전자금융사기 피해에 대한 적극적인 사법구제의 필요성

‘피싱’(phising)은 온라인상에서 계좌번호, 카드번호, 계좌비밀번호 등의 정보를 탈취하여 금원을 편취하는 범죄를 말하며. 그 방법에 따라 웹기반 피싱, 이메일 피싱, 메신저 피싱 등이 있다. ‘웹기반 피싱’은 웹사이트나 게시판에 주소를 게시하거나 팝업을 띄워서 피싱사이트에 연결되도록 하고 여기에 관련 정보를 입력하게 함으로써, ‘이메일 피싱’은 이메일에 피싱사이트 주소의 링크를 기재하여 이를 클릭하게 하고 위 사이트에 정보를 입력토록 해서 금융정보를 탈취하는 방법이다. 그리고 ‘메신저 피싱’은 해킹 등의 방법으로 메신저 ID와 패스워드를 알아내어 타인의 메신저 계정에 로그인한 후 메신저에 등록된 지인들을 상대로 “돈을 빌려 달라”는 등의 거짓 요청을 해서 금원을 편취하는 방법이다.²⁾

파밍(pharming)에서는 범죄자가 피해자의 PC나 스마트폰을 악성코드에 감염시켜 허위의 금융회사 사이트로 유도·접속케 한 후, 그 허위사이트를 정상사이트로 착각한 피해자로 하여금 자신의 계좌번호 등 금융정보를 입력케 한다. 그리고 해당 정보를 이용해 범죄자 자신이 피해자 명의의 공인인증서를 재발급받아 피해자 이름으로 대출을 받거나 그의 예금을 계좌이체 등에 의해 빼돌리게 된다. 파밍은 기술적 수단에 따라 윈도우즈 host 파일 변조방식, DNS 세팅 변경방식, 자동 프록시 설정(PAC) 기능 이용방식으로 나뉜다.³⁾

스미싱(Smishing)은 문자메시지(SMS)를 이용한 전자금융사기 수법으로서, 청첩장, 이벤트 당첨, 경찰 출석요구 등 다양한 문자 메시지를 전송하여 여기에 포함된 링크에 접속이 이루어지면, 피해자의 스마트폰에 악성코드나 악성 앱이 설치되고 이를 통해 피해자의 인증정보를 탈취하거나 직접 소액결제를 유도하는 범죄 수법이다.⁴⁾

메모리 해킹은 피해자의 PC메모리에 침투하여 피해자가 입력한 정보를 해킹하거나, 이체 상대방 계좌를 해커 자신 또는 제3자의 계좌로 조작하는 방식으로 돈을 빼돌리는 수법이다.⁵⁾ 피싱이나 파밍은 계좌나 공인인증서 비밀번호 등을 외부에서 빼내는 방법인 반면에, 메모리 해킹은 악성 프로그램을 설치하여 메모리에 있는 비밀번호를 탈취하거나(정보유출형), 범죄자가 지정하는 계좌 등으로 데이터를 변경·조작하는 방법(정보변조형)으로서 인터넷뱅킹 프로세스에 직접 개입한다는 데에 차이점이 있다.⁶⁾

스캠(scam)은 범죄자가 어느 기업의 이메일을 해킹한 다음, 그 기업의 거래상대방에게 대금 계좌번호가 변경되었다는 이메일을 보내어 그 변경된 계좌로 송금토록 함으로써 송금주체인 거래상대방으로부터 금원을 편취하는 범죄를 말한다. 나이지리아 스캠, 419 스캠 또는 이메일해킹 무역사기라고 부르기도 한다.⁷⁾

랜섬웨어(ransomware)는 컴퓨터 시스템에 저장된 문서·사진·동영상을 암호화한 다음에 암호를 풀어주는 조건으로 금전을 요구하는 범죄를 말한다. 기술적으로 보아 ① 크립토락커(CripToLocker), ② 레베톤(Reveton), ③ 심플록커(SimpleLocker)로 나눌 수 있다. ‘크립토락커’는 감염된 PC의 시스템 파일을 제외한 MS 오피스, 한글문서 파일, 압축파일, 동영상, 사진 등을 암호화한 다음 해당국가 언어로 작성된 txt.html 파일을 생성해 피해자의 PC에 게시하면서 금품을 요구하는 수법이고, ‘레베톤’은 거짓으로 법집행 기구의 경고문구를 표시하고 피해자가 법률을 어겨 PC 내 파일이나 소프트웨어의 사용이 제한된다고 경고하면서 금품을 요구하는 수법이다. 그리고 ‘심플록커’는 스마트폰의 파일을 암호화하고 금품을 요구한다는 면에서 모바일에 적용된 새로운 랜섬웨어 수법을 말한다.⁸⁾

악성 프로그램 설치, 피싱·파밍 사이트 개설 또는 이메일 유인에 의하여 피해자의 금융정보를 탈취하는 행위는 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣(이하 “정보통신망법”) 제48조, 제49조, 제49조의2 제1항을 위반하는 행위에 해당하고, 동법 제70조의2 내지 제72조에 따라 각 형사처벌의 대상이 된다.⁹⁾ 그리고 범죄자가 피싱·파밍 사이트를 제작하면서 정상사이트를 복사하여 일부 변경을 가하는 행위는 형법 제232조의2에서 정하는 사전자기록 등 특수매체 기록 변작죄에, 악성코드로 피싱·파밍사이트의 접속을 유도하는 행위는 형법 제314조 제2항의 컴퓨터등장애업무방해죄에 해당할 여지가 있다.¹⁰⁾

피해자로부터 탈취한 금융정보를 이용하여 금융기관의 시스템에 접속한 경우에는 정당한 권한 없이 정보통신망에 침입한 것으로서 정보통신망법 제48조 제1항의 위반에 해당될 수 있다. 한편, 컴퓨터 등의 전산장치는 착오의 주체가 될 수 없으므로 부정획득한 정보를 이용해 피해금을 이체시키는 행위를 사기죄로 처벌하기는 어렵겠지만, 금융기관의 입출금 사이트에 권한 없이 정보를 부정입력하여 처리케 함으로써 재산상 이익을 취득하는 행위에 해당하므로 형법 제347조의2의 ‘컴퓨터등 사용사기죄’로 처벌할 수 있을 것이다.¹¹⁾

그리고 보통 전자금융사기에서는 피해자의 예금을 차명계좌(대포통장)에 송금토록 함으로써 범행의 추적을 무산시키려는 시도를 하게 되는데, 이러한 목적으로 차명계좌 개설에 필요한 공인인증서를 양수도하거나 대여하는 행위는 전자서명법 제23조 제5항 위반죄에 해당한다(전자서명법 제32조 제4호). 그리고 공인인증서 이외에 명의대여자의 금융계좌와 비밀번호, 신분증 등을 범죄자에게 넘겨주는 행위도 접근매체의 양수도 행위로서 전자금융거래법 제6조 제3항 위반에 해당하고 이 역시 형사처벌의 대상이 될 수 있다(전자금융거래법 제49조 제4항).¹²⁾

전자금융거래법에서는 접근매체의 위·변조나 거래수행 과정에서 발생한 사고에 대하여 이용자의 고의·과실과 상관 없이 금융회사에게 손해를 배상할 책임을 지우고 있으며, 다만 이용자의 고의·중과실이 있는 경우로서 이용자와 사전약정을 체결한 경우나 기업간 거래의 경우에는 금융회사의 면책을 인정하고 있다(전자금융거래법 제9조). 이에 관한 자세한 내용은 다음 Ⅳ항에서 살펴보기로 한다.

전자금융사기 피해자들의 사후구제를 위해 2011년 9월부터 ｢전기통신금융사기 피해금 환급에 관한 특별법｣이 시행되고 있다. 동법에 따르면, 피해자는 피해금을 송금·이체한 계좌 또는 사기이용계좌를 관리하는 금융회사에 대하여 해당 계좌의 지급정지 등을 신청할 수 있고(동법 제3조 제1항), 신청을 받은 금융회사는 거래내역 등의 확인을 통하여 사기이용계좌로 의심할 만한 사정이 있다고 인정되면 해당 계좌의 전부에 대하여 지급정지 조치를 하여야 한다(동법 제4조 제1항). 또, 이와 같은 조치를 취한 금융회사는 금융감독원에 채권소멸절차를 개시하기 위한 공고를 요청하여야 하고, 금융감독원에서 이에 따른 공고 절차 등을 개시하면 공고일로부터 2개월 경과 시점에 사기이용계좌 명의인의 채권이 소멸한다(동법 제5조, 제9조 제1항).

금융감독원과 경찰청이 운영하고 있는 전자금융사기 방지 제도로는 전자금융거래제한, 지연인출제도, 전자금융사기 예방서비스, 개인정보노출자 사고예방시스템 등이 있다.¹³⁾ ‘전자금융거래제한 제도’는 전자금융사기로 인한 피해확산을 방지하기 위해 금융감독원이 지급정지 조치에 관한 사항을 통지받은 경우 해당 명의인을 전자금융거래제한 대상자로 지정하는 것이며, ‘지연인출제도’는 1회에 100만원 이상 금액이 송금·이체되어 입금된 경우 입금된 때로부터 해당금액 상당액 범위 내에서 30분간 자동화기기(CD/ATM기 등)를 통한 인출·이체가 지연되는 제도이다. 그리고 ‘전자금융사기 예방서비스’는 공인인증서를 재발급 받거나 타행 발급 공인인증서를 등록하는 경우 및 인터넷뱅킹을 통해 1일 100만원 이상 이체 하는 경우 OTP 사용, 2채널 인증 등 본인확인절차를 강화하는 내용이다. 또, ‘개인정보노출자 사고예방시스템’은 신분증 분실 등에 의해 노출된 개인정보를 타인이 이용해 명의를 도용하는 것을 방지하는 시스템으로서 위 시스템에 등록된 개인정보를 금융회사 간에 공유하여 본인확인과 관련된 사고를 예방하는 제도이다.¹⁴⁾

피고들(금융회사들)의 인터넷뱅킹서비스를 이용하여 오던 원고(피해자)는 2012. 3. 30. 자신을 서울지방검찰청 검사라고 사칭하는 범죄자의 전화에 속아 허위 대검찰청 인터넷사이트에 접속한 후 원고 자신의 주민등록번호, 휴대전화번호, 신용카드번호, 예금계좌번호, 각 비밀번호, 보안카드번호, 보안카드 비밀번호를 입력하였다. 그리고 위 범죄자는 같은 날 피해자가 입력한 금융정보를 이용하여 공인인증서를 재발급받은 후 현대카드 주식회사 등으로부터 대출서비스 등을 받아 그 자금을 다시 제3자 명의의 예금계좌로 송금하였다.

원심은, “이 사건 금융사고 당시에는 전화금융사기(보이스피싱)가 빈발하여 사회적인 경각심이 높은 상태였던 점, 피해자가 금융사고 당시 33세로서 공부방을 운영하는 등 사회경험이 있었고 1년 이상 인터넷뱅킹서비스를 이용하여 왔던 점, 피해자도 성명불상자로부터 001로 시작되는 국제전화를 받아 이상하였다고 생각한 점, 공인인증서 발급에 필수적인 계좌번호, 계좌비밀번호, 주민등록번호, 보안카드번호, 보안카드비밀번호를 제3자에게 모두 알려준 점 등”을 들어 피해자의 중과실을 인정함으로써 금융회사의 전부면책을 인정하였다.

대법원도, “전자금융거래법 제9조 등에서 말하는 (피해자의) 고의 또는 중대한 과실이 있는지 여부는 접근매체의 위조 등 금융사고가 일어난 구체적 경위, 그 위조 등 수법의 내용 및 그 수법에 대한 일반인의 인식 정도, 금융거래 이용자의 직업 및 금융거래 이용경력 기타 제반 사정을 고려하여 판단할 것”이라고 하며 원심의 결론을 수긍하였다.

2013년경 원고들(피해자들)은 인터넷 뱅킹 서비스를 이용하기 위해, 자신의 PC나 스마트폰이 악성코드에 감염된 줄 모르고 피고들(금융회사들)이 운영하는 인터넷 홈페이지에 접속하려고 하였다. 그 순간 악성코드에 감염된 컴퓨터 또는 스마트폰이 원고들을 허위 사이트로 유도·접속시켰고, 위 사이트에서는 ‘보안승급 또는 보안 관련 확인이 필요하다’는 메시지와 함께 원고들의 계좌번호 및 비밀번호, 보안카드 번호 등의 입력을 요구하였다. 이에 따라 원고들은 자신들의 금융정보를 입력하였고, 이렇게 금융정보를 탈취한 범죄자는 피고들의 인터넷 홈페이지에 접속하여 원고들 명의의 공인인증서를 재발급받은 후 이를 이용해 원고들의 계좌에서 제3자 명의의 계좌로 자금을 이체하였다.

1심 법원은 우선, 법 제9조의 입법취지는 ‘복잡하고 전문적인 특성을 지녀 원인규명이 어려운 전자금융사고에 대한 책임부담 원칙을 명확히 하고 이용자의 고의·중과실에 의하지 않은 전자금융사고로 인하여 이용자에게 손해가 발생한 경우 금융회사 또는 전자금융업자가 책임을 부담하도록 하기 위한 것’이라며 결국 위 규정이 금융회사 등의 ‘법정 무과실책임’을 인정한 것이라고 밝혔다. 그리고 타인의 정보를 부정하게 이용하여 공인인증서를 재발급받은 경우에도 전자금융거래법 제9조를 적용할 수 있다며 피고들에게 법 제9조에 따른 손해배상책임의 성립을 인정하였으나, 원고들의 나이나 사회경험, 인터넷뱅킹 이용경력이나 그 빈도, 피고들의 전자금융사기에 대한 경고나 안내문 게시 현황 등에 비추어 보면, 원고들이 보안카드 번호 전체를 입력하는 것은 매우 이례적인 일이고, 통상의 거래에서 금융기관이 보안카드 번호 전체를 요구하지 않는다는 사정을 충분히 인식하고 있었던 것으로 보여 원고들의 중과실이 인정된다고 하였다. 다만, 법에서는 이용자에게 중대한 과실이 있는 경우 그에게 손해배상책임의 ‘전부 또는 일부’를 지울 수 있음을 규정하고 있으므로 원고들의 중과실을 이유로 곧바로 피고들의 전부면책을 인정하긴 어렵고, 원고들도 어디까지나 정상적인 방법으로 홈페이지 접근을 시도하였다가 허위의 사이트로 유도된 점 등을 감안하면, 전화를 통해 기망 당하여 스스로 허위 사이트에 접속한 보이스 피싱 사례 등과 동일하게 보기 어려워, 결국 이 사건에서는 금융회사들이 손해의 일부에 대한 책임을 부담하여야 한다고 판단하였다.

2심 법원도 1심 법원과 거의 동일한 취지로 원고들의 중과실을 인정하였고 이에 따라 금융회사의 전부면책을 인정하였는데, 1심과 달리 면책의 범위를 일부로 제한하지 아니한 이유에 대해서는 특별한 설시를 하지 않았다. 그리고 대법원에서는 해당 사안에 대해 심리불속행 기각판결을 내림으로써 2심의 판결이 그대로 확정되었다.

파밍사기 판결의 1심 법원은 전자금융거래법 제9조에 따른 책임의 법적 성격에 대하여 “이 규정은 전자금융거래를 보호하기 위하여 금융기관 또는 전자금융업자에게 귀책사유가 없더라도 ‘접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고로 인하여 이용자에게 손해가 발생한 경우’에는 금융기관 또는 전자금융업자의 책임을 인정함으로써, 금융기관 또는 전자금융업자의 법정 무과실책임을 인정한 것이다”라고 판시하고 있으며, 전자금융거래법 입법예고 당시 제안자 역시 같은 입장을 취하였던 것으로 보인다(무과실책임설).¹⁹⁾

다만, 위 입법예고 이후 진행된 입법심사 과정 중에는 전자금융거래법 제9조의 입법취지를 ‘입증책임의 전환’ 규정이라고 설명하기도 하는바, 동법 제9조는 과실책임원칙을 배제한 것이 아니라 첨단기술을 바탕으로 한 사고유형이 증가함에 따라 피해자가 사고의 원인 및 귀책사유를 입증하는 것이 현실적으로 불가능하므로 최근의 입법경향을 반영하여 입증책임의 전환을 규정한 것이라고 해석한다(입증책임전환설).²⁰⁾

사실, 피해자의 고의·중과실이 있는 경우 금융회사가 면책되는 이상 전자금융거래법 제9조의 책임을 무과실책임으로 이해하든지, 입증책임의 전환 규정으로 이해하든지 그 결론에 있어 별다른 차이는 없을 것으로 생각된다. 하지만, 동법 제9조의 법적 성격은 무과실책임으로 보는 것이 논리적으로 더 정확한 해석이라고 생각되는바, 만약 동법 제9조를 입증책임 전환 규정이라고 본다면 금융회사가 입증해야 할 대상은 ‘금융회사의 고의·과실의 부존재’가 될 것이므로, 금융회사로서는 자신의 귀책사유가 없음을 입증하여 그 책임을 면할 것이지 법조항과 같이 ‘피해자들의 고의·중과실’을 입증하여 면책을 받을 것은 아니기 때문이다.

피해자들의 중과실을 인정하면서도 금융회사의 일부면책만을 인정한 파밍사기의 1심 판결에서는 아래와 같이 그 이유를 적시하고 있다.

“접근매체의 위조로 발생한 사고라도 이용자에게 중대한 과실이 있는 경우 이용자에게 그 손해배상 책임의 '전부 또는 일부'를 부담하게 할 수 있다. 따라서 이용자에게 사고 발생에 관하여 중대한 과실이 있다고 하더라도 금융기관이 그 책임을 곧바로 면한다고 할 수는 없다. ∼ (중략) ∼. 원고들의 이러한 잘못이 구 전자금융거래법 제9조 제1항 에서 정한 중대한 과실에 해당하더라도 이용자인 원고들에게 책임의 전부를 부담시킬 정도라고 볼 수 있는지, 책임의 일부만을 부담시킬 정도에 불과한지, 아니면 책임의 일부조차 부담시켜야 할 정도에도 미치지 못하는 것인지 문제된다. 결국 이용자들의 중대한 과실의 정도에 따라 이용자들이 부담할 책임의 존부와 범위를 개별적으로 결정하여야 한다. 이때 중대한 과실의 정도와 그에 따른 책임 부담의 범위에 관해서는 제3자에게 접근 매체의 사용을 위임한 경우, 제3자가 권한 없이 이용자의 접근매체를 이용하여 전자금융거래를 할 수 있음을 쉽게 할 수 있었음에도 불구하고 이용자가 접근매체를 노출한 경우, 공인인증서의 재발급 통지를 받고도 아무런 조치를 취하지 않은 경우 등으로 구분해서 살펴볼 필요가 있다.”

위 판결에서는 피해자의 중과실이 인정될 경우 그 정도를 살펴서 전부면책 내지 일부면책의 범위를 개별적으로 결정해야 하는 것으로 판시하고 있다. 이와 같은 하급심 법원의 해석 이외에도 전자금융거래법 제9조 제2항의 면책범위를 정하는 기준과 관련하여 아래와 같은 견해들이 존재한다.²⁸⁾

(i) 고의전부면책설 : 의정부지방법원 2013. 7. 12. 선고 2012가단50032 판결에서 명시적으로 밝힌 내용으로, 이용자의 고의가 인정될 경우에는 금융기관이 전부면책되나, 중과실의 경우에는 일부면책만이 허용된다는 견해이다.

(ii) 악의전부면책설 : 서울동부지방법원 2013. 9. 27. 선고 2012가단24812 판결에서는, 피해자의 과실이 악의에 준하는 정도이면 금융기관이 전부면책된다는 견해를 취하였다.

(iii) 면책약관기준설 : 금융회사와 피해자가 미리 체결한 약정에 따라 면책범위를 결정해야 한다는 견해로서, 금융회사와 피해자 간의 약정에 피해자의 고의·중과실이 있는 때에는 금융기관등의 책임이 면제된다고 규정되었으면 금융회사의 책임이 일부만 감경되는 것이 아니라 전부면제되는 것이고, 약정에서 일부감경의 가능성을 열어두고 있으면 일부면책이 인정된다는 것이다.²⁹⁾

사견으로는 위 하급심 판결과 같이 사안에 맞추어 개별적으로 면책범위를 결정하되, 다만 그 구체적인 판단은 ‘범죄 수법에 사용된 기술적 수단의 난이도와 복잡성’을 최우선적 기준으로 삼아야 할 것으로 생각한다. 그 자세한 논거는 관련 부분에서 후술하기로 한다.

민법 제470조는 ‘채권의 준점유자에 대한 변제는 변제자가 선의이며 과실 없는 때에 한하여 효력이 있다’고 규정하고 있으며, 대법원에서는 일관하여 예금통장과 비밀번호를 제대로 제시한 고객에 대한 예금지급을 준점유자에 대한 변제로서 적법한 변제라고 인정한다.³⁰⁾ 그리고 전자지급거래와 관련하여 진정한 이용자는 접근매체³¹⁾를 이용하여 금융기관에 대한 채권을 행사하므로 정확한 접근정보를 이용한 ‘무권한자’의 지급거래 지시를 따른 것은 예금통장과 도장, 비밀번호를 소지한 자에게 예금을 지급한 경우와 흡사하므로 민법상 채권의 준점유자에 대한 변제로 볼 수 있다는 견해가 있다(민법 제470조 적용설).³²⁾

그런데 전자금융거래법 제9조에서는 금융회사에 ‘별도의 손해배상책임’을 지우고 있는바, 이는 위 해석론과 같이 범죄자에 대한 은행의 지급이 채권의 준점유자에 대한 변제로서 그 효력이 있음을 전제로 한 것이라 볼 수 있다. 그러나 위조수표의 변제에 대해서는 채권의 준점유자에 대한 변제 법리를 적용할 수 없다는 대법원 판례³³⁾ 등을 고려할 때, 위변조한 접근매체에 의한 무권한 지급거래에 대해서 민법 제470조를 적용할 수 없을 것이며, 이러한 논리의 연장선상에서 보면 진정한 매체이긴 하나 이를 부정획득하여 사용한 경우에 대해서도 같은 해석을 할 수 있을 것이다. 특히, 관련 규정에 대한 전자금융거래법의 개정취지까지 고려하면 접근매체의 위변조나 부정사용의 경우 모두 채권의 준점유자에 대한 변제가 인정될 수 없다고 해석하는 것이 타당하다(민법 제470조 비적용설).