주식을 사고파는 일은 대부분 앱으로 한다. 그 앱이 멈추면 파는 일도 사는 일도 멈춘다. 값이 크게 움직이는 날일수록 접속이 몰리고, 접속이 몰리는 날일수록 멈출 가능성이 커진다.

금융감독원이 집계한 전자금융사고는 2021년 356건이다. 그중 침해를 뺀 장애가 350건이고, 업권별로는 금융투자가 95건으로 가장 많았다. 은행은 81건이었다.¹

이 집계는 반기나 연 단위로 발표되던 자료인데, 확인되는 마지막 발표는 2023년 상반기분 197건이다.² 그 뒤로는 국회의원이 금융감독원에서 받아 공개한 자료를 언론이 옮기는 방식으로만 숫자가 나온다.

그 방식으로 나온 값 가운데 하나가 2025년 8월 금융감독원 워크숍에서 공개됐다. 2020년부터 2024년까지 5년 동안 증권사 전산사고가 429건이고 피해액이 262억 5,000만 원이다. 같은 기간 금융권 전체 피해액 294억 6,000만 원의 89%다.³

연도별로는 2020년 66건에서 2024년 100건으로 늘었고, 2025년 상반기에만 58건이었다.³ 100건이면 사흘에 한 번꼴이다.

장애가 나면 그다음에 무엇이 남는가

장애가 끝나면 두 가지가 남는다. 하나는 값이 움직인 결과다. 팔려던 주식을 못 팔았으면 그 사이에 떨어진 만큼이 손해다. 다른 하나는 그 손해를 누가 물어 주느냐는 문제다.

이 두 번째 문제에서 사람이 갈린다. 같은 시간에 같은 앱을 쓰다 같은 손해를 본 두 사람이 있어도, 한 사람은 배상을 받고 다른 사람은 받지 못한다. 무엇이 그 둘을 가르는가. 이 보고서가 묻는 것은 이것 하나다.

증권사는 저마다 전산장애 보상 기준을 홈페이지에 올려 둔다. 연구소는 여섯 곳의 기준을 원문으로 확인했다. 회사가 달라도 문구가 거의 같다.

보상 대상이 되는 장애는 하나뿐이다

먼저 무엇을 장애로 볼지부터 좁다. 한 회사는 이렇게 적었다. "당사 전산시스템의 장애로 인해 온라인 주문 및 비상주문을 포함한 어떠한 방법으로도 주문이 불가능한 경우." 나머지 다섯 곳도 같은 뜻이다.⁴

거꾸로 읽으면 이렇다. 앱이 안 되더라도 고객센터 전화나 영업점에서 주문할 수 있었다면 보상 대상이 아니다. 로그인이 안 된 것, 시세가 안 뜬 것, 체결이 늦은 것도 보상 대상이 아니라고 여러 회사가 따로 적어 뒀다.⁵

가장 중요한 줄은 제외 항목의 첫 줄이다

표에서 눈여겨볼 곳은 보상에서 빼는 것의 첫 줄이다. 한 회사는 "전산로그 및 전화녹취 등 기록이 없는 주문 건"이라고 적었다. 다른 회사는 전화기록이나 로그기록이 있는 주문에 한해서만 보상한다고 적었다.⁶

즉 기록이 곧 자격이다. 손해가 아무리 커도 기록이 없으면 심사 자리에 서지 못한다.

손해액은 최고가로 계산하지 않는다

기록이 있어 심사에 올라가도 계산 방식이 정해져 있다. 여섯 곳 모두 주문을 시도한 시점의 가격에서 장애가 끝난 뒤 실제로 체결한 가격을 뺀 차액으로 계산한다. 장애가 이어진 동안의 최고가가 아니다.⁷

법원도 같은 방향으로 판단한 적이 있다. 2022년 8월 한 증권사에서 약 15시간 동안 선물 주문이 되지 않았다. 투자자는 그 사이 최고 지수를 기준으로 5,200만 원가량을 청구했다. 법원은 최고 지수가 아니라 거래량을 가중한 평균 지수로 계산해야 한다고 보고 1,598만여 원을 인정했다. 판결문은 회사가 스스로 적용한 보상 기준을 "완화된 기준"이라고 표현했다.⁸

여기까지가 지금의 기준이다. 그러면 왜 이런 기준이 만들어졌는가.

전자금융거래법이 정한 책임 유형

전자금융거래법에는 금융회사가 손해를 배상해야 하는 사고가 적혀 있다. 세 가지다. 첫째는 접근수단이 위조되거나 변조돼 생긴 사고다. 둘째는 계약을 맺거나 거래지시를 전자적으로 보내고 처리하는 과정에서 생긴 사고다. 셋째는 정보통신망에 침입해 부정하게 얻은 접근수단을 써서 생긴 사고다.⁹

이 세 가지에 들면 회사는 잘못이 있었는지를 따지기 전에 먼저 배상한다. 이용자에게 고의나 큰 잘못이 있었을 때만 책임을 나눈다.¹⁰

법 조문에는 ‘전산장애’라는 용어가 별도 항목으로 적혀 있지 않다. 앱 장애가 전자적 전송·처리 과정의 사고에 해당하는지는 장애 시점과 범위, 이용자가 주문을 보냈는지, 회사 시스템이 이를 수신했는지 등 구체적 사실을 확인해야 한다.

대법원 판결에서 확인한 사고 유형

대법원은 이 조항의 '사고'가 무엇인지 밝힌 적이 있다. 권한 없는 제3자가 거래를 한 경우와 이용자의 거래지시가 없었는데 거래가 된 경우를 들었다. 그리고 거래지시가 있었는데 이행되지 않은 경우를 들었다.¹¹

주문이 회사에 전달됐으나 처리되지 않은 경우에는 거래지시와 처리 장애를 기록으로 확인하기 쉽다. 앱이 열리지 않아 주문이 전송되지 않은 경우에는 의도한 주문의 내용과 손해 사이의 인과관계를 입증하기가 상대적으로 어렵다.

다만 후자의 경우도 개별 장애의 원인과 회사의 과실, 다른 주문수단의 이용 가능성, 손해 발생 경위를 종합해 판단해야 한다. 이 보고서는 주문 미전송 사례가 전자금융거래법상 책임에서 언제나 제외된다고 단정하지 않는다.

약관에도 전산장애 조항이 따로 없다

금융투자협회가 만든 표준약관에도 회사의 책임 조항이 있다. 내용을 보면 법에 적힌 세 가지를 그대로 옮겨 놓았다.¹² 전산장애로 거래를 못 한 손해를 따로 다루는 조항은 확인되지 않는다.

업계 공통의 보상 기준도 없다. 금융투자협회는 앱과 프로그램에 관해서는 모범규준이 마련된 것이 없고 증권사가 각자의 기준으로 보상한다고 밝힌 바 있다.¹³

증권사 내부 보상 기준은 주문 기록을 공통으로 요구한다. 이는 주문 내용과 주문 시각, 장애와 손해의 인과관계를 확인하기 위한 자료다. 내부 기준과 법원의 최종 책임 판단은 구분해야 한다.

그런데 심한 장애일수록 기록이 덜 남는다

여기서 이 구조의 문제가 드러난다. 기록은 회사 서버에 남는다. 주문이 회사 쪽으로 넘어가야 남는다. 그런데 장애가 가벼우면 주문은 넘어가고 처리만 늦는다. 기록이 남는다. 장애가 심해 앱이 아예 열리지 않으면 주문이 넘어가지 않는다. 기록이 남지 않는다.

장애가 심할수록 기록이 덜 남고, 기록이 없으면 배상 자리에 서지 못한다. 피해가 큰 쪽이 구제에서 먼저 떨어진다.

남은 길은 하나다. 장애가 난 그 순간 고객센터에 전화해 종목과 수량과 가격을 말하고 녹취를 남기는 것이다. 그런데 그 순간은 같은 생각을 한 사람들이 한꺼번에 전화를 거는 순간이기도 하다.

다른 나라는 누가 손해액을 계산하는가

같은 문제를 다른 나라도 겪었다. 답은 갈렸다. 갈린 자리는 손해액을 누가 계산하느냐다.

미국에서는 2020년 3월 한 온라인 증권사의 앱과 누리집이 멈춰 계좌를 가진 사람들이 주문을 넣지도 고치지도 취소하지도 못했다. 자율규제기관은 2021년 6월 이 회사에 벌금 5,700만 달러와 배상 약 1,260만 달러를 명령했다. 그 가운데 장애로 생긴 손해에 대한 배상액은 521만 3,557.98달러였다.¹⁴

이 금액을 누가 계산했는지가 중요하다. 감독기관이 계산했다. 그리고 회사가 자기 거래 기록으로 피해자를 찾아 이미 지급했다고 확인했다. 투자자가 신청서를 낸 절차는 없었다.¹⁵

근거도 규정에 적혀 있다. 배상은 "특정할 수 있는 사람이 계량할 수 있는 손해를 입었을 때" 명령하며, 금액은 "증거로 드러난 실제 손해액"에 따라 계산한다는 것이다.¹⁶

다만 미국에도 빈 곳이 있다. 이 명령을 넘는 손해는 투자자가 중재를 걸어 스스로 입증해야 한다. 2026년 6월까지 판정까지 간 고객 사건 가운데 고객이 이긴 비율은 18%다.¹⁷ 중재 분쟁 유형 열다섯 가지 목록에 '시스템 장애'라는 항목 자체가 없다.¹⁷

영국은 다르다. 감독당국에 배상을 명령할 권한이 있지만 시스템 장애 사건에서 쓴 사례는 확인되지 않는다.¹⁸ 개별 구제는 금융옴부즈만이 맡는데, 최근 결정문 두 건이 이 자리를 보여 준다. 한 건은 은행 기록에 실패한 결제 시도가 남아 있지 않다는 이유로 기각됐다. 다른 한 건은 거래 플랫폼을 닷새 못 쓴 사건인데 "얻었을 이익은 추측일 뿐"이라며 배상을 인정하지 않았다.¹⁹

호주는 세 번째 길이다. 감독당국은 배상을 명령하는 대신 회사에 지침을 준다. "소비자가 민원을 낼 때까지 기다리지 말고 잘못을 알게 된 즉시 회사가 먼저 보상을 시작하라"는 것이다. 이유도 적어 뒀다. 소비자는 자기가 손해를 봤다는 사실 자체를 모르는 경우가 아주 많다는 것이다.²⁰

장애 열 건 가운데 배상이 이뤄진 것은 여섯 건 안팎이다

국회의원이 금융감독원에서 받아 공개한 자료가 있다. 2018년부터 2024년까지 증권사 전산장애 274건 가운데 배상이 이뤄진 것은 164건이다. 열 건에 여섯 건꼴이다. 배상 금액은 215억 원이고 배상을 받은 사람은 87,911명이다.²¹

기간과 대상을 달리한 다른 자료도 있다. 상위 열 개 회사의 2021년부터 2025년까지 201건 가운데 보상이 이뤄지지 않은 것이 103건, 절반이 넘는다.²²

회사별로 보면 편차가 크다. 같은 기간 한 회사는 31건 가운데 22건을 보상했고, 다른 회사는 9건 가운데 1건을 보상했다.²² 2장에서 본 대로 문구는 거의 같은데 결과는 이렇게 갈린다.

처리에 걸린 기간도 다르다. 평균 7.9일인 회사가 있고 26일인 회사가 있다. 가장 오래 걸린 건은 장애가 난 지 185일 만에 지급됐다.²³

기록이 있어도 기록만큼만 인정된다

기록이 남았다고 끝이 아니다. 2025년 4월 한 증권사에서 이틀 동안 여섯 차례 주문이 마비된 일이 있었다. 한 투자자는 일곱 번에 걸쳐 나눠 팔려고 했으나 대부분 접수되지 않았다며 6,400만 원 손해를 주장했다. 회사는 전산 기록으로 확인되는 한 건에 대해서만 보상할 수 있다고 답했다.²⁴

이 사례가 보여 주는 것은 두 가지다. 하나는 기록이 자격이면서 동시에 한도라는 점이다. 다른 하나는 접수되지 않은 주문일수록 기록이 남지 않는다는 점이다. 여러 번 시도할수록 실패한 시도는 흔적 없이 사라진다.

같은 장애에서 회사는 민원 약 1만 8,000건을 받았고 석 달 뒤 그 가운데 97%를 보상했다고 밝혔다.²⁵ 다만 신청한 사람이 몇 명이고 그중 몇 명이 인정받았는지를 연도별로 집계한 자료는 어디에도 공표되지 않는다. 국회에 제출되는 자료조차 장애 건수와 배상 건수까지만 담고 있다.

분쟁조정으로 가는 길도 좁다

회사와 이야기가 되지 않으면 분쟁조정이나 소송으로 간다. 그런데 이 길도 넓지 않다. 자본시장연구원이 집계한 바로는 금융투자 분야에서 분쟁조정으로 배상 결정이 난 것이 2010년부터 2024년 6월까지 70건이다.²⁶ 15년 동안 70건이면 한 해 다섯 건이 되지 않는다.

이 가운데 전산장애 건이 몇 건인지는 확인하지 못했다. 전산장애를 다룬 분쟁조정 결정 사례도 확인하지 못했다. 금융감독원은 전산장애 피해에 대해 증권사가 각자의 내부 규정을 적용해 보상하도록 하고 있다고 밝힌 바 있다.²²

제재는 배상과 이어지지 않는다

장애가 나면 감독당국이 제재를 하기도 한다. 다만 제재와 배상은 다른 길이다. 2021년부터 2025년 9월까지 전산장애 431건 가운데 제재로 이어진 것은 6건이고 과태료는 모두 합쳐 약 3억 9,000만 원이다.²⁷

제재는 회사가 시스템을 안전하게 관리할 의무를 지켰는지를 묻는 것이지, 투자자에게 얼마를 물어 주라는 것이 아니다. 미국에서 배상이 제재 안에 들어가 있는 것과 이 지점이 다르다.

회사가 들어야 하는 보험은 10억 원이다

배상 재원과 이어진 규정도 하나 있다. 법에 따른 배상 책임을 지키기 위해 회사는 보험에 들거나 준비금을 쌓아야 한다. 자산 2조 원이 넘는 금융투자업자의 최저 보상 한도는 10억 원이다. 5억 원에서 오른 값이고 2026년 2월 5일부터 적용됐다.²⁸

2025년 4월 장애를 겪은 한 회사는 배상책임보험 한도가 5억 3,800만 원인데 보상 예산을 최대 30억 원으로 잡았다고 알려졌다.²⁵ 한도가 실제 피해 규모에 미치지 못한다는 뜻이다.

움직임이 없었던 것은 아니다. 2023년 11월 감독당국과 금융협회들이 함께 「금융IT 안전성 강화 가이드라인」을 냈고, 2025년 2월 전자금융감독규정이 크게 바뀌었다. 사고 보고 조항이 옮겨지고 보험 한도가 올랐다. 2026년 1분기부터는 증권업계 통합 업무연속성계획이 순차로 적용된다.²⁹ 그 뒤로 다섯 가지가 그대로 남아 있다.

하나. 주문 미전송 사례의 표준 입증 절차가 없다

접속 기록과 보유내역만으로 의도한 주문을 어느 범위까지 인정할지 정한 업계 공통 절차는 확인되지 않았다. 회사가 장애 시간대 접속자를 확인해 먼저 알리는 표준 절차도 확인되지 않았다.

둘. 업계 공통 기준이 없다

보상 기준의 문구는 서로 닮았지만 어느 것도 공식 기준이 아니다. 표준약관에도 전산장애 배상 조항이 없고 모범규준도 확인되지 않는다. 같은 문구를 적용하는 주체가 회사 자신이고, 그 결과가 4장에서 본 편차다.

셋. 신청과 인용 통계가 없다

장애 건수와 배상 건수는 국회의원이 요구할 때만 나온다. 요구한 사람마다 기간과 대상이 달라 값이 서로 맞지 않는다. 몇 명이 신청해 몇 명이 받았는지는 어느 자료에도 없다. 이 숫자가 없으면 기준이 좁은지 넓은지 판단할 근거가 없다.

넷. 신청 기한이 정해져 있지 않다

회사가 결과를 통지해야 하는 기한은 대체로 적혀 있다. 그런데 투자자가 언제까지 신청해야 하는지를 정해 둔 회사는 확인하지 못했다. 기한이 없으면 늦게 알게 된 사람이 어떻게 되는지도 정해져 있지 않다.

다섯. 제재와 배상이 따로 간다

제재는 안전성 확보 의무를 지켰는지를 묻고, 배상은 회사와 투자자 사이의 일로 남는다. 감독당국이 손해액을 계산해 지급을 명령하는 장치는 없다.

이 다섯의 공통점이 있다. 넷은 절차와 기록에 관한 것이고, 다섯째만 누가 계산하느냐에 관한 것이다. 그리고 다섯째가 바뀌지 않으면 앞의 넷을 고쳐도 기록이 없는 사람은 여전히 남는다.

읽는 사람이 할 일

금융회사가 할 일

첫째, 장애 시간대에 접속을 시도한 사람에게 먼저 알린다. 접속 시도는 서버에 남는다. 주문까지 가지 못했더라도 그 시간에 앱을 열려고 한 사람이 누구인지는 회사가 안다. 그 사람들에게 장애 사실과 신청 방법을 먼저 보내면 된다.

둘째, 전화 주문 통로의 수용량을 장애 규모에 맞춰 둔다. 지금 기준에서 기록을 남길 유일한 길이 전화다. 그 통로가 막히면 기준 자체가 작동하지 않는다.

셋째, 신청 기한을 정해 공개한다. 결과를 통지하는 기한만 있고 신청하는 기한이 없으면 늦게 안 사람이 어떻게 되는지 알 수 없다.

당국이 할 일

첫째, 장애 통계를 정기적으로 공표한다. 확인되는 마지막 정기 발표가 2023년 상반기분이다. 일본은 해마다 건수와 원인을 공표하고, 호주도 산업 전체 집계를 공개한다. 회사별 건수와 배상 실적을 국회를 거쳐야만 볼 수 있는 상태는 시민이 스스로 판단할 근거를 주지 않는다.

둘째, 신청 건수와 인용 건수를 함께 집계한다. 장애가 몇 건이었는지보다 신청한 사람 가운데 몇 명이 받았는지가 기준의 넓이를 보여 준다. 지금은 그 숫자가 없다.

셋째, 기록이 없는 사람을 어떻게 다룰지 정한다. 접속 기록만으로 주문 의사를 어디까지 인정할지, 아니면 아예 인정하지 않을지를 정해 두면 회사도 투자자도 다투지 않는다. 지금은 정해져 있지 않아 회사마다 다르게 판단한다.

아직 정해지지 않은 것

전산장애로 인한 투자자 손해 배상을 직접 다루는 법 개정안은 확인되지 않았다. 국회에 나와 있는 전자금융거래법 개정안은 사고를 예방하고 제재를 강화하는 쪽에 있다.³⁰

무엇을 보면 알 수 있는가. 두 가지다. 하나는 금융감독원의 전자금융사고 정기 공표가 다시 이어지는지다. 다른 하나는 업계 공통의 보상 기준이 협회 규약이나 감독 지침으로 나오는지다. 둘 중 하나라도 생기면 기준이 회사 안에만 있던 상태가 바뀐다.