01

먼저 알아둘 결론

전자상거래 결제대행사가 은행에서 발급한 보안카드나 OTP를 본인확인에 이용한다는 이유만으로 곧바로 전자금융거래법 위반이 되는 것은 아니라는 회신입니다. 다만 접근매체의 사용·관리 의무를 지킨다는 조건이 붙습니다.[1] 이 답은 특정 결제창이 안전하다고 인증한 것이 아니며, 모르는 사람이 요구하는 보안정보를 전달해도 된다는 허용도 아닙니다. 어떤 주체가 어떤 결제를 처리하는지부터 확인해야 합니다.

02

질문은 두 가지였습니다

첫째는 온라인 계좌이체 방식의 지급결제대행, 즉 계좌이체 PG가 당시 감독규정상 일회용 비밀번호 의무가 적용되는 전자자금이체 거래인지였습니다. 둘째는 PG업자가 결제 단계에서 은행이 발급한 보안카드나 OTP를 본인확인 수단으로 요구하여 이용할 수 있는지였습니다.[1] 자금의 움직임을 분류하는 문제와 다른 기관이 발급한 인증수단을 사용하는 문제를 나누어 물은 것입니다.

03

당시 PG의 역할을 어떻게 봤나요?

금융위원회는 구매와 결제가 연속적으로 진행되는 해당 거래에서 PG사가 자금이체의 당사자가 아니라 은행 등과 연계하여 지급결제정보를 중계하고 정산을 대행한다고 설명했습니다. 이를 근거로 당시 전자금융감독규정 제34조제1항의 전자자금이체 거래에 해당하지 않는다고 답했습니다.[1] 모든 계좌이체나 모든 결제업자의 업무가 법상 전자자금이체가 아니라는 선언으로 넓혀 읽어서는 안 됩니다.

04

다른 기관의 인증수단 이용은 조건부였습니다

회신은 전자금융거래법이 다른 기관에서 발급한 접근매체를 선정하여 사용·관리하는 행위 자체를 제한하지 않는다고 설명했습니다. 그래서 법 제6조 등의 의무를 준수하면 은행의 보안카드나 OTP를 본인확인 수단으로 이용하는 것 자체는 위법하지 않다고 했습니다.[1] 현행 제6조도 금융회사와 전자금융업자가 접근매체를 사용·관리하면서 이용자의 신원, 권한, 거래지시 내용을 확인하도록 정합니다.[2]

05

지금의 인증 의무는 현행 규정을 확인합니다

이 답은 2015년의 구체적 규정과 거래 구조를 전제로 합니다. 확인한 현행 감독규정 제34조의2는 거래의 종류·성격·위험수준 등을 고려하여 안전한 인증방법을 사용하도록 정하고 있으며 2025년 신설된 조항입니다.[3] 따라서 옛 회신에서 특정 OTP 의무 대상이 아니라고 했다는 이유만으로 오늘의 PG 결제에서 인증을 모두 생략해도 된다고 볼 수는 없습니다. 현재의 보안 의무와 실제 서비스 절차를 함께 확인해야 합니다.

06

이용자가 결제창에서 살필 점

상품을 구매하던 정상적인 결제 흐름인지, 표시된 결제대행사와 거래 금액·가맹점이 맞는지 확인하세요. 인증을 요구하는 이유가 불분명하면 결제를 멈추고 금융회사나 결제대행사의 공식 문의 경로로 확인하는 편이 좋습니다. 법이 정한 조건부 이용과 전화·메신저로 접근매체를 넘기라는 요구는 다른 상황입니다. 현행법에는 접근매체의 양도나 범죄 목적의 대여 등 금지행위도 있으므로 인증수단을 타인에게 맡기는 근거로 이 회신을 사용해서는 안 됩니다.[2]

07

분쟁에 활용할 범위

모르는 결제가 발생했다면 은행 출금 내역과 쇼핑몰 주문·PG 승인 내역, 인증 시점과 당시 화면을 나누어 정리하세요. 어느 회사가 어떤 확인과 처리를 맡았는지 파악하는 데 도움이 됩니다. 이 회신은 특정 피해의 배상책임이나 모든 PG사의 인증방식을 심사한 결과가 아닙니다.[1] 결제대행사의 업무 분류와 인증수단의 적법한 사용 조건을 설명하는 자료로 활용하되, 현재 서비스의 안전성과 책임은 실제 거래기록과 현행 규정으로 확인해야 합니다.

함께 읽기

주요 금융법령해석 전체 목록금융제도로