허가받지 않은 접근과 정당한 사용자의 이용 방해가 형사책임의 쟁점으로 부상. 모리스 측의 예상 밖 확산이라는 설명과 검찰의 무단 침투 책임 주장이 이후 재판에서 대립하게 된 단계. 단순한 대학 내부 징계를 넘어 전국 네트워크에 영향을 미친 행위에 연방법을 적용한 초기의 주요 사건.

USC 정보과학연구소의 조이스 레이놀즈가 RFC 1135 「The Helminthiasis of the Internet」를 발표. 감염과 대응 경과뿐 아니라 코넬 조사와 여러 기술 분석, 언론 보도, 범죄와 윤리 논의를 함께 정리한 회고 문서. 알려진 취약점이 방치된 이유와 기관 간 협력의 한계를 다루면서, 정보의 개방성이 감염 위험만이 아니라 공동 분석과 복구에도 기여했다는 양면성을 제시. 새로운 통신 표준이 아니라 사건의 경험과 재발 방지 논의를 남긴 기록.

뉴욕 북부 연방지방법원 배심원단이 8일간의 재판 끝에 로버트 태판 모리스의 컴퓨터 사기 및 남용 방지법 위반 혐의에 유죄 평결. 프로그램이 파일을 없애지 않았더라도 무단 침투와 정상 이용의 방해가 법적 피해가 될 수 있음을 보여준 재판. 피고인 측은 유죄 판단에 맞서 무죄 판결 또는 재심을 구했으나 2월 27일 기각. 과도한 복제를 의도하지 않았다는 주장과 허가 없는 접근 자체의 고의를 구분하는 문제가 이후 항소심으로 이어진 평결.

하워드 먼슨 판사가 모리스에게 보호관찰 3년과 사회봉사 400시간, 벌금 1만 달러 및 특별부과금 50달러를 선고. 수감형 대신 감독 비용 부담 등을 포함한 비구금형을 선택했으며, 5월 16일 작성·접수된 판결문에 선고 내용을 기록. 법원은 사건의 심각성을 인정하면서도 일반적인 사기 사건의 양형지침과 산정 손실액만으로 이 사건의 죄질을 재단하기 어렵다고 판단. 손실 계산과 처벌의 비례성, 보안 실험의 형사책임을 둘러싼 논쟁을 남긴 선고.

컴퓨터 보안 사고대응팀들이 정보를 교환하고 대응을 조정하기 위한 국제 협력체 FIRST를 결성. 모리스 웜 이후 각 기관에 대응팀이 생겼으나 담당 범위와 보고 체계, 언어와 시간대가 달라 실제 사고에서 필요한 정보를 신속히 공유하기 어려운 상황. 1989년 WANK 웜은 여러 조직이 연관된 사고에서 팀 사이의 연락과 공동 대응이 충분하지 않다는 문제를 다시 부각. CERT 조정센터를 비롯한 대응 조직들이 서로 신뢰할 수 있는 협력망을 구축하며, 개별 팀의 전문성을 국제적인 정보 교환과 지원으로 연결하는 방향 모색. 단일 중앙기관이 모든 사고를 처리하는 방식보다 각 팀의 자율성과 현장 지식을 유지하면서 협력하는 체계의 형성.

미국 제2연방항소법원이 모리스의 항소를 기각하고 유죄 판결을 유지. 당시 적용 조항의 고의 요건은 무단 접근에 걸리며, 검찰이 이용 방해와 손실 자체를 의도했다는 점까지 입증할 필요는 없다고 판단. 일부 대학 컴퓨터의 사용 권한이 다른 기관의 시스템에 침투할 권한까지 부여하지 않는다는 점도 확인. 기술적으로 접속할 수 있다는 사실과 법적으로 허가받았다는 사실을 구분하고, 의도하지 않은 결과에 대한 책임의 범위를 해석한 초기 컴퓨터범죄 판례.

미국 양형위원회의 개정안 공청회에서 모리스의 변호인들이 컴퓨터범죄 전용 양형지침 제안을 논의하며 사건의 경험을 제시. 사기 의도가 필요하지 않은 컴퓨터 이용 방해를 일반 사기와 동일하게 취급할 때의 문제, 복구 비용과 경제적 손실 추정의 신뢰성을 지적. 이는 변호인 측의 정책 의견으로, 유죄 판결을 취소하거나 특정 지침 개정의 채택을 뜻하지 않는 발언. 웜 사건이 형사재판 이후에도 새로운 유형의 피해를 어떻게 평가하고 처벌할지에 관한 제도 논의로 이어진 사례.