보이스피싱 피해자가 가장 먼저 묻는 것은 은행이 얼마를 물어 주느냐이다. 답은 돈이 빠져나간 방식에 따라 다르다. 남이 본인 몰래 인증수단을 써서 빼 간 돈과, 본인이 속아서 직접 보낸 돈은 서로 다른 규칙을 탑니다.

법률은 앞의 경우에 금융회사가 손해를 물어 주는 것을 원칙으로 둔다.¹ 예외도 있다. 본인에게 중대한 과실이 있고 약관에 미리 적어 두었다면 손해의 전부나 일부를 본인이 집니다.² 법률은 이 '일부'가 몇 %인지 적지 않았다.

이 보고서는 은행 몫을 실제로 정하는 규칙이 어느 층에 있는지를 묻다

2024년 1월부터 16개월 동안 은행권 자율 기준으로 배상을 받은 사람은 41명이었다. 한 사람이 평균 412만원을 받았고, 이는 잃은 돈의 약 18%였다.³ 2023년 보이스피싱 피해자 한 사람이 잃은 돈은 평균 1,700만원이었다.⁴

이 보고서는 피해 1,000만원 한 건을 지금 적용되는 네 규칙에 차례로 넣다. 법률의 원칙, 법률의 예외, 자율 기준의 공표 실적, 사기 계좌에 남은 돈을 나누는 환급 산식이다. 그다음 그 몫이 왜 그렇게 갈리는지, 누가 규칙 밖에 서 있는지를 본다.

한국 은행권 자율 기준은 명의 도용만 받는다. 16개월 동안 배상 신청은 433건, 돈을 받은 사람은 41명이었다. 신청 100건에 9.5명꼴이다.³ 두 나라의 비율은 모집단이 달라 빼서 격차를 재지 않고 <표 2>에 나란히만 둔다.

물어 줄 몫을 정하는 자리에 물어 주는 쪽이 앉아 있다

은행은 배상할수록 손실을 본다. 그 기준은 금융감독원과 은행권이 2023년 10월 협약으로 만들었고, 19개 은행이 참여했다.⁹ 감독당국은 법을 고치지 않고 빨리 시행할 수 있었고, 은행은 그 자리에 함께 앉았다. 피해자는 그 자리에 없다.

기준 당사자들의 공지는 물어 줄 금액이 없을 수도 있다고 밝힙니다.¹⁰

법률이 비율을 비워 두자 실제 몫은 협약과 소송이 정했다

본인 부담 예외는 고의나 중대한 과실이 있고 그 내용이 약관에 미리 적혀 있을 때만 적용된다.² 시행령은 중대한 과실을 네 가지로 좁혔다. 인증수단이나 보안수단을 남에게 넘기거나 노출한 경우, 추가 보안조치를 거부한 경우이다.¹¹

법률이 본인 몫을 정하지 않자 그 몫은 두 곳에서 정해집니다. 자율 기준을 쓰면 금융회사가, 다투면 법원이 정한다. 서울중앙지방법원은 2023년 명의가 도용된 대출 사건에서 금융회사 책임을 50%로 정했다. 본인 확인이 부족했고 이상 징후도 살피지 않았다고 봤다.¹²

규칙은 속아서 직접 보낸 돈을 배상 밖에 두었다

법률의 배상 원칙은 인증수단이 위조되거나 남이 몰래 쓴 사고에 붙는다. 속아서 직접 지시한 이체는 여기에 들지 않는다. 자율 기준도 같은 선을 그었다. 금융위원회는 이 기준의 배상 대상을 "비밀번호 위·변조에 따른 제3자 송금·이체"로 적었다.¹³ 연구소는 규칙이 피해의 크기가 아니라 누가 이체를 지시했는지로 배상을 갈랐다고 본다.

영국은 자율에서 의무로 바꾼 뒤 돌려준 비율이 올랐다

영국도 업계 자율 규약으로 시작했다. 2024년 10월 의무로 바꾼 뒤 돌려준 비율은 68%에서 86%로 올랐다. 비용은 보낸 쪽과 받은 쪽 금융회사가 절반씩 나눠 집니다.¹⁴ 연구소는 이 설계가 받는 계좌 관리까지 책임 안으로 끌어들였다고 본다.

지금 규칙은 네 층에 나뉘어 있다

배상 원칙과 예외는 법률에, 과실 범위는 시행령에, 그 근거는 약관에 있다. 비율은 자율규제인 책임분담기준이 정한다.¹⁰

같은 1,000만원을 잃은 사람을 돈이 빠져나간 방식으로 나누면 두 집단이 나온다. 남이 몰래 빼 간 사람과 본인이 속아서 보낸 사람이다. 앞 집단은 법률과 자율 기준에 환급 절차까지 세 길이 있고, 뒤 집단은 환급 절차 하나뿐이다.

2023년 금융감독원 집계에서 주요 사기유형 가운데 비중이 가장 큰 것은 대출빙자형으로 35.2%였다. 가족·지인을 사칭한 메신저피싱은 33.7%, 정부기관 사칭형은 31.1%였다.⁴ 세 유형을 더하면 100%가 된다. 이 가운데 대출빙자형과 정부기관 사칭형을 합치면 66.3%로, 셋을 통틀어 3분의 2에 해당한다. 연구소는 이 두 유형이 피해자가 속아서 직접 돈을 보내게 하는 수법이 중심이라고 본다. 유형별로 직접 이체가 얼마인지는 공표 자료로 확인하지 못했다.

제2금융권 피해자도 2025년 1월 사고부터 같은 기준을 쓸 수 있다. 두 곳의 공지 모두 본인이 직접 지급지시한 거래를 제외 대상으로 적었다.¹⁰ 다만 제2금융권의 배상 실적은 1차 자료로 확인하지 못해 은행권과 나란히 두지 않았다.

은행권에 상담을 청한 2,244건 가운데 배상까지 간 사람은 41명이었다. 상담 100건에 2명꼴이 안 된다.³ 연구소는 규칙이 답하지 않는 곳을 셋으로 본다.

피해자는 자기 사건에 몇 %가 적용될지 미리 알 수 없다

기준 당사자의 공지는 판단 요소만 적고 비율은 적지 않았다.¹⁰ 금융감독원은 2025년 5월 기준을 고치고 처리 기한을 새로 두겠다고 밝혔다. 시행은 그해 3분기 중으로 예정했다.³ 고친 기준의 시행일과 기한 일수는 확인하지 못했다. 결과가 나오기까지 통상 3개월 이상 걸린다는 안내가 있다.¹⁰ 비율을 모르면 피해자는 소송과 분쟁조정 가운데 어느 쪽이 나은지도 가늠하기 어렵다.

직접 보낸 돈의 회수는 사기 계좌에 남은 돈에 달려 있다

법률은 피해자가 지급정지를 신청하면 금융회사가 사기 의심 계좌를 즉시 멈추게 한다. 금융감독원 공고 뒤 2개월이 지나면 명의인의 권리가 사라지고, 14일 안에 환급금을 정한다. 남은 돈이 모자라면 피해자들이 각자 잃은 돈의 비율대로 나눕니다.¹⁵ 2023년에는 피해금 1,965억원 가운데 652억원이 돌아갔고 1,313억원은 돌아오지 않았다.⁴ 2024년 이후 환급 비율은 1차 자료로 확인하지 못했다.

국회에 있는 배상 법안도 금액의 테두리를 시행령에 맡깁니다

속아서 보낸 돈까지 금융회사가 일정 범위에서 물어 주게 하는 법안이 2025년 12월 23일 발의됐다.¹⁷ 금융위원회는 2026년 9월 2일에도 개정안이 "신속히 국회를 통과하도록 노력"하겠다고만 적었다.⁵ 두 매체는 최대 5,000만원까지 배상하는 안이 논의 중이라고 전했다(2차).¹⁸ 법안이 통과해도 피해자가 받을 몫은 시행령에서 다시 정해집니다. 2026년 3월 통과한 환급법 개정은 가상자산을 환급 대상에 넣었고 금융회사 배상은 다루지 않았다.¹⁹

은행 몫을 정하는 방법을 여섯 갈래로 나눠 견줍니다. 갈래마다 바꾸는 주체와 규범의 층위가 다르고, 층위가 낮을수록 빨리 바꿀 수 있는 대신 쉽게 되돌아갈 수도 있다.

읽는 사람이 할 일

금융회사가 할 일

금융권은 책임분담기준의 비율 구간과 심사 요소를 신청 안내 화면에 공개할 수 있다. 자율규제 층위의 일이라 법을 고치지 않고 협약만 바꿔도 된다. 신청·심사·배상 건수와 배상 비율을 해마다 같은 양식으로 공표하면 제도가 얼마나 쓰이는지 누구나 셀 수 있다.

당국이 할 일

금융감독원은 2025년 5월 발표한 기준 개정과 처리 기한의 적용 시점을 공표해야 한다. 협약을 고치는 수준이라 몇 달 안에 할 수 있다. 속아서 보낸 돈의 배상은 국회가 법률로 정할 일이고, 금액 테두리와 분담 방식은 시행령에서 정해집니다.¹⁴

아직 정해지지 않은 것

배상 법안의 금액 테두리와 면책 사유의 범위, 시행 전 사고에 적용할지는 아직 정해지지 않았다. 국회 의안정보시스템의 소위원회 심사 결과와 금융위원회의 시행령 입법예고에서 방향을 알 수 있다.