검찰 사칭 피싱에 따른 공인인증서 부정 재발급과 이용자의 중대한 과실

해당판례

대법원 2014. 1. 29. 선고 2013다86489 판결

사건명: 손해배상(기).

대법원은 원고의 상고를 모두 기각하였다. 이용자의 중대한 과실을 인정하여 금융기관들의 전부 면책을 받아들인 원심판단과 공인인증서 재발급 통지 누락에 따른 불법행위방조책임을 부정한 판단을 유지하였다.

하급심

제1심은 광주지방법원 2013. 8. 20. 선고 2012가단62740 판결이다. 원고의 손해배상청구를 기각하였다.

광주지방법원 2013. 10. 18. 선고 2013나9358 판결은 다음과 같은 단계로 판단하여 원고의 항소를 기각하였다.

타인의 정보를 부정하게 이용하여 공인인증서를 재발급받는 행위도 ‘접근매체의 위조’에 포함된다.
따라서 이 사건은 원칙적으로 금융기관이 배상책임을 부담하는 전자금융사고에 해당한다.
다만 원고에게 금융거래정보 노출에 관한 중대한 과실이 있고, 이를 면책사유로 정한 사전 약정이 있으므로 피고들의 책임은 전부 면제된다.
인증서 재발급 사실을 문자메시지로 통지하지 않았다는 이유로 별도의 불법행위방조책임을 인정할 수도 없다.

대법원은 사고 경위, 사기 수법에 관한 일반인의 인식, 이용자의 직업과 금융거래 경험 등을 종합하는 판단 기준을 제시하고 원심의 결론을 유지하였다.

상고기각으로 원고 패소판결이 확정되었으며, 파기환송심은 없다.

사실관계

원고는 농협은행과 서창농업협동조합에 각각 예금계좌를 개설하고 인터넷뱅킹을 이용하던 고객이다. 사고 당시 만 33세로 공부방을 운영하고 있었으며, 인터넷뱅킹 이용경력은 1년 이상이었다.

성명불상자는 2012. 3. 30. 원고에게 전화하여 서울지방검찰청 검사를 사칭하고, 허위 대검찰청 인터넷사이트에 접속하도록 유도하였다. 원고는 그 사이트에 주민등록번호, 휴대전화번호, 신용카드번호, 예금계좌번호, 각 비밀번호, 보안카드번호와 보안카드 비밀번호 등을 입력하였다.

사기범은 원고가 입력한 정보를 이용하여 같은 날 원고 명의의 공인인증서를 재발급받았다. 이어 원고 명의로 다른 금융기관에서 현금서비스와 대출을 받고, 그 돈을 원고의 두 예금계좌로 입금시킨 다음 기존 예금과 함께 제3자 계좌로 이체하였다.

피해금액의 구성은 다음과 같다.

농협은행 계좌: 현금서비스 180만 원, 카드대출 1,000만 원 및 기존 예금을 합한 1,260만 원이 이체되었다.
서창농협 계좌: 저축은행 대출 1,000만 원, 대부업체 대출 50만 원 및 기존 예금을 합한 1,338만 원이 이체되었다.

원고는 두 피고에게 각각 1,260만 원과 1,338만 원, 합계 2,598만 원의 손해배상을 청구하였다. 피고들은 위 대출을 모두 실행한 기관이 아니라, 피해금이 입금되고 부정이체된 예금계좌의 금융기관들이다.

원고는 금융기관들이 전자금융사고에 대한 책임을 부담하고, 공인인증서 재발급 사실도 통지하지 않아 사고를 방지하지 못하였다고 주장하였다. 피고들은 원고의 중대한 과실과 약관에 따른 면책을 주장하였다.

판결문은 사기범이 입력된 금융거래정보로 인증서를 재발급받았다고 인정한다. 다만 재발급 단계의 구체적인 추가 인증방식이나 피해자 명의 휴대전화의 부정 개통 여부까지는 기재하지 않았다.

법리

부정 재발급과 접근매체 위조사고

일반적인 판단 기준

전자금융거래법상 접근매체 위조사고에 해당하면 원칙적으로 금융기관의 배상책임이 문제된다. 이용자가 직접 거래한 것인지, 제3자가 접근매체를 부정하게 만들어 거래한 것인지를 구별해야 한다.

해당 사건에 대한 적용

원심은 공인인증서가 접근매체이고, 사기범이 타인의 정보를 부정하게 이용하여 인증서를 재발급받은 행위도 접근매체의 위조에 포함된다고 보았다.

따라서 이 사건은 사고 해당성 자체가 부정된 사건이 아니다. 금융기관의 원칙적 배상책임을 인정한 다음 면책요건을 심사한 사건이다.

이용자의 중대한 과실

일반적인 판단 기준

중대한 과실은 정보가 유출되었다는 결과만으로 판단하지 않는다. 사고의 구체적 경위, 위조 수법과 그에 대한 일반인의 인식, 이용자의 직업과 금융거래 경험 등 제반 사정을 종합해야 한다.

해당 사건에 대한 적용

법원은 다음 사정을 함께 고려하였다.

당시 보이스피싱이 빈발하여 사회적 경각심이 높아져 있었다.
원고는 사회경험과 1년 이상의 인터넷뱅킹 이용경험이 있었다.
원고 자신도 ‘001’로 시작되는 국제전화를 받고 순간 이상하다고 생각하였다고 진술하였다.
그럼에도 인증서 발급에 필수적인 금융거래정보를 모두 제공하였다.

이를 토대로 제3자의 무권한 거래 가능성을 알았거나 쉽게 알 수 있었음에도 정보를 노출한 경우에 해당한다고 판단하였다.

사전 약정과 전부 면책

일반적인 판단 기준

구법상 중대한 과실이 있다는 사정만으로 자동으로 전부 면책되는 것은 아니다. 사전에 책임부담 약정이 있어야 하고, 약관상 면책사유도 법령이 정한 범위에 들어가야 한다. 법률은 전부 면책과 일부 면책을 모두 예정하고 있다.

해당 사건에 대한 적용

피고들의 기본약관은 법령과 같은 취지의 접근매체 노출 면책조항을 두고 있었다. 원심은 이 조항과 사고 경위를 토대로 전부 면책을 인정하였고, 대법원은 중대한 과실과 면책 범위에 관한 법리오해가 없다고 보았다.

인증서 재발급 통지와 과실방조책임

일반적인 판단 기준

통지를 하지 않았다는 이유로 과실방조책임을 인정하려면 해당 통지의무의 존재와 불이행, 손해와의 인과관계가 인정되어야 한다.

해당 사건에 대한 적용

당시 문자메시지 통지는 이용자의 신청에 따라 제공되는 서비스였고, 원고는 보안SMS를 신청하지 않았다. 법원은 피고들에게 원고가 주장하는 통지의무가 있다고 보기 어렵다고 판단하였다.

나아가 그러한 의무를 가정하더라도, 통지하지 않은 것 때문에 이 사건 사고가 발생하였다고 단정하기 어렵다고 보았다. 보안SMS 미신청 자체를 이용자의 중대한 과실로 판단한 것은 아니며, 별도의 방조책임 주장을 검토하면서 고려한 사정이다.

실무적 유의점

사고 해당성, 이용자의 중대한 과실, 사전 면책약정, 전부·일부 면책 범위를 단계별로 나누어 검토해야 한다.
정보 제공 사실만으로 중대한 과실을 단정하지 말고, 실제 제공한 정보의 범위와 사기 수법, 이상 징후에 대한 인식, 이용자의 경험을 구체적으로 확인해야 한다.
금융기관이 면책을 주장하면 사고 당시 적용 약관과 그 편입 여부, 법령상 허용된 면책사유에 해당하는지를 확인해야 한다.
대출 실행기관과 부정이체가 이루어진 계좌의 금융기관을 구별해야 한다. 대출채무의 효력과 부정이체 손해에 대한 배상책임은 별도의 청구원인이다.
인증서 재발급 통지 누락을 주장할 때에는 당시 법령·약관과 서비스 신청 내역뿐 아니라 재발급·대출·이체 시각, 통지가 있었다면 사고를 막을 수 있었는지도 입증해야 한다.
재발급 통지의무에 관한 판단은 2012년 사고 당시의 제도와 증거관계에 따른 것이다. 이후 거래에 적용할 때에는 해당 시점의 본인확인·통지의무를 따로 검토해야 한다.

검찰 사칭 피싱에 따른 공인인증서 부정 재발급과 이용자의 중대한 과실

해당판례

관련판례

관련법령

사실관계

법리

실무적 유의점