금융보안주간정보

Size: px

Start display at page:

Download "금융보안주간정보"

세창 신
8 years ago
Views:

1 [전자금융사고] 금융소비자 불법이체 사고 발생 시, 금융회사의 과실 판단기준 동향 및 금융소비자 대응방안 (V1.0) Future Policy Research Institute (FPRI) 민상식 / 개 요 o 최근 NH농협은행 텔레뱅킹 고객의 1억 2천여 만원 부정이체 사고 등 전자금융서비스 관련 금융소비자의 피해가 지속적으로 발생하고 있음 o 현재 금융회사의 책임을 명확히 규정하지 않아, 민사상 손해배상 또는 금융회사의 자발적 구제 이외에는 보상가능성이 낮음 o 전자금융서비스 관련 손해배상(민사소송) 판례분석 및 금융회사/금융 소비자 대응 방안을 정리하였음 금융회사의 책임범위 및 금융소비자의 어려움 o 이용자의 중과실에 대한 판단은 금융사고가 일어난 구체적인 경위, 수법의 내용, 수법에 대한 일반인의 인식정도, 금융거래 이용자의 직 업 및 금융거래 이용경력 등 기타 제반사정을 고려하여야 한다고 판 시하고 있음(대법원 ` 선고, 2013다86489) - 즉 일반인의 인식정도와 피해자의 개별적 인식을 함께 고려하고 있음 o 금융회사의 책임범위는 다음의 3가지로 한정하고 있음 (1) 접근매체 위변조 (2) 악성코드 등에 의한 사고 (3) 전자적 장치 또는 정보통신망의 침입에 의한 접근매체 탈취 (전자금융거래법 일부개정 ` , 시행 ` ) o 대부분의 민사소송에서 소송대리인이 선택하는 전략으로는 (1) 접근매체 위변조 사유로 금융회사의 책임에 의한 손해배상청구를 하고 있음 o (2) 악성코드에 의한 사고 계약체결 또는 거래지시 등의 전자적 전송이나 처리과정에서 발생한 사고 를 입증하기 위해서는 거래시 이용한 전자적 장치를 대상으로 포렌식을 수행하여 관련 악성코드의 존재 및 동작을 이용자가 증명해야 하는 어려움이 있음 o (3) 접근매체의 탈취 - 전자금융거래를 위한 전자적 장치 또는 정보 Copyrightc Future Policy Research Institute

방안을 정리하였음 금융회사의 책임범위 및 금융소비자의 어려움 o 이용자의 중과실에 대한 판단은 금융사고가 일어난 구체적인 경위, 수법의 내용, 수법에 대한 일반인의 인식정도, 금융거래 이용자의 직 업 및 금융거래 이용경력 등 기타 제반사정을 고려하여야 한다고 판 시하고 있음(대법원 `14

2 통신망에 침입하여 거짓이나 그밖의 부정한 방법으로 획득한 접근매 체의 이용으로 발생한 사고 - 공인인증서 등 접근매체의 유출이 많은 상황을 고려하여 개정이 되 었으나, 현재 이체거래시 추가적인 보안수단(보안카드, OTP 등)을 이용하여야 하며, 이는 이용자의 중과실 범위(전자금융거래법 시행 령 제8조 에 해당하므로 금융소비자에 유리하게 작용하기 어려움 전자금융거래법 입법취지 o 전자금융거래법 제9조 입법취지 - 전자금융거래는 복잡하고 전문적인 측성을 가지고 있어 이용자가 사고의 원인을 규명하기가 거의 불가능하므로 금융시스템을 제공하 는 금융기관이 이용자의 고의 중과실에 대한 입증책임을 부담하고, 이용자의 고의나 중과실이 없는 경우 금융기관이 전자금융사고의 위 험을 부담하여야 한다고 본다. 또한 이러한 입법내용은 과실책임원 칙을 위배한 것이 아니라, 첨단기술을 바탕으로 한 사고 유형이 증 가함에 따라 피해자가 사고의 원인 및 귀책사유 입증이 불가능하여 사실상 피해자 측에 손해가 모두 전가되는 경향이 증가하여 과실책 임원칙을 수정해 온 최근의 입법경향을 반영한 것이며, 전자금융거 래의 특성을 고려하여 입증책임의 전환을 규정한 것 [출처 : 미확보 자료 - 추가검토 필요] 정대익, 무권한 전자지급거래시 위험분배 원칙, 전자금융거래법 제 9조의 비판적 검토 - 경영법률학회 경영법률 제19집 제1호(2008) 34P 재정경제부 금융정책국, 전자금융거래법안 참고자료( , 34~37P) Copyrightc Future Policy Research Institute

또한 이러한 입법내용은 과실책임원 칙을 위배한 것이 아니라, 첨단기술을 바탕으로 한 사고 유형이 증 가함에 따라 피해자가 사고의 원인 및 귀책사유 입증이 불가능하여 사실상 피해자 측에 손해가 모두 전가되는 경향이 증가하여 과실책 임원칙을 수정해 온 최근의 입법경향을 반영한 것이며, 전자금융거 래의 특성을 고려하여 입증책임의 전환을 규정한 것

3 전자금융거래법 및 전자금융거래법 시행령(` 시행기준) Copyrightc Future Policy Research Institute

4 o 전자금융거래법[시행 ] [법률 제11814호, , 일부개정] - 제2조 제10호 용어정의(접근매체 관련) 제2조(정의) 이 법에서 사용하는 용어의 정의는 다음과 같다. <개정 , , , , > 10. "접근매체"라 함은 전자금융거래에 있어서 거래지시를 하거나 이용자 및 거래내용의 진실성 과 정확성을 확보하기 위하여 사용되는 다음 각 목의 어느 하나에 해당하는 수단 또는 정 보를 말한다. 가. 전자식 카드 및 이에 준하는 전자적 정보 나. 전자서명법 제2조제4호의 전자서명생성정보 및 같은 조제7호의 인증서 다. 금융회사 또는 전자금융업자에 등록된 이용자번호 라. 이용자의 생체정보 마. 가목 또는 나목의 수단이나 정보를 사용하는데 필요한 비밀번호 - 제9조 금융회사의 책임범위 확장(하선및파란색표기) 제9조(금융회사 또는 전자금융업자의 책임) 1금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 사고로 인하여 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다. <개정 > 1. 접근매체의 위조나 변조로 발생한 사고 2. 계약체결 또는 거래지시의 전자적 전송이나 처리 과정에서 발생한 사고 3. 전자금융거래를 위한 전자적 장치 또는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조제1항제1호에 따른 정보통신망에 침입하여 거짓이나 그 밖의 부정한 방법으로 획득한 접근매체의 이용으로 발생한 사고 2제1항의 규정에 불구하고 금융회사 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 경우에는 그 책임의 전부 또는 일부를 이용자가 부담하게 할 수 있다. <개정 > 1. 사고 발생에 있어서 이용자의 고의나 중대한 과실이 있는 경우로서 그 책임의 전부 또는 일부를 이용자의 부담으로 할 수 있다는 취지의 약정을 미리 이용자와 체결한 경우 2. 법인( 중소기업기본법 제2조제2항에 의한 소기업을 제외한다)인 이용자에게 손해가 발생 Copyrightc Future Policy Research Institute

금융회사 또는 전자금융업자에 등록된 이용자번호 라. 이용자의 생체정보 마.

5 한 경우로 금융회사 또는 전자금융업자가 사고를 방지하기 위하여 보안절차를 수립하고 이 를 철저히 준수하는 등 합리적으로 요구되는 충분한 주의의무를 다한 경우 3제2항제1호의 규정에 따른 이용자의 고의나 중대한 과실은 대통령령 1) 이 정하는 범위 안에서 전자금융거래에 관한 약관(이하 "약관"이라 한다)에 기재된 것에 한한다. 4금융회사 또는 전자금융업자는 제1항의 규정에 따른 책임을 이행하기 위하여 금융위원회가 정하는 기준에 따라 보험 또는 공제에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여 야 한다. <개정 , > [제목개정 ] 제10조(접근매체의 분실과 도난 책임) 1금융회사 또는 전자금융업자는 이용자로부터 접근매체의 분실이나 도난 등의 통지를 받은 때 에는 그 때부터 제3자가 그 접근매체를 사용함으로 인하여 이용자에게 발생한 손해를 배상할 책임을 진다. 다만, 선불전자지급수단이나 전자화폐의 분실 또는 도난 등으로 발생하는 손해 로서 대통령령 2) 이 정하는 경우에는 그러하지 아니하다. <개정 > 2제1항 및 제9조의 규정에 불구하고 다른 법령에 이용자에게 유리하게 적용될 수 있는 규정이 있는 경우에는 그 법령을 우선 적용한다. o 전자금융거래법 시행령[시행 ] [대통령령 제25532호, , 타법개정] - 이용자의 중과실 범위 확장(하선및파란색표기) 제8조(고의나 중대한 과실의 범위) 법 제9조제3항에 따른 고의나 중대한 과실의 범위는 다음 각 호와 같다 <개정 > 1. 이용자가 접근매체를 제3자에게 대여하거나 그 사용을 위임한 경우 또는 양도나 담보의 목적 으로 제공한 경우(법 제18조에 따라 선불전자지급수단이나 전자화폐를 양도하거나 담보로 제공한 경우를 제외한다) 2. 제3자가 권한 없이 이용자의 접근매체를 이용하여 전자금융거래를 할 수 있음을 알았거나 쉽게 알 수 있었음에도 불구하고 접근매체를 누설하거나 노출 또는 방치한 경우 3. 금융회사 또는 전자금융업자가 법 제6조제1항에 따른 확인 외에 보안강화를 위하여 전자금융 거래 시 요구하는 추가적인 보안조치를 이용자가 정당한 사유 없이 거부하여 법 제9조제1항 제3호에 따른 사고가 발생한 경우 4. 이용자가 제3호에 따른 추가적인 보안조치에 사용되는 매체 수단 또는 정보에 대하여 다음 각 목의 어느 하나에 해당하는 행위를 하여 법 제9조제1항제3호에 따른 사고가 발생한 경우 가. 누설 노출 또는 방치한 행위 나. 제3자에게 대여하거나 그 사용을 위임한 행위 또는 양도나 담보의 목적으로 제공한 행위 제9조(선불전자지급수단이나 전자화폐의 분실과 도난 책임) 법 제10조제1항 단서에서 "대통령 령이 정하는 경우"라 함은 선불전자지급수단이나 전자화폐의 분실 또는 도난의 통지를 하 기 전에 저장된 금액에 대한 손해에 대하여 그 책임을 이용자의 부담으로 할 수 있다는 취지의 약정이 금융회사 또는 전자금융업자와 이용자 간에 미리 체결된 경우를 말한다. <개정 > 1) 전자금융거래법 시행령 제8조 2) 전자금융거래법 시행령 제9조 Copyrightc Future Policy Research Institute

> [제목개정 2013.5.22.] 제10조(접근매체의 분실과 도난 책임) 1금융회사 또는 전자금융업자는 이용자로부터 접근매체의 분실이나 도난 등의 통지를 받은 때 에는 그 때부터 제3자가 그 접근매체를 사용함으로 인하여 이용자에게 발생한 손해를 배상할 책임을 진다.

6 o 금융회사의 책임범위 및 이용자의 중과실 범위 확장 관련 의의 - (금융회사 책임범위) 접근매체의 이용으로 발생한 사고 가 추가 되었으나, 접근매체만으로는 금융정보의 확인만 가능하므로 실질적인 금전적 피해는 발생하기 어렵기 때문에 책임범위의 확대로 보기 어려움 - (이용자 중과실 범위)이체거래 시 추가적인 보안조치에 사용되는 매체/ 수단/정보(보안카드, OTP 등)가 필요하며, 이를 누설하는 경우가 많아서, 이와 관련 대부분의 판례에서는 책임의 전부 또는 일부를 이용자의 부담 으로 판단하고 있음, 즉 보안카드 등의 관리는 이용자의 책임 으로 판단되고 있음 기타 관련 법규 정리 o 여신전문금융업법 제16조(신용카드회원등에 대한 책임) 1 신용카드업자는 신용카드회원이나 직불카드회원으로부터 그 카드의 분실 도난 등의 통지를 받은 때부터 그 회원에 대하여 그 카드의 사용에 따른 책임을 진다. 2 신용카드업자는 제1항에 따른 통지 전에 생긴 신용카드의 사용에 대하여 대통령령으로 정하 는 기간의 범위에서 책임을 진다. 3 제2항에도 불구하고 신용카드업자는 신용카드의 분실 도난 등에 대하여 그 책임의 전부 또 는 일부를 신용카드회원이 지도록 할 수 있다는 취지의 계약을 체결한 경우에는 그 신용카 드회원에 대하여 그 계약내용에 따른 책임을 지도록 할 수 있다. 다만, 저항할 수 없는 폭력 이나 자기 또는 친족의 생명 신체에 대한 위해( 危害 ) 때문에 비밀번호를 누설( 漏泄 )한 경우 등 신용카드회원의 고의( 故意 ) 또는 과실( 過失 )이 없는 경우에는 그러하지 아니하다. 4 신용카드업자는 제1항에 따른 통지를 받은 경우에는 즉시 통지의 접수자, 접수번호, 그 밖에 접수사실을 확인할 수 있는 사항을 그 통지인에게 알려야 한다. 5 신용카드업자는 신용카드회원 등에 대하여 다음 각 호에 따른 신용카드 등의 사용으로 생기 는 책임을 진다. 1. 위조( 僞造 )되거나 변조( 變造 )된 신용카드등의 사용 2. 해킹, 전산장애, 내부자정보유출 등 부정한 방법으로 얻은 신용카드등의 정보를 이용한 신 용카드등의 사용 3. 다른 사람의 명의를 도용( 盜用 )하여 발급받은 신용카드등의 사용(신용카드회원등의 고의 또 는 중대한 과실이 있는 경우는 제외한다) 6 제5항에도 불구하고 신용카드업자가 제5항제1호 및 제2호에 따른 신용카드등의 사용에 대 하여 그 신용카드회원등의 고의 또는 중대한 과실을 증명하면 그 책임의 전부 또는 일부를 신용카드회원등이 지도록 할 수 있다는 취지의 계약을 신용카드회원등과 체결한 경우에는 그 신용카드회원등이 그 계약내용에 따른 책임을 지도록 할 수 있다. 7 제3항 및 제6항에 따른 계약은 서면으로 한 경우에만 효력이 있으며, 신용카드회원등의 중 대한 과실은 계약서에 적혀 있는 것만 해당한다. 8 신용카드업자는 제1항 제2항 제5항 및 제17조에 따른 책임을 이행하기 위하여 보험이나 공 Copyrightc Future Policy Research Institute

도난 등의 통지를 받은 때부터 그 회원에 대하여 그 카드의 사용에 따른 책임을 진다. 2 신용카드업자는 제1항에 따른 통지 전에 생긴 신용카드의 사용에 대하여 대통령령으로 정하 는 기간의 범위에서 책임을 진다.

7 제( 共濟 )에 가입하거나 준비금을 적립하는 등 필요한 조치를 하여야 한다. 9 제5항제3호, 제6항 및 제7항에 따른 신용카드회원등의 고의 또는 중대한 과실의 범위는 대 통령령으로 정한다. 10 신용카드회원이 서면으로 신용카드의 이용금액에 대하여 이의를 제기할 경우 신용카드업자 는 이에 대한 조사를 마칠 때까지 그 신용카드회원으로부터 그 금액을 받을 수 없다. [전문개정 ] o 여신전문금융업법 시행령 제6조의9(신용카드회원에 대한 책임) 법 제16조제2항에서 "대통령령으로 정하는 기간"이란 같 은 조 제1항에 따른 분실ㆍ도난 등의 통지를 받은 날부터 60일 전까지의 기간을 말한다. [전문개정 ] 제6조의10(고의 또는 중대한 과실의 범위) 법 제16조제9항에 따른 고의 또는 중대한 과실의 범 위는 다음 각 호와 같다. 1. 고의 또는 중대한 과실로 비밀번호를 누설하는 것 2. 신용카드나 직불카드를 양도 또는 담보( 擔保 )의 목적으로의 제공하는 것 [전문개정 ] 전자금융서비스 침해사고 관련 손해배상 원칙 3) o 자신의 고의 과실이 있는 행위에 대해서만 책임 - 과실책임주의 : 고의 과실이 있는 행위 - 자기책임주의 : 타인의 행위에 대해서는 책임지지 않음 o 과실책임주의의 예외 - 실화책임법 : 중과실의 경우에만 - 증명책임의 완화 o 무과실 책임 - 위험원 지배에서 나오는 책임 - 과실책임주의의 피해자 구제가 불충분 부적절한 경우 [ 고려사항 ] (1) (책임소재 판단) 전자금융사고 관련 책임소재 판단 (1-1) 과실책임주의, 자기책임주의에 입각 접근매체(공인인증서)나 각종 비밀번호, 보안카드번호 등은 이용자 에게 관리책임이 있다고 봄(입증책임도 고객에 있음) 3) 해킹방지워크샵 금융보안 사고시 배상책임의 원칙과 한계, , 구태언 변호사 자료 참고 Copyrightc Future Policy Research Institute

] o 여신전문금융업법 시행령 제6조의9(신용카드회원에 대한 책임) 법 제16조제2항에서 "대통령령으로 정하는 기간"이란 같 은 조 제1항에 따른 분실ㆍ도난 등의 통지를 받은 날부터 60일 전까지의 기간을 말한다. [전문개정 2009.8.

8 => 이 경우 이용자의 중과실로 금융회사의 면책사유 인정 => (영향) 이용자의 피해가 늘고, 금융회사의 서비스 신뢰도 저하 (1-2) 과실책임주의의 예외 또는 무과실책임의 경우에 입각 이용자의 피해가 증가하고 있어, 금융회사가 무엇인가 잘못한 것으 로 보고 손해배상을 하여야 한다고 봄 또는 공인인증서의 재발급을 접근매체의 위변조로 판단(공인인증서 의 재발급에 필요한 정보유출은 과실로 판단하지 않음) => 이 경우 접근매체의 위변조로 보고 금융회사의 배상책임 인정 => (영향) 공인인증서 재발급 프로세스를 강화해야 함(대면으로), 이 경우 공인인증서 재발급 시 매우 불편해짐 (2) (향후추진방향) 위의 (1-1) 결과로 이용자 피해 증가, 금융회사 서비스 신뢰도 저하 및 (1-2) 결과로 금융회사의 손해배상 판결에 의한 배상금액 발생 은 결과적으로 다음과 같은 정책을 점진적으로 추진하여야 함을 알 수 있음 ` 대법원 선고(2013다86489)에서는 공인인증서 재발급과 관련하여 금융회사의 면책사유로 판결한바 있어 (1-2)의 리스크(Risk)는 크지 않음, 즉 (1-1)의 금융소비자 보호 및 금융서비스의 신뢰성 제고를 위해 다음의 정책 추진이 필요할 것으로 보임 (2-1) 인증 또는 추가보안확인절차 강화 (공인인증서 재발급 절차 강화, OTP 또는 거래연동 OTP이용 활성화 또는 의무화) (2-2) 지연이체시행 & 이체한도 감소 (이상거래탐지시스템이 도입되고 있어 이와 관련하여 금융회사의 충분한 대응시간이 필요) Copyrightc Future Policy Research Institute

손해배상 판결에 의한 배상금액 발생 은 결과적으로 다음과 같은 정책을 점진적으로 추진하여야 함을 알 수 있음 `14

9 전자금융서비스 침해사고 관련 과실판단 정리 o (불법이체 관련- 요약) `12년 이용자 승소 => `13년 이용자 일부 승소 (OTP이용시 이용자 승소) => `14년 이용자 패소(대법원 선고가 있었음) - 중요정보 유출시 이를 이용자의 중과실로 보는 대법원의 선고가 있 었음, 이는 향후 하급심 판결에 큰 영향을 미칠 것임 o (대출관련- 요약) 성명불상자에 의한 대출이 수반된 금융소비자 피해는 대부분 이용자의 대출의사가 확인되지 않은 것으로 보아 금융회사의 책임으로 판결되고 있음 Copyrightc Future Policy Research Institute

향후 하급심 판결에 큰 영향을 미칠 것임 o (대출관련- 요약) 성명불상자에 의한 대출이 수반된 금융소비자 피해는 대부분 이용자의 대출의사가

10 o 추가정리 필요 판례 : 2006다44791 o (` 선고, 원고패소) 4)5) - 엑셀프로그램을 이용하여 아이디, 계좌번호, 비밀번호, 보안카드 정 보 등을 기재하여 파일을 저장하여 두었다가 해킹당한 사례, 원고 (피해자)의 중과실 인정 - 판결(서울중앙지법 2006나15129 판결) - 원고패소 - 추가정보 정리필요 o (` 선고, XXXX) - 판결(대전지방법원 2009가단19983 판결) - XXXX - 추가정보 정리필요 o (` 선고, 원고승소) 공인인증서 재발급 중요정보 유출에 의한 공인인증서 재발급 = 접근매체 위변조 금융회사의 책임 100%로 판결 - ` 한국투자증권, 공인인증서 재발급으로 3천400만원 피해 - 원고(금융고객 유모씨)의 주장(요약) (1) (접근매체의 위변조에 의한 사고)접근매체인 공인인증서의 위조 나 변조로 발생한 사고이므로, 금융기관인 피고는 전자금융거 래법 제9조 제1항 에 의하여 이용자인 원고에게 그 손해를 배 상할 책임이 있다고 주장 - 피고(한국투자증권)의 주장(요약) (1) (접근매체의 위변조가 아님)부당하게 발급된 접근매체를 이용한 사고에 해당할 뿐 접근매체 자체의 위조나 변조에는 해당하지 않으므로, 위 조항에 따른 책임이 없다고 주장 - 판결(서울중앙지법 2011가단 판결, 판사 전기철) - 원고승소 (1) (전자금융거래법 입법취지)전자금융거래법 제9조 의 입법취지는 복잡하고 전문적인 특성을 지녀 원인규명이 어려운 전자금융사 고에 대한 책임부담 원칙을 명확히 규정하려는 것이고, 해킹, 4) 5) 전자금융거래법 제 9조에 따른 금융기관 등의 책임 하급심 판결을 중심으로, 강희주 변호사 Copyrightc Future Policy Research Institute

20 한국투자증권, 공인인증서 재발급으로 3천400만원 피해 - 원고(금융고객 유모씨)의 주장(요약) (1) (접근매체의 위변조에 의한 사고)접근매체인 공인인증서의 위조 나 변조로 발생한 사고이므로, 금융기관인 피고는 전자금융거 래법 제9조 제1항 에 의하여 이용자인 원고에게 그 손해를 배 상할 책임이 있다고 주장 - 피고(한국투자증권)의 주장(요약)

11 전산장애등 이용자의 고의 중과실에 의하지 아니한 전자금융사 고로 인하여 이용자에게 손해가 발생한 경우에는 금융기관 또 는 전자금융업자가 책임을 부담하도록 하려는 것에 있다( 국회 제정경제위원회 작성 전자금융거래법안 심사보고서 참조) (2) (공인인증서의 재발급을 접근매체의 위변조 인정) 전자금융거래 법 제9조 는 접근매체의 위조나 변조로 발생한 사고로 인한 손 해배상 책임을 금융기관 또는 전자금융업자가 부담하되, 사고 발생에 있어서 이용자의 고의나 중대한 과실이 있는 경우로서 그 책임의 전부 또는 일부를 이용자의 부담으로 할 수 있다는 취지의 약정을 미리 이용자와 체결한 경우 등에 한하여 책임의 전부 또는 일부를 사용자가 부담하게 할 수 있도록 규정하고, 전자금융거래법 시행령 제8조 는 이용자의 고의나 중대한 과실 을 접근매체를 제3자에게 대여, 그 사용을 위임, 양도나 담보의 목적으로 제공하거나, 접근매체를 누설, 노출, 방치한 경우로 한정하고 있다. 위조의 개념에 관하여 보건대, 위조란 넓게는 유형위조와 무형 위조를 포함하는데, 유형위조는 권한 없이 타인 명의의 문서를 작성하는 경우를, 무형위조는 권한 있는 자가 진실에 반하는 내용의 문서를 작성하는 경우를 말한다. 그리고 형법의 문서에 관한 죄에서 유형위조는 위조 라는 용어로, 무형위조는 작성 이라는 용어를 사용하고 있으며, 전자기록 등 특수매체기록에 대하여 위조 변조에 대응하는 개념으로 사용되는 위작 변작 이 란 시스템 운영주체의 의사에 반하여 권한 없이 또는 권한을 남용하여 전자기록을 작성하거나 변경하고, 허위내용의 전자기 록을 만드는 경우를 모두 포함하는 개념이다. 그렇다면, 이용자의 고의 중과실에 의하지 아니한 전자금융사 고의 책임을 금융기관 또는 전자금융업자가 부담하도록 하려는 전자금융거래법의 입법취지, 위조 변조의 개념은 넓은 의미로 해석될 수 있고 형법의 문서에 관한 죄에서도 용어만 달리할 뿐 넓은 의미의 위조 변조를 처벌하고 있는 점, 전자금융거래 법은 사고 발생에 있어서 접근매체의 관리에 이용자의 고의나 중대한 과실이 있는 경우에만 이용자가 책임을 부담하는 점 등 Copyrightc Future Policy Research Institute

수 있다는 취지의 약정을 미리 이용자와 체결한 경우 등에 한하여 책임의 전부 또는 일부를 사용자가 부담하게 할 수 있도록 규정하고, 전자금융거래법 시행령 제8조 는 이용자의 고의나 중대한 과실 을 접근매체를 제3자에게 대여, 그 사용을 위임, 양도나 담보의 목적으로 제공하거나, 접근매체를 누설, 노출, 방치한 경우로 한정하고 있다.

12 에 비추어 보면, 본조의 접근매체의 위조 의 개념은 유형위조 와 무형위조를 모두 포함하는 넓은 의미로 볼 것이고, 공인인 증서와 같은 특수매체의 경우에는 시스템 운영주체의 의사에 반하여 권한 없이 전자기록을 작성하거나 허위내용의 전자기록 을 만드는 경우도 포함하는 것으로 볼 것이다. 따라서 권한 없 는 성명불상자에 의하여 접근매체인 공인인증서가 부정하게 재 발급된 것은 시스템 운영주체의 의사에 반하여 권한없는 자의 신청에 의하여 공인인증서가 재발급되어 만들어진 것으로, 본 조의 접근매체의 위조 에 해당한다. 한편, 피고는 원고에게 접근매체의 보관상 중대한 과실이 있다 고 주장하고, 갑 4호증의 기재에 의하면 원고가 컴퓨터를 사용 하여 보안카드 코드표를 만들어 출력하여 소지한 사실은 인정 된다. 그러나 별도의 코드표를 만들어 소지하였다는 사정만으 로 원고가 접근매체를 노출 또는 방치한 경우에 해당한다고 보 기는 어렵다. 피고의 주장은 이유 없다. o (` 심 선고, 원고승소, ` 심 선고 원고패소)OTP 이용고객 피싱사기 피해 건 OTP 이용고객의 불법 이체사고 발생 시, 금융회사의 과실 없음 - ` 우리은행, 보이스피싱+피싱사이트 6) +OTP 정보유출로 3천 742만원 피해(통장잔액 및 롯데,신한,KB 카드론 및 카드현금서비스 3550만원) - 세부사항 : 피싱사이트를 통한 금융정보탈취(계좌번호, 계좌비밀번호, 신용카드 카드3종 번호 및 CVC 번호 등) 이후 해커에 의해 공인인증서 재발급 및 OTP이용고객의 경우임 - 원고(금융고객 우모씨, 계좌개설)의 주장(요약) (1) (전자금융거래법상 금융기관의 책임)공인인증서 재발급 및 OTP 이용고객이며, 이는 접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고이므로, 금융기관인 피고는 이용자인 원고에게 그 손해를 6) 피싱사이트 주소 : Copyrightc Future Policy Research Institute

한편, 피고는 원고에게 접근매체의 보관상 중대한 과실이 있다 고 주장하고, 갑 4호증의 기재에 의하면 원고가 컴퓨터를 사용 하여 보안카드 코드표를 만들어 출력하여 소지한 사실은 인정 된다. 그러나 별도의 코드표를 만들어 소지하였다는 사정만으 로 원고가 접근매체를 노출 또는 방치한 경우에 해당한다고 보 기는 어렵다. 피고의 주장은 이유 없다. o (`12.

13 배상할 책임이 있음 - 피고(우리은행)의 주장(요약) (1) (전자금융거래법상 이용자의 과실)OTP 단말기는 해킹은 불가능한 점 등에 비추어 보면 이 사건 사고는 원고가 접근매체인 공인 인증서 및 OTP 단말기를 도난 또는 분실함에 따라 발생한 것 (원고는 위 사고 발생 후 접근매체 분실 또는 도난통지), 피고는 전자금융거래법 제10조 제1항에 따라 원고에게 손해배상책임을 지지 아니함 설령 피고의 손해배상책임이 인정된다하더라도 원고에게는 이 사건 계좌번호와 계좌 비밀번호 4자리를 알려 줌으로써 공인 인증서 재발급 절차를 무사히 통과되도록 하는데 중대한 기여를 하는 등의 중과실 또는 과실이 있으므로, 원고의 위와 같은 중 과실 등을 참작하여 피고의 손해배상책임은 감면되어야 함 - 제1심 판결(` 선고 서울중앙지법 7) 2011가단 ) ) - 원고승소 중요정보 유출에 의한 공인인증서 재발급 = 접근매체 위변조 (1) (RSA사의 OTP관련 정보 유출사례 반영)국내에 사용되는 OTP 단말기의 일정 부분을 생산하는 미국 RSA사의 시스템이 경 해킹을 당하여 비밀번호를 만들어 주는 계산식 등이 유출 된 것으로 드러나는 등 해커들이 OTP 단말기를 소지하지 않고도 그 비밀번호를 알아낼 가능성이 전혀 없다고 단정하기 어려운 점 (2) (결론)접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에 발생한 것으로 봄이 상당 전자금융거래의 안전성과 신뢰성을 확보함과 아울러 전자금융업의 건전 한 발전을 위한 기반조성을 함으로써 국민의 금융편의를 꾀하고 국민경 제의 발전에 이바지함을 목적으로 하는 전자금융거래법의 입법목적에 비추어 보면 위와 같은 금융기관의 책임을 감면하는 요건은 엄격히 해 석하여야 하므로, 금융기관 등은 이용자에게 통상의 과실이 있다고 하 여 이를 근거로 그 책임의 감면 등을 주장할 수 없다고 보아야 함 7) 민사37단독 조중래 판사 8) 판결문 참고 원고소송대리인 소송대리인 법무법인 새빛 담당변호사 이성환, 지현철 피고소송대리인 법무법인 청와 담당변호사 박환택, 김준동, 박창수, 홍성필, 서태용, 김익환 Copyrightc Future Policy Research Institute

22 선고 서울중앙지법 7) 2011가단468047 8) ) - 원고승소 중요정보 유출에 의한 공인인증서 재발급 = 접근매체 위변조 (1) (RSA사의 OTP관련 정보 유출사례 반영)국내에 사용되는 OTP 단말기의 일정 부분을 생산하는 미국 RSA사의 시스템이 2011. 3.

14 - 제2심 판결(`13.4.4선고, 서울중앙지법 9) 2012단 ) ) - 원고패소 중요정보 유출에 의한 공인인증서 재발급 = 접근매체 누설, 노출한 경우에 해당 (이용자의 중과실 사유 인정) (1) (피고의 주장)계좌번호 및 비밀번호, OTP 단말기 비밀번호를 위 성명불상자에게 알려주는 등 이 사건 사고발생에 있어서 중대한 과실이 있고 이러한 경우 면책되는 것으로 약정하였으므로, 손해배상책임을 면한다는 취지 (2) (OTP단말기의 보안)OTP단말기 내에 저장된 시각정보, 이용자 에게 비밀키로 주어진 38자리의 숫자, 이를 조합하기 위한 수 학식, 이를 통해 연산되어 나온 숫자를 암호화하고 그 중 임의 의 6자리 숫자를 추출하는 프로그램이 있어야 OTP 단말기에서 생성된 비밀번호를 알 수 있는바, 이와 같은 정보는 OTP 단말 기, 인증 서버가 있는 피고 은행, OTP 통합인증센터가 있는 금 융보안연구원에만 보관, 그리고 사건 사고 과정에서는 위와 같 이 생성되는 6자리의 OTP 단말기 비밀번호 등이 정확히 입력 되어 정상적으로 금융거래가 이루어졌고, 12회의 OTP 단말기 비밀번호 입력 시 세 번의 오류만이 발생(OTP 단말기 비밀번호를 사용자가 알려준 경우를 제외하고는 OTP 단말기 비밀번호가 유출된 사 례가 발견된 바 없음)(OTP 단말기 제조업체인 ab 사( 社 )의 시스템이 해 킹당한 사례가 있으나, OTP 단말기의 발급은 피고 은행 등 금융기관에 서 하는 것이므로, 단말기 제조업체는 어떤 고객에게 어떤 비밀키가 들어 있는 단말기가 발급되었는지에 관한 정보를 알 수 없음) (3) (결론)OTP 단말기 비밀번호가 해킹 당하였다면 OTP 단말기 자 체, 피고 은행의 인증서버, 금융보안연구원 서버 중 어느 한 곳 에는 해킹한 기록이 남았을 것이라고 봄이 상당하고 그 피해는 원고만으로 끝나지, 않았을 것임에도, 위 각 서버에 해킹한 흔 적이나 OTP 단말기 비밀번호 유출로 인한 피해사례가 드러나지 않은 점, 원고는 위 성명불상자에게 OTP 단말기 비밀번호를 알 려준 것으로 보이는바, 위와 같은 사정들을 종합하면, 위와 같 은 원고의 행위는 제3자가 권한 없이 자신의 접근매체인 공인 인증서와 OTP 단말기 비밀번호를 가지고 전자금융거래를 할 수 9) 재판장 판사 이효두 판사 이현석 판사 곽윤경 10) 판결문 참고, 원고소송대리인 소송대리인 법무법인 새빛 담당변호사 이성환, 피고소송대리인 법무법인 지평지 성 담당변호사 우상윤, 구나영 Copyrightc Future Policy Research Institute

약정하였으므로, 손해배상책임을 면한다는 취지 (2) (OTP단말기의 보안)OTP단말기 내에 저장된 시각정보, 이용자 에게 비밀키로 주어진 38자리의 숫자, 이를 조합하기 위한 수 학식, 이를 통해 연산되어 나온 숫자를 암호화하고 그 중 임의 의 6자리 숫자를 추출하는 프로그램이 있어야 OTP 단말기에서 생성된 비밀번호를 알 수 있는바, 이와 같은 정보는

15 있음을 쉽게 알 수 있었음에도 이를 누설, 노출한 경우에 해당 된다. 원고의 청구는 이유 없으므로 기각 - 최종결과 : 금융회사 과실 없음 o (` 선고, 원고패소) 11) - 보안카드를 스캔하여 대외적으로 송신이 가능한 웹메일 계정에 보 관한 건, 원고(피해자)의 중과실 인정 - 판결(서울중앙지법 2012나26014 판결) - 원고패소 - 추가정보 정리필요 o (` 선고, 원고일부승소) 보이스피싱+피싱사이트+공인인증서재발급 사기관련 채무부존재확인건 12) [대출관련] 전자금융거래법 제5조(전자문서의 사용), 전자문서 및 전자거래기본법 제7조(작성자가 송신한 것으로 보는 경우) 원용 중요정보 유출과 관련하여 대출이 발생하는 경우, 대출을 해 주는 금융회사는 대출을 위한 의사확인을 면밀하게 체크할 필요가 있음(성명불상자에 의한 대출건은 대부분 대출의사 확인이 미비했다는 이유로 대출을 해준 금융회사의 책임으로 판결되고 있음) 본 판결의 경우 금융고객의 불법행위 방조과실 을 물어 대출금의 40%를 배상토록 함 최종결론 : 금융회사 과실 60% - `12.3 현대알프스저축은행, 비슷한 수법의 피해자 6명 소송제기(`12.8) - 세부사항1 : 사기범이 보이스피싱을 통해 피해자의 공인인증서 재 발급에 필요한 정보(성명, 주민번호, 공인인증서비밀번호, 신용카 드 번호 등)를 피싱사이트에 입력하게 한 다음, 공인인증서를 재 발급 받아 피해자 명의로 저축은행에서 600만원을 대출(이 과정에 서 휴대폰 인증번호를 보이스피싱으로 알아냄) 받고 그 돈을 대포 통장으로 이체시키는 수법을 사용한 사례 - 세부사항2 : 현대알프스저축은행은 다른 금융회사와 달리 대출신 청사실을 SMS에 고시하지 않았음 (당시 SMS메시지 예시 : 현대알프스저축은행 [인증번호] 인증바 랍니다. 타금융사 사칭 불법수수료 요구 주의! ) - 원고(금융고객 6명)의 주장(요약) 11) 전자금융거래법 제 9조에 따른 금융기관 등의 책임 하급심 판결을 중심으로, 강희주 변호사 12) 전자금융거래 사고의 책임 접근매체 위조 변조의 의미(정보법학 제17권 제3호), 고려대학교 법학전문대학 원 김기창 교수 Copyrightc Future Policy Research Institute

12나26014 판결) - 원고패소 - 추가정보 정리필요 o (`13.2.15 선고, 원고일부승소) 보이스피싱+피싱사이트+공인인증서재발급 사기관련 채무부존재확인건 12) [대출관련] 전자금융거래법 제5조(전자문서의 사용), 전자문서 및 전자거래기본법 제7조(작성자가 송신한 것으로 보는 경우) 원용 중요정보 유출과 관련하여 대출이 발생하는 경우, 대출을 해

16 (1) (채무부존재확인) 원고는 대출을 신청했다는 사실을 알 수 없었 으므로 대출계약 자체가 성립하지 않음을 주장 - 제1심 판결(2012가단 ) 서울중앙지법) - 원고승소 (1) 보이스피싱 사기범이 피해자들을 속여 개인정보를 얻은 후 피 해자 명의를 도용해 종전에 거래한 적이 없던 현대알프스저축 은행과 대출계약을 맺음, 대출계약은 무효 H저축은행은 대출계약 신청서에 입력된 피해자들의 집 주소가 XXX-XXXXXX-XX번 지라는 식으로 통상적이지 않고, 직장전화번호의 지역번호도 일치하지 않는 점을 보 면 제3자에 의한 행위임을 의심하고 본인 확인을 위한 절차를 취했어야 했음, 금융감 독원과 금융위원회가 2011년 5월 신종 수법으로 인터넷 대출상품을 이용한 보이스피 싱이 늘어남에 따라 금융기관에 대출 절차를 엄격히 운영하도록 했음에도 H저축은행 은 확인절차를 제대로 마쳤다고 보기 어려움 - 제1심 판결(2012가단 ) 반소) - 피고(금융회사) 일부승소(원고의 책임 40%, 즉 대출금으로 인한 금융회사의 피해액 중 40%를 원고가 배상할 책임 인정) - 최종결과 : 금융회사 과실 60% o (` 선고, 원고패소) - 부정하게 획득한 정보를 이용하여 공인인증서를 재발급 받는 행위 가 접근매체의 위변조에 해당하지 않는다는 전제에서, 금융기관의 민법에 따른 손해배상책임 성부를 검토하였으나, 금융기관의 피해 방지를 위한 노력이 인정된다는 점을 이유로 금융기관의 과실을 인 정하지 않았음 - 판결(서울동부지방법원 2012가합9766 판결) - 원고패소 - 추가정보 정리필요 o (` 선고 원고일부 승소)피싱사기(스미싱+피싱사이트) 피해 건 금융회사의 과실 일부 인정 (30%) ` 대법원 선고(2013다86489)에서는 공인인증서 재발급과 관련하여 금융 회사의 면책사유로 판결한바 있음, 즉 본 판결은 향후 영향이 크지 않을 것이 나, 금융소비자 보호에 중점을 두고 금융회사의 배상책임을 인정하는 경향을 반영한 것으로 볼 수 있음 13) 서울중앙지법 민사 49 단독 안희길 판사, 원고 소송대리인 변호사 유현정 14) 서울중앙지법 민사 49 단독 안희길 판사, 원고 소송대리인 변호사 유현정 Copyrightc Future Policy Research Institute

금융기관에 대출 절차를 엄격히 운영하도록 했음에도 H저축은행 은 확인절차를 제대로 마쳤다고 보기 어려움 - 제1심 판결(2012가단340108 14) 반소) - 피고(금융회사) 일부승소(원고의 책임 40%, 즉 대출금으로 인한 금융회사의 피해액 중 40%를 원고가 배상할 책임 인정) - 최종결과 : 금융회사 과실 60% o (`13.5.

17 - `XX.XX.XX 국민은행, 스미싱+피싱사이트+공인인증서 재발급건 - 세부사항 : 피싱사이트를 통한 금융정보탈취(공인인증서비밀번호, 보안 카드 일련번호, 보안카드 번호 등) 이후 해커에 의해 공인인증서 재발급 된 경우임 - 판결(의정부지방법원 2012가단50032) - 원고일부승소(피해액 30%배상) (1) (공인인증서 재발급을 접근매체의 위조로 봄)전자금융거래법 제 9조 제1항은 전자금융사고의 책임을 금융기관 또는 전자금융업자 로 하여금 그 고의 과실에 관계없이 부담하도록 함으로써 이용자 보호에 중점을 두고 있는 점, 성명불상자가 원고의 개인정보를 불법적으로 획득하여 이를 이용하여 공인인증서를 재발급받은 행 위도 전자금융거래법 제9조 제1항 제1호 에 규정된 접근매체의 위조 에 포함된다고 봄이 상당 (2) 원고는 자신의 금융정보를 허위의 사이트에 그대로 누설한 중 대한 과실이 있다고 판단, 나아가 이는 은행 책임의 면제 사유 가 아닌 책임 감경사유로만 판단, 피고 국민은행의 손해배상책 임을 30%로 제한 o (` 선고) - 판결(서울고등법원 선고 2013나34954 판결) : 원고의 고의나 과실을 근거로 하여 과실상계를 할 수 있다 - 추가정리 필요 o (` 선고 원고패소)피싱사기(피싱사이트) 피해 건 - 판결(서울동부지방법원 선고 2012가단24812 판결) - 원고패소 - 보이스피싱에 의해 중요정보(주민등록번호, 계좌번호. 계좌비밀번호, 이체비밀번호, OTP단말의 일회용비밀번호)를 누설하고, 스스로 이 체한도를 증액하는 등 피해자의 과실이 악의에 준할 정도인 경우이 며, 금융기관은 면책인 것으로 판결 o (` 대법원선고 원고패소)보이스피싱&피싱사이트&공인인증서 재발급 Copyrightc Future Policy Research Institute

봄)전자금융거래법 제 9조 제1항은 전자금융사고의 책임을 금융기관 또는 전자금융업자 로 하여금 그 고의 과실에 관계없이 부담하도록 함으로써 이용자 보호에 중점을 두고 있는 점, 성명불상자가 원고의 개인정보를 불법적으로 획득하여 이를 이용하여 공인인증서를 재발급받은 행 위도 전자금융거래법 제9조 제1항 제1호 에 규정된 접근매체의 위조 에 포함된다고 봄이

18 전자금융사기로 인한 전자금융서비스 이용자의 피해관련 금융기관의 법적책임이 다뤄진 최초의 대법원 판결임 - 이용자의 금융정보 주의의무 요구한 판례 - 참고자료 : 전자금융거래법상 이용자의 중과실 의 판단기준 (비교사법 제21권 2호 (통권65호)부산대학교 법학전문대학원 서희석 교수 15) ) - ` 농협은행, 피싱으로 약 2천6백만원 피해(통장잔액 및 카드현금 서비스 1260만원+저축은행 대출 1338만원) - 세부사항 : 금융정보탈취(주민등록번호, 휴대전화번호, 신용카드번호-현대 카드,신한카드, 예금계좌번호, 각 비밀번호, 보안카드번호 등) 이후 해커에 의해 공인인증서가 재 발급된 경우임 - 원고(금융고객)의 주장(요약) (1) (전자금융거래법상 금융기관의 책임)공인인증서 재발급은 접근 매체의 위조이므로 전자금융거래법 제9조 제1항에 따라 금융 회사는 손해를 배상할 책임이 있음 (2) (민법상 과실에 의한 불법행위방조책임)공인인증서 재발급 사실을 15) 부산대학교 법학전문대학원 서희석 교수의 의견(` ) : "개정법의 입법태도로 볼 때 보안카드 관련정보를 접근매체와 동일시할 수 없다는 것은 개정법으로부터도 분명해졌다" 관련 문장의 취지 => 대법원 판례에서 문제가 된 피해자는 개정법이 제정되기 이전에 피해를 본 사람입니다. 따라서 개정 전의 전금법(구법)에 따라 중과실여부를 판단해야 합니다. 그런데 위 피해자에 의한 소송이 진행되는 중에 전금 법이 개정되었고, 그 내용은 808면과 809면 각주에서 보는 바와 같습니다. 그런데 개정법 시행령 8조는 " 추가적인 보안조치를 누설하거나 노출하는 등의 행위"를 이용자의 중과실의 범위 안에 새롭게 명시하였습 니다. 이것은 구법에는 존재하지 않는 것으로 위 피해자의 행위가 바로 이 유형에 해당됩니다. 이에 따라 개정법에서는 "접근매체의 누설 등"과 "추가적인 보안조치의 누설 등"이 구별되게 되었습니다 따라서 개 정법이 위와 같은 내용을 추가했다는 것은 구법상으로는 위 행위가 이용자의 중과실에 해당하지 않는 것 으로 보아야 한다는 하나의 증거가 된다는 뜻입니다. Copyrightc Future Policy Research Institute

(전자금융거래법상 금융기관의 책임)공인인증서 재발급은 접근 매체의 위조이므로 전자금융거래법 제9조 제1항에 따라 금융 회사는 손해를 배상할 책임이 있음 (2) (민법상 과실에 의한 불법행위방조책임)공인인증서 재발급 사실을 15) 부산대학교 법학전문대학원 서희석 교수의 의견(`14.12.

19 금융회사는 고객에게 통지할 주의의무가 있어 금융회사는 손해를 배상할 책임이 있음 - 피고(농협은행)의 주장(요약) (1) 공인인증서의 재발급을 포함한 본 사건은 원고의 중대한 과실로 발생한 것임 (2) 공인인증서 발급과 관련하여 원고에게 통지할 주의의무가 존재 한다고 보기 어려우며, 설령 주의의무가 있다고 하더라도 금융 사고와의 연관성을 입증하기 어려움 - 제1심 판결(2012가단62740, 광주지방법원, ` 선고) - 원고패소 (1) (공인인증서 재발급이 가능한) 금융정보를 노출한 경우 이용자의 중과실 인정 금융정보의 노출을 접근매체(공인인증서)의 노출과 동일시 하고 있음 (2) 해커(성명불상자)는 공인인증서를 코스콤(공인인증기관)에서 발급 받아서 농협은행은 관련이 없음(통지 주의의무 없음) - 제2심 판결(2013나9358, 광주지방법원, ` 선고) - 원고패소 (1) 제1심 판단과 동일하며 판시가 일부 구체화됨 금융사기 관련 사회경각심이 높아져 있음, 원고의 사회경험, 성명불상자 에게 001로 시작되는 국제전화를 받았을 때 이상하다고 진술한 점 고려 (2) 제1심 판단과 동일하며 판시가 일부 구체화됨 원고는 보안SMS서비스를 신청하지 않은 점, 통지하지 않은 부분 때문에 본 금융사고가 발생하였다고 불 수 없음 - 대법원 판결(2013다86489, 대법원, ` 선고) - 원고패소 16) (1) 중대한 과실, 면책범위 에 대한 법리의 오해 등은 없어 판결에 미친 위법은 없음 (2) 원심의 판단은 정당, 불법행위의 방조에 대한 법리를 오해한 위법은 있다고 할 수 없음 - 최종결과 : 금융회사 과실 없음 - 기타 고려사항 (1) 전자금융거래법상 금융기관의 책임 A. 금융정보의 노출을 접근매체(공인인증서)의 노출과 동일 시 하고 있음 (일부 법학자들은 문리적 으로는 동일시 할 수 없다는 의견도 있음) 16) 피고(피상고인) : 농협은행 주식회사 외 1인 (소송대리인 법무법인 21세기종합법률사무소 담당변호사 서일석 외 1인) Copyrightc Future Policy Research Institute

20 B. 이전 해당금융회사에서 고객관련 정보의 유출로 인한 기망행위 증거를 원고 측에서 제시했다면 판결이 달라질 수 도 있었음 C. 접근매체의 누설과 관련하여, 이용자측 사정(직업, 금융거래경력 등), 제3자의 기망행위의 정도, 금융기관의 보안실태(과거 정보유출사고 유무, 현재의 보안실태 등)이 종합적으로 고려되어 판단됨 o (` , 서울남부지법)피싱 + 대출관련 : 고객의사 미확인 대출은 금융 회사과실(대출에 대한 고객의 의사표시 확인이 없었음) 17) 중요정보유출에 의해 발생한 해커에 의한 대출발생의 경우, 본인확인 미흡으로 금융회사 책임 100% 인정된 사례 - 현대캐피탈, 2000만원 대출 후 피해(2000만원의 대출발생 건) - 세부사항 : 주민등록증사본과 통장사본 통장비밀번호 등의 개인정 보를 넘긴 뒤 대출발생의 건, 정보유출의 건이 (대출을 위한) 전자 문서를 보낸 것으로 볼 수 있지 않으므로 유효한 대출계약이 체결 됐다고 볼 수 없다"고 판단, 대출 과정에서의 허술한 본인 확인절 차도 지적됨("피싱 사기범이 본인 확인을 위한 질문사항 중 틀린 대답을 했 음에도 이를 간과한 채 대출을 실행") - 결과 민사7단독 정용석 판사) : 은행에 대한 1320만원 대출관련 채무는 없다고 판결 o (` 선고, 원고 일부(50%)승소) 보이스피싱 18) 보이스 피싱 피해자에 대한 최초 은행배상판결 금융회사의 책임 50% 판결 (기타 : 담보대출이 이루어진 사건) - `12.1 한국씨티은행, 보이스피싱으로 4200만원 피해(오모씨)(법무법인 선경 이준길 변호사) - 세부사항 : 2012년 1월 직장인 김모씨(38)에게 검찰청이라며 전화가 걸려와 당신 통장이 범죄조직의 대포통장으로 이용돼 형사사건에 고발됐다 며 몇 가지 인적사항을 확인하겠다 고 했음. 전화 속 인 물이 불러준 주소, 전화번호, 주민등록번호 등은 김씨의 것과 일치 했다. 심지어 검찰청 사이트 내 등록된 사건번호까지 불러줬음. 그 러면서 금감원 신고 사이트에 피해사실을 등록하면 형사처벌을 면 17) 18) 대한변협신문 (` ) Copyrightc Future Policy Research Institute

통장비밀번호 등의 개인정 보를 넘긴 뒤 대출발생의 건, 정보유출의 건이 (대출을 위한) 전자 문서를 보낸 것으로 볼 수 있지 않으므로 유효한 대출계약이 체결 됐다고 볼 수 없다"고 판단, 대출 과정에서의 허술한 본인 확인절 차도 지적됨("피싱 사기범이 본인 확인을 위한 질문사항 중 틀린 대답을 했 음에도 이를 간과한 채 대출을 실행") - 결과 민사7단독

21 할 뿐 아니라 앞으로 명의도용도 되지 않는다 고 함 잠시 후에는 다른 인물에게서 금감원 직원 이라며 같은 내용으로 전화가 옴. 김씨는 전화를 끊은 뒤 걸려온 번호로 전화를 걸었으며 금감원을 알리는 음성안내가 흘러나옴. 정부 당국이 확실하다고 믿 은 김씨는 전화 속 인물이 알려준 금감원 신고 사이트에 접속해 각 종 내용을 입력했으나 이 사이트는 범인들이 만들어 놓은 가짜 사 이트 였음. 김씨의 은행거래 관련 추가 정보를 확보한 범인들은 인 터넷 뱅킹을 통해 4200만원을 빼감. 김씨의 계좌에 예치한 2000만 원과 김씨의 적금을 담보로 한 담보대출 2200만원이었음 - 제1심 판결(서울중앙지법, -, 민사91단독 문광섭 부장판사) - 원고 일부승소 (1) 씨티은행에 보이스피싱 피해금액의 50%를 배상하라는 강제조정결정 o (` , 서울중앙지법)모바일 악성앱 + 대출관련 : 고객의사 미확인 대 출은 금융회사과실(대출에 대한 고객의 의사표시 확인이 없었음) 19) 중요정보유출에 의해 발생한 해커에 의한 대출발생의 경우, 본인확인 미흡으로 금융회사 책임 100% 인정된 사례 기 유출된 개인정보가 악용된 사례임 이 경우 개인정보유출에 대한 피해소송을 하는 경우 고객승소가 예상됨 - `13년 초 A은행, 1320만원 대출 후 피해(1400만원의 정기적금을 담보로 1320만원의 대출발생 건) - 세부사항 : 모바일 악성앱에 의한 최근 고객정보 유출 사고가 빈 발해 개인정보 보호가 강화됐으니 보안카드의 일련번호를 전부 입 력하라 는 안내메시지에 의해 보안카드 번호 탈취당함, 보안카드의 일련번호와 피싱 사기단이 미리 알고 있던 개인정보를 이용해 대출 - 채무부존재확인소송 결과(` , 서울중앙지법 민사28단독 이남균 판사) : 은행에 대한 1320만원 대출관련 채무는 없다고 판결 o (` 원고패소) 인터넷뱅킹(정보유출)+텔레뱅킹 무단이체 사건 20) - 신한은행, IT업계에 종사하는 직장인 조모 씨, ` 일 신한은행 19) 20) 판결문 일부 참고(판사 박지원) Copyrightc Future Policy Research Institute

22 에서 13차례에 걸쳐 현금 4169만원이 다른 금융기관 계좌로 무단 이체됨, 7년 동안 한 번도 이용하지 않은 텔레뱅킹을 통해 대포통 장으로 13차례에 걸쳐 자금이 이체됨(1회 이체시 소요시간은 1~2분정도) - 세부사항 : 과거 조흥은행 시절 가입된 텔레뱅킹서비스, 이때 성명 불상자가 이용한 발신 전화번호(변작됨)는 으로 한전고 객센터 콜센터 번호임 - 원고(금융고객)의 주장(요약) (1) 인터넷 뱅킹시 부정한 방법으로 보안카드 정보를 해커가 획득 한 경우이므로 전자금융거래법 제9조 제1항 제3호에 따라 피고 로부터 배상요구 - 제1심 판결(서울중앙지법, 2014가단 ) - 원고패소 (1) (판단 원문) 제3자가 피고의 인터넷뱅킹 오픈뱅킹에 침입하여 부정한 방법으로 접근매체인 보안카드 일련번호와 보안정보를 획득하였다는 점을 인정하기에 부족하므로 원고의 주장은 이유 없다 - 최종결과 : 금융회사 과실 없음 - 기타 고려사항(항소심 진행시 쟁점) (1) (증거확보관련) 증거불충분 건으로, 해당 사고 발생직후 이용자 PC의 악성코드 유무를 파악하기 위해 포렌식 증거를 확보가 필요했음(이미 1년 정도 지난상황이라 지금 가능여부는 상황에 따라 다를 수 있음) (2) (발신전화번호) 과 같은 발신번호(한전의 콜센터 전 화번호임, 국번이 2자리임, `98.8.2부터 3자리국번이 이용되고 있음)를 금융회사에서 처리해 준 부분에 대한 주장이 있었다 면, 금융회사 과실부분이 일부 인정이 될 가능성 있음, 또한 금 융회사에서는 고객의 발신용 전화번호를 현재 관리하고 있어 이와 관련한 책임도 인정될 가능성이 있음 (3) (발신전화번호 변작관련) 해외발신 전화번호라면 국내 공공기관 전화번호로 변작된 경우 `13.1월부터 차단조치를 실시하고 있 어 관련하여 금융회사 또는 해당 업무를 수행하는 국가기관의 책임이 일부 인정될 가능성도 있음 Copyrightc Future Policy Research Institute

23 금융회사 과실판결 증가 예상 o `14년 대법원 판결 등, 법원은 중요정보를 유출시킨 이용자의 중과실로 판단하고 있음 o 전자금융서비스 관련 사고가 늘어나고 있어, 기존에 이용자의 중과실로 판단되었던 사안이 금융회사의 배상판결로 추세가 바뀌어 갈 가능성이 있음 o 금융회사 입장에서는 전자금융서비스 관련 대국민 신뢰가 낮아지는 측면에서 적극적 대응 필요 - 신기술 기반 이체, 결제서비스와 차별화 측면에서 기 금융회사가 제공하는 전자금융서비스는 보안성을 강조할 필요가 있음 금융회사 및 금융소비자의 향후 대응방안 o (금융회사)적극적으로 보안카드 대신 OTP 등 안전한 추가인증수단을 고객에게 안내할 필요가 있음 o (금융소비자) 금융소비자는 중요정보를 노출시키는 경우 일반적으로 는 손해배상을 받기 어려우므로 주의하여야 하고, OTP와 같은 안전 한 보안수단을 적극적으로 이용하여야 함 참고자료 [검토필요자료] o 정찬형 전자금융거래법상 전자자금이체에 관한 연구, 고려법학 제 51호(고려대학교 법학연구원) Copyrightc Future Policy Research Institute

전자금융거래법및전자금융거래법시행령 시행기준 Copyrightc Future Policy Research Institute

전자금융거래법및전자금융거래법시행령 시행기준 Copyrightc Future Policy Research Institute [ 전자금융사고 ] 금융소비자불법이체사고발생시, 금융회사의 과실 판단기준동향및금융소비자대응방안 (V1.0) Future Policy Research Institute (FPRI) 민상식 / 2014.12.09 개요 최근 농협은행텔레뱅킹고객의 억 천여만원부정이체사고등전자금융서비스관련금융소비자의피해가지속적으로발생하고있음 현재금융회사의책임을명확히규정하지않아 민사상손해배상또는금융회사의자발적구제이외에는보상가능성이낮음