인터넷 뱅킹에서 해킹사고시 손해배상책임

최근에 은행의 인터넷뱅킹과 관련하여 해킹사고가 자주 발생하여 전자금융거래의 안전성에 대하여 다시한번 경각심을 일으키고 있다. 그렇다면 이런 해킹사고에서 금융기관과 이용자사이의 법적 책임부분은 어떻게 될 것인가?

이와 관련하여 전자금융거래법 제9조 제1항에서는 금융회사는 접근매체의 위조나 변조로 발생한 사고로 인하여 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다라고 규정하고 있다. 이는 곧 해킹 등으로 인한 사고의 경우에 은행측에 무과실책임을 인정하는 것이다.


다만 사고 발생에 있어서 이용자의 고의나 중대한 과실이 있는 경우에는 그 책임의 전부 또는 일부를 이용자가 부담하게 할 수 있도록 면책규정을 두고 있다. 그리고 동법 시행령에는 중과실 등의 구체적인 사유를 4가지로 한정한 명시적인 규정을 두고 있다.

예를 들어 4가지 중과실사유중의 하나인 이용자가 접근매체를 노출 또는 방치한 경우에 있어서 중과실이 있었는지가 주로 문제가 된다. 최근 신문지상에서 보도된 해킹사고의 경우는 이용자가 인터넷뱅킹도 신청을 하지 않은 상태에서 해킹을 당하여 계좌이체가 되었다면 이용자에 대하여 중과실을 인정하기는 어려워서 달리 큰 논란의 여지는 없을 것으로 보인다.

다만 이와 관련하여 주목할 점은 법규정상으로 중과실사유를 4가지로 한정하여 일견 이용자에게 유리한 규정으로 보이나, 문제는 중과실 사유가 너무 추상적이어서 문제가 있다. 즉 이로 말미암아 법원의 해석에 따라서 오히려 중과실인정범위가 더 확대될 가능성이 있기 때문이다.


예를 들어 피해자의 컴퓨터를 조작하여 금융정보를 빼내는 파밍의 경우를 한번 살펴보자. 피해자가 교묘하게 작성된 가짜 사이트에 속아 이에 접속하여 이용자가 금융정보를 입력한 경우는 중과실사유중의 하나인 접근매체를 누설한 경우에 해당된다. 그렇다면 이용자의 중과실이 문제가 되는데, 이 경우 피해자가 제3자의 이용목적을 알 수 있었는가 등에 대한 판단이 쉽지 않다. 따라서 해석여하에 따라서는 중과실이 인정될 수 있다.

하급심에서는 피해자가 가해자의 사이트에 자신의 계좌번호와 비밀번호 등을 입력한 사실만으로는 중과실을 인정하기 어렵다고 판시한 하급심 판결이 있다. 그러나 피해자가 공인인증서와 함께 보안카드를 스캔하여 자신의 웹메일 계정에 보관하고 있던 사안에서는 중대한 과실이 있다고 판단한 하급심 판결 역시 존재한다.

상호 상반된 하급심 판결례에서 보는 바와 같이 중과실의 인정에 있어서 법원에서 조차 엄청난 편차를 보이고 있다. 이런 사정에서 일반인이 어떠한 행위가 중과실로 인정되는지 제대로 예측할 수 있을 것인가?

이용자는 해킹 사고 등에 있어서 이용자의 피해배상보호 등에서 실효성있는 제도적 보호가 미흡하다는 불만을 가질 수 있다. 또한 파밍에서 검사를 사칭한 자에 속아 가짜 검찰청 홈페이지에 자신의 금융정보를 기재한 사안에서 이를 중과실로 인정한 판결이 보인다. 이 사안에서 법원의 해석도 어느 정도는 이해가 되지 않는 것은 아니나, 과실이 아닌 중과실의 인정부분에 대하여는 논란의 소지가 있지 아니할까?

왜냐하면 중과실을 판단을 함에 있어서는 피해자의 그 구체적인 상황 즉 급박한 사정하에서 중과실여부가 판단되어야 하는데 법원에서 사후적으로 차분한 상태에서 이성적으로 중과실여부를 판단을 하는 것은 곤란하다. 이런 경우에 중과실에 대한 법원의 판단은 일반 상식적인 판단과는 상당한 괴리가 발생될 수 있기 때문이다.

이와 같이 법원에서 그 당시의 공포스럽고 당황한 사정을 충분히 고려하지 않고 사후에 평온한 상태에서 이성적으로 중과실여부를 판단하게 된다면 이는 곧 다소 상식과 괴리되게 중과실을 인정할 가능성이 크다. 그리고 이는 피해자의 구제에 미흡한 결과를 초래할 개연성이 크다. 따라서 현행 법규정은 당초의 입법취지와는 달리 중대한 과실의 인정부분이 의외로 광범위하게 인정되어 상당한 불확실성을 가지는 문제점이 있다.

따라서 이 부분에 대한 제도적인 개선이 필요하다. 미국의 전자자금이체법에서 규정하는 바와 같이 무단 자금이체 등의 경우에 피해자는 일정한 시한 내에 통지만 하고 소액의 부담금만 부담하면 피해배상이 이루어지도록 하여야 한다. 또한 이는 사이버 책임보험 제도 등의 도입을 통하여 그 실효성을 확보할 필요가 있다.

그리고 이용자로서는 이번 사고 등을 통하여 좀 더 경각심을 가지고, 해킹 등의 가능성에 대비하여 중과실로 인정될 행위를 하지 아니하도록 관련법규정과 판결례에 주목할 필요가 있다. 예를 들어 엑셀로 금융정보를 저장하는 경우에는 비번을 설정하여 추후 중과실행위로 해석되는 것을 미연에 방지할 필요가 있다. 그리고 금융당국으로서는 차제에 관련법령을 검토하여 필요시 이를 개선하고 보험제도 도입 등을 통한 이용자보호에 만전을 기하여야 할 것이다.