5일간 21억 원이 빠져나갔습니다 — 은행은 왜 배상하지 않았나

2024년 11월 말, 한 사람이 우체국 직원을 사칭한 전화를 받았습니다. 누군가 무단으로 그의 명의로 신용카드를 발급해 쓰고 있다는 내용이었습니다. 지시에 따라 휴대전화에 앱을 하나 설치한 것이 시작이었습니다.

이어 검사와 금융감독원 직원을 사칭한 사람들이 전화를 걸어 왔습니다. 범죄에 연루되었으니 무혐의를 입증하려면 보유한 자산을 한 계좌로 모아두어야 한다는 것이었습니다. 그는 은행 지점을 두 차례 방문해 이체한도를 올리고 예금 22억 5,600만 원을 전부 해지했습니다. 그리고 5일 동안 23회에 걸쳐 21억 3,700만 원을 송금했습니다.

피해자는 은행을 상대로 20억 원대의 손해배상을 구했습니다. 은행의 이상금융거래 탐지 시스템은 송금을 실제로 잡아냈고, 한 차례는 거래를 정지시키기까지 했기 때문입니다. 그런데 법원은 청구를 전부 기각했습니다. 이 글은 그 이유와, 같은 판결이 반대편에 남겨 둔 은행이 배상해야 하는 경우의 기준을 정리합니다.

21억 원을 잃었는데 은행은 왜 한 푼도 물지 않았나요?

피해자가 기망당하기는 했으나 자신의 의사로 직접 송금했기 때문입니다. 명의를 도용당해 제3자가 거래한 사안과 법적 구조가 다릅니다. 서울남부지방법원은 2026. 6. 10. 선고 2025가합100965 판결로 청구를 전부 기각했습니다.

피해자가 든 청구원인은 세 갈래였습니다. 전자금융거래법 제21조의 안전성 확보의무, 통신사기피해환급법 제2조의4의 본인확인조치 의무, 같은 법 제2조의5의 임시조치 의무입니다. 이 의무들을 위반해 손해가 발생했으니 민법 제750조에 따라 배상하라는 것이었습니다. 송금액 21억 3,700만 원에서 이미 수령한 피해환급금 9,930만 7,589원을 공제한 20억 3,769만 2,410원을 청구했습니다.

세 갈래가 모두 막히면서 손해액이나 과실상계는 판단 대상에조차 오르지 못했습니다. 이 사건에서 배울 점은 결론 자체보다 어느 조문으로 다투어야 하는지에 있습니다.

피해자는 어떻게 5일 만에 21억 원을 보냈나요?

단계마다 피해자 본인이 은행 창구와 스마트폰 뱅킹을 직접 이용했습니다. 이 점이 뒤의 모든 법적 판단을 좌우합니다.

피해자는 2024년 3월과 9월, 11월에 걸쳐 합계 22억 5,600만 원을 예치하고 있었습니다. 2024년 9월에 맺은 예금계약의 만기는 그해 8월 매수한 아파트의 잔금지급일 하루 전인 2025년 1월 2일로, 11월에 맺은 예금계약의 만기는 그 매매계약에 따른 양도세·취득세 납부 기한을 고려해 정해져 있었습니다. 노후 자금이 아니라 사용처와 시점이 정해진 돈이었습니다.

주목할 것은 한도 증액과 예금 해지가 모두 창구에서 대면으로 이루어졌다는 점입니다. 비대면 명의도용 사건에서 문제가 되는 ‘누가 조작했는지 알 수 없다’는 상황이 아니었습니다. 창구 직원 앞에 앉아 있던 사람은 틀림없이 본인이었습니다.

전자금융거래법 제21조로는 왜 다툴 수 없나요?

그 조항이 상정하는 위험이 사기가 아니라 시스템 장애와 해킹이기 때문입니다. 법원은 이 부분을 더 나아가 살펴볼 필요도 없다며 잘랐습니다.

전자금융거래법 제21조 제1항의 문언은 넓어 보입니다. “금융회사등은 전자금융거래가 안전하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 한다.”는 것이니, 보이스피싱을 막지 못한 것도 이 의무 위반이 아니냐는 주장이 자연스럽게 나옵니다. 실제로 실무에서 가장 흔히 쓰이는 청구원인이기도 합니다.

법원이 든 네 가지 근거

재판부는 네 가지를 들어 이 주장을 배척했습니다. 첫째, 전자금융거래법은 비대면성 같은 전자금융거래의 특성을 반영해 거래당사자의 권리·의무를 명확히 하고 전자금융업 감독을 정비하기 위해 제정된 법이라는 점입니다. 둘째, 같은 법 제9조가 금융회사의 배상책임을 접근매체의 위조·변조, 전자적 전송이나 처리 과정의 사고, 정보통신망 침입으로 획득한 접근매체 이용이라는 세 가지 사고에 한정하고 있다는 점입니다.

셋째, 제21조 제2항 내지 제4항이 인력·시설·전자적 장치·인증방법에 관한 기준 준수와 정보기술부문 계획 수립을 정하고 있을 뿐이라는 점입니다. 넷째, 같은 법 제3장의 다른 조항들이 전자금융기반시설의 취약점 분석·평가, 전자적 침해행위 금지처럼 거래가 지시대로 정상 이행되기 위한 조치만 담고 있고, 제3자의 사기 범행으로부터 이용자를 보호하는 내용은 없다는 점입니다.

이를 종합해 재판부는 이렇게 결론지었습니다.

“전자금융거래법 제21조 제1항은 금융회사등에게 전자금융거래 과정에서 발생할 수 있는 오류나 전자적 침해행위를 방지할 책임을 부과하는 규정이라고 봄이 타당하다.”

그리고 이 사건처럼 기망에 속아 스스로 송금한 경우에는, 법이 말하는 ‘오류’나 ‘전자적 침해행위’가 있었다는 주장·증명이 없는 이상 안전성 확보의무 위반을 볼 여지가 없다고 판단했습니다. 여기서 ‘오류’란 이용자의 고의·과실 없이 거래가 계약이나 지시대로 이행되지 않은 경우를 말합니다. 피해자의 송금은 지시한 대로 정확히 이행됐으므로 오류가 아닙니다.

실무상 의미는 분명합니다. 악성 앱이 설치된 사안이라 하더라도, 그 앱이 거래 내용을 변조했다는 사정이 없다면 제21조로 가는 길은 막힙니다. 소장을 쓰기 전에 접근매체 위조·변조나 전자적 침해행위에 해당하는 사실관계가 실제로 있는지부터 확인해야 합니다.

은행이 ‘본인확인’을 했다는데 무엇을 확인한 건가요?

창구에 온 사람이 예금주 본인이 맞는지를 확인한 것입니다. 법원은 그 거래가 본인의 진실한 의사에 따른 것인지까지 확인할 의무는 없다고 보았습니다.

통신사기피해환급법 제2조의4 제1항은 이용자가 ① 대출을 신청하거나 ② 저축성 예금·적금·부금 등을 해지하는 경우 금융회사가 본인확인조치를 하여야 하고, 제2항은 이를 위반해 손해가 발생하면 배상책임을 진다고 정합니다. 이 사건은 ②의 예금 해지에 해당했습니다. 시행령 제2조의3 제1항은 그 방법을 등록된 전화 이용, 대면 확인, 그 밖에 금융위원회가 인정해 고시하는 방법으로 정하고 있는데, 은행은 이 중 대면 확인을 했습니다.

피해자 측 주장은 정교했습니다. 대면으로 신원을 확인한 것은 사실이지만, 본인확인조치로 인정되려면 거래 당사자가 본인이라는 점에 더해 진실한 의사로 거래하고 있는지까지 확인해야 한다는 것입니다. 고령인 예금주가 종전과 달리 자녀들의 도움도 받지 않고 22억 원의 예금을 한꺼번에 해지하는 경위를 제대로 묻지 않았다는 지적이었습니다.

법원이 문언을 좁게 읽은 이유

재판부는 확립된 법해석 방법론을 원용했습니다. 법 해석의 목표는 법적 안정성을 해치지 않는 범위에서 구체적 타당성을 찾는 데 두어야 하고, 문언 자체가 비교적 명확하다면 다른 해석 방법은 제한된다는 것입니다. 그 위에서 네 가지를 들었습니다.

첫째, 조문이 “본인임을 확인하는 조치”라고만 규정한다는 점. 둘째, 그 문언에 비추어 볼 때 본인확인조치는 “‘금융회사와 계약을 체결한 사람과 그 계약에 따라 전자금융거래를 이용하는 사람이 동일한지를 확인하는 조치’를 의미한다고 봄이 타당하고, 위 본인확인조치에 ‘전자금융거래를 이용하는 사람이 외부의 부당한 간섭 없이 온전하게 자신의 판단에 따라 거래를 하고 있는지’를 확인하기 위한 조치가 포함된다고 해석할만한 문구는 찾아볼 수 없는 점”입니다.

셋째, 시행령이 본인확인조치의 수단만 정할 뿐 그 범위를 넓히고 있지 않다는 점. 넷째, 임시조치 해제 요건을 정한 제2조의5 제3항을 근거로 임시조치와 무관한 제2조의4 제1항의 본인확인조치 범위를 확대해석하는 것은 부당하다는 점입니다.

결론은 이렇습니다.

통신사기피해환급법 제2조의4 제1항에 따른 본인확인조치가 “‘진실한 의사로 금융거래를 하고 있는 것이 맞는지를 확인하는 조치’를 포함한다고 볼 수는 없다.”는 것입니다.

이 판시는 명의도용 사건과 정반대 방향에 서 있습니다. 명의도용 사건에서는 금융회사가 본인확인을 하지 않은 것이 문제였는데, 이 사건에서는 했는데 더 했어야 하느냐가 쟁점이었습니다. 법원의 답은 ‘아니다’입니다.

은행의 FDS(이상금융거래 탐지 시스템)는 무엇을 걸러내나요?

이 판결에는 시중은행 이상금융거래 탐지 시스템의 내부 구조가 이례적으로 구체적으로 드러나 있습니다. 소송에서 무엇을 요구해야 하는지 가늠할 수 있는 자료입니다.

판결문은 은행 FDS를 “전자금융서비스에서 사용되는 단말기 정보, 접속 정보, 거래 정보, 고객 정보 등을 종합적으로 탐지·분석하여 이상금융거래를 확인한 후, 전자금융사고 및 전기통신금융사기에 대응하는 시스템”으로 소개하고, 이것이 통신사기피해환급법 제2조의5 제1항 제1호와 시행령이 정한 피해의심거래탐지시스템의 일환으로 도입된 것이라고 확인했습니다.

※ FDS(Fraud Detection System, 이상금융거래 탐지 시스템) — 이체가 이루어지는 순간 그 거래의 단말기·접속 위치·금액·시각·평소 거래 습관 등을 자동으로 대조해 평소와 다른 거래를 골라내는 금융회사 내부 시스템입니다. 카드사가 해외에서 갑자기 큰 금액이 결제되면 확인 전화를 거는 것과 같은 원리로, 직원이 일일이 들여다보는 것이 아니라 미리 정해 둔 시나리오에 걸리면 자동으로 작동합니다. 법령상의 이름은 통신사기피해환급법 제2조의5 제1항 제1호와 그 시행령이 정한 피해의심거래탐지시스템이고, 금융권에서는 통상 FDS라고 부릅니다.

이 사건 송금은 두 차례 모두 중위험으로 분류됐습니다. 첫 5,000만 원은 “인증서 발급 후 최초의 고액이체” 유형이었고, 임시조치 해제 후의 반복 송금은 “인증서 발급 후 비정상반복이체” 유형이었습니다. 두 유형 모두 은행의 기준상 경고 문자만 나가는 등급이었습니다.

금융회사를 상대로 다투는 입장이라면 이 표의 항목들이 곧 문서제출명령의 목록입니다. 몇 개의 시나리오를 운영하는지, 어떤 유형이 어느 등급인지, 그 등급 배분을 언제 어떤 근거로 정했는지, 해당 거래가 실제로 어느 시나리오에 걸렸는지를 특정해야 다음 단계로 갈 수 있습니다.

첫 송금 때 경고 문자만 보낸 것은 문제가 없나요?

법원은 문제없다고 보았습니다. 다만 그 이유가 ‘탐지 시점이 늦어서’가 아니라 ‘그 등급 분류가 현저히 불합리하다고 볼 수 없어서’라는 점이 중요합니다.

사실관계는 피해자에게 유리해 보였습니다. 2024년 12월 5일 10시 41분에 FDS가 이미 이상금융거래로 탐지했는데, 은행은 “스마트폰 뱅킹에서 금융사고 피해가 의심되는 이체거래가 감지되었습니다.”라는 경고 문자를 보냈을 뿐 다른 조치를 하지 않았고, 그 결과 11시 20분에 5,000만 원 송금이 완료됐습니다. 탐지가 송금보다 39분 앞섰는데도 막지 않은 것입니다.

그런데 재판부는 이 39분을 그 자체로 위법이라고 보지 않았습니다. 은행은 이상금융거래가 탐지돼도 일률적으로 차단하지 않고 위험도를 나누어 대응하는데, “인증서 발급 후 최초의 고액이체”는 중위험이므로 경고 문자만 보낸 것이 자신이 마련한 기준을 제대로 지키지 않은 경우에 해당하지 않는다는 것입니다.

그렇다면 그 기준 자체가 부실한 것은 아닐까요. 이 점에 대해 재판부는 이렇게 판단했습니다. “단지 인증서 발급 후 고액거래가 이루어졌다는 사정만으로 전기통신금융사기의 피해가 우려되는 상황이라고 단정할 수는 없으므로”, 결과적으로 보이스피싱으로 밝혀졌다고 해서 그 유형을 중위험으로 분류한 조치가 현저히 합리성과 적정성을 결여했다고 보기 어렵다는 것입니다.

결과론으로 소급해 판단하지 않겠다는 태도입니다. 인증서를 새로 발급받고 고액을 이체하는 것은 정상 거래에서도 흔한 조합이므로, 이것만으로 차단했다면 오히려 과잉 규제가 된다는 취지로 읽힙니다.

그렇다면 은행이 배상해야 하는 경우는 언제인가요?

이 판결의 가장 큰 가치는 여기에 있습니다. 재판부는 청구를 기각하면서도 임시조치 의무 위반이 성립하는 경우를 두 가지로 명시했습니다. 패소 판결이지만 실질은 승소 요건의 지도입니다.

먼저 제도의 취지

통신사기피해환급법 제2조의5 제1항의 임시조치 의무는 2014년 1월 28일 법률 제12384호로 개정되면서 신설됐습니다. 재판부는 법제처 국가법령정보센터에 게재된 개정이유를 직접 인용했습니다. 그 취지는 ‘금융회사에 대하여 모든 이용자 계좌에 대한 이상거래를 탐지하도록 하고, 피해의심거래계좌로 인정되면 송금 지연 등의 임시조치를 취하도록 의무화하되, 구체적인 이상금융거래 유형 등은 금융회사가 자율적으로 결정하도록 하기 위함’입니다.

즉 무엇을 의심 거래로 볼지는 금융회사가 정합니다. 여기까지만 보면 금융회사에 사실상 백지위임을 한 것처럼 보입니다.

그러나 재량에는 한계가 있습니다

재판부는 바로 그 지점에 선을 그었습니다.

“그러한 재량에 의하여 자율적으로 정한 ‘자체점검의 기준과 방법’ 내지 그러한 자체점검을 통한 ‘임시조치 시행 여부에 대한 결정’은 객관적으로 볼 때 합리성과 적정성 및 사회적 타당성을 갖추고 있어야 한다.“

그리고 위반이 되는 경우를 이렇게 열거했습니다. 금융회사가 (i) 이상거래 탐지를 위하여 마련한 자체점검의 기준과 방법에 따른 자체점검을 제대로 실시하지 아니하여서, 또는 (ii) 자체점검을 제대로 실시하였지만 그 기준과 방법이 부실하여서 — 객관적으로 볼 때 현저히 합리성과 적정성을 결여함으로써 사회적 타당성을 인정할 수 없어서 — 이용자의 계좌가 피해의심거래계좌로 이용되는 것으로 추정할 만한 사정이 있음에도 임시조치를 하지 아니한 경우입니다. 여기에는 그런 사정을 인지하지 못해 조치하지 않은 경우와 인지하고도 조치하지 않은 경우가 모두 포함된다고 명시했습니다.

이 사건은 두 유형 모두 인정되지 않았습니다. 은행이 감독기관 가이드라인 51개를 그대로 반영하고 자체 시나리오 50개를 더해 운영했으며, 문제된 거래를 자기 기준대로 중위험으로 처리했기 때문입니다. 뒤집어 말하면, 가이드라인을 반영하지 않았거나 등급 배분에 아무런 근거가 없는 금융회사는 (ii) 유형에서 무너질 수 있습니다. 인지하고도 조치하지 않은 경우가 포함된다는 부분도 실무상 넓게 쓰일 수 있습니다.

임시조치가 한 번 풀린 뒤가 왜 가장 위험한가요?

해제 직후의 거래는 이미 확인된 거래로 취급되어 다시 걸리지 않기 때문입니다. 이 사건에서 4억 5,000만 원이 그 틈으로 빠져나갔습니다.

경위는 이렇습니다. 첫 5,000만 원 송금 직후 은행은 “스마트폰 뱅킹에서 금융사고 피해가 의심되는 이체거래가 감지되어 현재부터 고객님의 전자금융거래가 제한됩니다.”라는 문자를 보내고 거래를 정지시켰습니다. 피해자가 9,800만 원을 더 보내려다 막히자 은행에 전화를 걸어 해제를 요청했습니다.

은행 직원은 본인이 직접 송금하는 것이 맞는지 확인한 뒤 두 가지를 물었습니다. 가족이나 지인으로부터 신분증 촬영 또는 계좌번호 확인을 요구받은 사실이 있는지, 그리고 문자나 카카오톡 메시지에 첨부된 부고장·청첩장의 영문 주소를 클릭해 달라고 요청받은 사실이 있는지였습니다. 두 질문 모두 메신저 피싱과 스미싱을 겨냥한 것으로, 기관사칭형 보이스피싱과는 결이 다릅니다. 피해자가 그런 사실이 없다고 답하자 직원은 임시조치를 해제했습니다.

해제 뒤 13시 7분부터 16시 30분까지 5차례에 걸쳐 4억 5,000만 원이 나갔습니다. FDS는 이를 “인증서 발급 후 비정상반복이체”로 탐지해 16시 29분에 경고 문자를 보냈지만, 추가 임시조치는 없었습니다.

법원이 위법하지 않다고 본 이유

재판부는 네 가지를 들었습니다. 첫째, 해당 유형이 중위험이라 경고 문자만 나가는 것이 은행의 기준이라는 점. 둘째, 불과 약 1시간 전에 이미 임시조치가 있었고 약 20분 전에 본인확인을 거쳐 해제된 점. 셋째, 피해자가 9,800만 원 송금이 막혀서 해제를 요청한 것이 통화 내용으로 확인되므로, 해제 직후 13시 7분의 9,800만 원 송금에 다시 임시조치를 할 필요가 있다고 판단하기는 어려웠으리라는 점. 넷째, 그 이후 4건은 이체 상대계좌가 13시 7분 송금과 동일했으므로 반복성만으로 사기를 의심하기 어렵다는 점입니다.

피해자는 해제 전에 기망·공갈로 거래하는 것이 아닌지 확인했어야 한다고도 주장했습니다. 제2조의5 제3항이 “본인확인조치 결과 해당 이용자의 계좌가 피해의심거래계좌에 해당하지 아니하는 경우에는 제1항에 따른 임시조치를 해제하여야 한다.”고 정하고 있으니, 해제 판단에는 사기 여부 확인이 포함되어야 한다는 논리였습니다.

그러나 재판부는 위 조항이 ‘본인확인조치’의 결과에 따라 피해의심거래계좌 해당 여부를 판단하도록 명확하게 규정하고 있는 이상, 입법 취지를 이유로 본인확인조치에 더해 사기 범행을 확인할 다른 효과적인 조치를 취할 의무까지 부과된다고 볼 수는 없다고 판단했습니다. 앞의 제2조의4 해석과 같은 결론이 여기서도 반복된 것입니다.

남는 실무 과제는 분명합니다. 현행 법 해석상 ‘해제 후 재탐지’를 다투려면 제2조의5 제3항이 아니라 제2조의5 제1항의 임시조치 의무로, 그것도 (i)·(ii) 유형 중 하나로 구성해야 합니다. 예컨대 해제 이후 동일 계좌로의 연속 이체를 별도 시나리오로 두지 않은 것이 기준 부실에 해당한다는 식의 주장입니다.

명의도용 사건과는 무엇이 다른가요?

같은 ‘금융사기 피해’로 묶이지만 법적 경로가 처음부터 갈라집니다. 상담 현장에서 가장 많이 혼동되는 지점입니다.

명의도용형에서 결론을 가르는 기준과 최근 대법원 판결의 흐름은 내 명의로 3,000만 원이 대출됐습니다 — 갚지 않아도 되는 이유에서 따로 정리했습니다. 그 글에서 다룬 대법원 2025. 8. 14. 선고 2024다236754 판결과 2024다310331 판결은 본인확인절차를 적절히 이행했는지를 다투는 사안이므로, 이 사건과는 검토 순서 자체가 다릅니다.

내 사안이 어느 쪽인지 가르는 질문은 하나입니다. 계좌에서 돈을 움직인 조작을 누가 했는가. 제3자가 했다면 앞의 트랙, 내가 했다면 이 글의 트랙입니다. 악성 앱이 깔려 있었더라도 송금 버튼을 본인이 눌렀다면 뒤쪽입니다.

보이스피싱 피해를 입으면 무엇부터 해야 하나요?

시간 순서가 결과를 좌우합니다. 아래 순서를 지키면 회수 가능성과 소송 자료가 함께 확보됩니다.

① 지급정지부터 요청합니다. 송금받은 계좌의 금융회사와 자신의 거래 금융회사에 즉시 연락해 지급정지를 요청하고, 경찰에 신고합니다. 통신사기피해환급법에 따른 피해환급금은 정지된 잔액을 재원으로 하므로, 이 절차의 속도가 회수액을 사실상 결정합니다. 이 사건 피해자도 21억 3,700만 원 중 9,930만 7,589원만 환급받았습니다.

② 악성 앱과 인증 수단을 차단합니다. 휴대전화를 초기화하기 전에 전문가의 도움을 받아 설치된 앱과 원격제어 흔적을 증거로 보전한 뒤 제거합니다. 곧바로 초기화하면 유일한 물증이 사라집니다. 이어 인증서·OTP를 폐기하고 재발급합니다.

③ 은행에 보낸 문자와 통화 기록을 확보합니다. 경고 문자, 거래 제한 문자, 해제 요청 통화 녹취는 임시조치 의무를 다투는 핵심 자료입니다. 금융회사는 제2조의5 제4항에 따라 임시조치의 통지·해제와 본인확인조치 내역을 서면·녹취 등으로 보존할 의무가 있으므로, 존재하지 않는다는 답변은 그 자체로 문제가 됩니다.

④ FDS 탐지 내역을 문서로 요구합니다. 해당 거래가 어떤 시나리오에 어느 시각에 걸렸는지, 그 유형의 위험등급과 그에 따른 조치가 무엇으로 정해져 있는지를 특정해야 합니다. 이 판결이 보여주듯 금융회사는 소송에서 이 자료를 제출해 방어합니다. 먼저 확보하는 쪽이 유리합니다.

⑤ 청구원인을 정한 뒤 소를 제기합니다. 제21조와 제2조의4로는 이 유형에서 다투기 어렵다는 것이 이 판결의 결론입니다. 제2조의5 제1항의 (i) 기준 미준수형인지 (ii) 기준 부실형인지를 먼저 정하고, 그에 맞는 자료를 모아 구성해야 합니다.

⑥ 본인 과실도 함께 검토합니다. 이 사건은 청구가 전부 기각되어 과실상계까지 가지 않았지만, 의무 위반이 인정되는 사안에서는 이체한도 증액이나 예금 해지에 본인이 적극적으로 관여한 사정이 배상액을 크게 깎을 수 있습니다.

금융회사는 무엇을 점검해야 하나요?

이 판결은 금융회사가 이긴 사건이지만, 이긴 이유가 곧 점검 항목입니다. 그 조건을 갖추지 못한 곳은 같은 방어를 할 수 없습니다.

① 자체점검 기준을 문서로 갖춥니다. 은행이 이긴 결정적 이유는 감독기관 가이드라인 51개에 자체 시나리오 50개를 더한 101개 체계를 증거로 제출할 수 있었다는 점입니다. 기준이 문서화돼 있지 않으면 (ii) 기준 부실형에서 방어가 어렵습니다.

② 위험등급 배분의 근거를 남깁니다. 어떤 유형을 왜 중위험으로 두었는지에 대한 판단 근거가 없다면, 등급 배분이 자의적이라는 공격에 대응할 수 없습니다.

③ 기준대로 실제 실시했는지 로그로 확인합니다. (i) 유형은 기준의 문제가 아니라 운영의 문제입니다. 탐지 시각과 조치 시각의 간격, 조치 누락 건수를 정기적으로 점검해야 합니다.

④ 해제 이후 구간을 별도로 설계합니다. 이 사건에서 4억 5,000만 원은 임시조치 해제 직후에 나갔습니다. 법원은 현행 기준상 위법이 아니라고 보았지만, 해제 직후 동일 계좌로의 연속 이체에 아무런 별도 시나리오가 없다는 점은 향후 다른 사건에서 (ii) 유형으로 공격받을 여지가 있습니다.

⑤ 본인확인 문진의 범위를 재검토합니다. 이 사건 직원의 두 질문은 메신저 피싱과 스미싱을 겨냥한 것이었고, 기관사칭형에는 닿지 않았습니다. 법원은 그 이상을 확인할 법적 의무는 없다고 보았지만, 의무가 없다는 것과 사고를 막을 수 있었다는 것은 다른 문제입니다.

⑥ 제2조의4 제1항 각 호의 트리거를 점검합니다. 대출 신청과 저축성 예금·적금 등의 해지는 본인확인조치가 법정 의무인 국면입니다. 이 국면에서 절차를 누락하면 제2항의 배상책임이 곧바로 문제됩니다.

⑦ 보존의무를 이행합니다. 제2조의5 제4항은 임시조치의 통지·해제와 본인확인조치 내역을 서면·녹취 등으로 보존하도록 정합니다. 이 사건에서 은행은 해제 요청 통화 내용을 제출해 유리한 사실을 입증했습니다. 보존이 곧 방어 수단입니다.

자주 묻는 질문

기관사칭 보이스피싱은 피해자가 모든 단계를 스스로 밟는다는 점에서 명의도용과 다르고, 그래서 다투는 조문도 달라집니다. 이 판결이 청구를 기각하면서도 임시조치 의무 위반의 두 유형을 명시한 것은, 뒤집어 보면 어디를 겨냥해야 하는지를 알려 준 것이기도 합니다. 피해를 입으셨다면 금융회사의 FDS 탐지 내역과 임시조치 기록을 먼저 문서로 확보하시기 바랍니다.

글쓴이 소개

박소영 | 대표변호사

가사, 상속, 건설·부동산 분쟁 전문 변호사

사법연수원 33기

고려대학교 법학과 졸업

법무법인 아틀라스 | 인천 송도

법무법인 아틀라스 홈페이지 바로가기 →