보이스피싱에 속아 보안정보를 넘겼다면 은행이 항상 배상하나요?

먼저 알아둘 결론

보이스피싱 피해를 당했다는 이유만으로 금융회사의 배상책임이 언제나 인정되는 것은 아닙니다. 법이 정한 사고와 약정, 이용자의 고의·중대한 과실 등이 함께 판단됩니다. 이 사건에서는 중요한 보안정보를 모두 노출한 경위 등을 들어 금융회사의 면책을 인정했습니다.[1]

반대로 정보를 입력한 피해자는 모두 중과실이라는 판결도 아닙니다. 수법과 이용자의 상황을 구체적으로 살펴야 한다는 판단 기준을 함께 담고 있습니다.

2012년 범인이 검사를 사칭해 피해자를 가짜 기관 사이트로 유도했습니다. 피해자는 계좌·카드 정보와 비밀번호, 보안카드 관련 정보 등을 입력했습니다. 범인은 이를 이용해 당시의 공인인증서를 재발급받고 대출 등을 실행한 뒤 돈을 다른 계좌로 옮겼습니다.[1]

피해자는 금융회사에 손해배상을 청구했습니다. 이 글은 그 배상책임 사건을 다루며, 별도 대출계약의 효력을 모두 판단한 사례로 소개하지 않습니다.

대법원은 사고가 일어난 경위, 위조 등의 수법, 그 수법에 대한 일반인의 인식, 이용자의 직업과 금융거래 경험 등 여러 사정을 고려해야 한다고 했습니다.[1]

그 사건에서는 이상한 전화라고 생각한 사정이 있었고, 인터넷뱅킹 이용경험이 있으면서 인증서 발급에 필요한 정보를 모두 알려준 점 등을 함께 보았습니다. 특정 나이나 직업만으로 중과실이 된다고 정한 것은 아닙니다.

현행 전자금융거래법 제9조는 일정한 전자금융사고에 대한 회사 책임과 예외를 정합니다. 이용자의 고의·중과실에 따른 책임부담은 사전 약정 및 시행령이 정한 범위 안에서 약관에 기재된 내용 등 법적 조건을 확인해야 합니다.[2][3]

가벼운 부주의와 중대한 과실을 같게 취급하면 안 됩니다. 또 회사가 전부 또는 일부 책임을 면하는 범위도 개별 사고와 적용 규정에 따라 판단해야 합니다.

피해자는 회사가 재발급 알림을 보내지 않은 점도 주장했습니다. 그러나 법원은 당시 서비스 신청과 사고의 인과관계 등을 보아 그 주장을 받아들이지 않았습니다.[1]

이는 오래된 공인인증서와 해당 서비스 조건을 다룬 판단입니다. 오늘날 금융회사가 모든 인증수단 재발급을 통지할 필요가 없다는 일반적인 안내로 사용해서는 안 됩니다. 사고 당시 제도와 실제 보안 절차를 별도로 확인해야 합니다.

상대가 기관을 사칭하더라도 비밀번호나 인증에 필요한 정보를 요구하는 연락에는 응하지 말고, 해당 금융회사의 공식 연락 경로에서 사실을 확인하는 것이 좋습니다. 이미 정보를 넘겼다면 회사에 신속히 알려 필요한 차단 조치를 요청하세요.

피해 뒤에는 통화·메시지, 접속 경위, 입력한 정보, 회사에 알린 시점, 인증과 거래 알림 내역을 보존해야 합니다. 결과만 보고 자책하거나 배상을 단정하기보다 구체적인 사실관계를 정리하는 것이 중요합니다.

대법원은 피해자의 상고를 모두 기각했습니다. 이 사건 정보 노출을 중과실로 보고 금융회사들의 전부 면책 주장을 받아들인 원심을 유지했습니다.[1]

공식 전문과 현행 전자금융거래법·시행령을 대조했습니다. 과거 인증방식을 현재와 구분하고, 모든 피싱 피해자나 모든 금융회사에 같은 결론이 적용되는 것으로 확대하지 않았습니다.