유출 뒤 피해, 은행에 배상 청구하려면
신한·KB·하나·부산은행 등에서 고객 정보가 유출된 뒤 그 정보가 악용돼 금전 피해가 났다면 은행에 손해배상을 청구할 수 있다. 다만 2025년 12월 대법원은 유출 사실만으로는 배상이 성립하지 않고 실제 피해와 은행의 과실, 둘 사이 인과관계를 피해자가 입증해야 한다고 봤다. 그래서 지급정지 신청부터 사건사고사실확인원, 유출 통지서까지 자료를 사고 직후 순서대로 확보해 두는 것이 배상 가능성을 가른다.
유출 통지를 받았고, 실제로 돈이 빠져나갔다면
은행에서 "귀하의 정보가 유출됐다"는 안내를 받은 것만으로 배상을 받기는 어렵다. 반대로 그 정보가 보이스피싱이나 명의도용에 쓰여 실제 돈이 빠져나갔다면 이야기가 달라진다. 이때는 두 가지 일을 동시에 해야 한다. 빠져나간 돈을 되찾는 피해구제 절차와, 유출 책임이 있는 은행에 손해배상을 묻는 절차는 별개이기 때문이다.
이번 유출은 9월 27일 밤부터 40시간 넘게 이어진 공격으로 확인됐다. 신한은행에서 고객 약 2만5000명, KB국민은행 119명, 하나은행 89명, BNK부산은행 외주 직원 11명의 정보가 빠져나갔고 예가람저축은행도 유출을 알렸다. 이름과 전화번호, 주소, 직장명에 더해 암호화된 주민등록번호가 포함됐다. 이런 항목은 사칭 전화의 신뢰도를 높이는 재료가 된다.
은행에 책임을 묻는 두 법
Photo by Suzi Kim on Unsplash
근거 법은 두 갈래다. 개인정보보호법 제39조는 개인정보처리자의 고의·과실로 정보가 유출돼 손해가 나면 배상 책임을 지운다. 은행처럼 신용정보를 다루는 곳에는 신용정보법 제43조가 함께 적용된다. 두 법 모두 고의 또는 중대한 과실이 인정되면 손해액의 5배까지 물릴 수 있는 징벌적 배상 조항을 두고 있다.
피해 금액을 숫자로 증명하기 어려울 때 쓰는 길도 있다. 개인정보보호법 제39조의2와 신용정보법 제43조의2의 법정손해배상 청구다. 300만 원 이하 범위에서 법원이 상당한 금액을 손해로 인정해 준다. 다만 과거 카드 3사 5300만 명 유출 사건에서 대법원이 최종 인정한 위자료는 1인당 10만 원 수준이었다. 민감정보나 2차 피해가 더해지면 금액이 올라갈 여지가 있지만, 큰 배상을 기대하고 소송만 바라보는 것은 현실적이지 않다.
유출만으로는 부족하다는 2025년 판단
2025년 12월 4일 대법원은 법정손해배상을 두고 중요한 기준을 내놨다. 정보가 유출됐다는 사실 자체로는 배상이 성립하지 않고, 유출된 정보가 실제로 악용될 우려가 있는지, 추가로 퍼질 가능성이 있는지 같은 구체적 위험과 정신적 손해를 정보주체가 입증해야 한다고 봤다.
이 기준은 이번 피해자에게 양날이다. 통지서만 들고 가면 받아들여지기 어렵다는 뜻이지만, 반대로 실제 사칭 전화를 받고 돈이 빠져나간 사람은 "악용됐다"는 사실을 숫자와 기록으로 보일 수 있다. 입증 자료가 있느냐 없느냐가 결과를 가른다.
돈부터 막는다, 지급정지가 먼저
배상 소송은 길다. 그 전에 빠져나가는 돈부터 막아야 한다. 통신사기피해환급법은 소송 없이 사기 계좌를 묶는 절차를 두고 있다. 피해를 알아챈 즉시 경찰청 112나 금융감독원 1332, 또는 거래 은행에 지급정지를 신청한다. 1332에 접수하면 금감원이 관련 금융회사에 일괄 지급정지를 요청해 준다.
지급정지 뒤에는 경찰서에서 사건사고사실확인원을 발급받아 사흘(영업일) 안에 금융회사에 피해구제 신청서와 신분증 사본을 제출한다. 이 확인원은 환급 절차의 서류이자, 나중에 은행을 상대로 한 배상 청구에서 피해 사실을 증명하는 자료가 된다.
배상을 위해 모을 자료, 순서대로
자료는 시간이 지나면 사라지거나 흐려진다. 사고 직후 순서대로 확보해 두는 편이 안전하다.
- 은행이 보낸 유출 통지서 또는 안내 문자·메일 원본. 어떤 항목이 유출됐는지가 적혀 있다.
- 사칭 전화·문자 기록. 통화 녹음, 발신번호, 문자 캡처를 지우지 말고 보관한다.
- 송금·출금 내역과 사기 계좌번호. 피해 금액과 시점을 특정하는 근거다.
- 경찰 신고 접수증과 사건사고사실확인원.
- 금감원·은행에 지급정지를 신청한 기록.
유출된 정보 항목과 사칭에 쓰인 정보가 겹친다는 점을 보일 수 있으면 인과관계 주장이 단단해진다. 예를 들어 유출 항목에 있던 직장명이나 대출 사실을 사칭범이 그대로 언급했다면, 그 통화 내용을 기록해 두는 것이 핵심이다.
지금 판단 기준
실제 금전 피해가 났다면 지급정지와 피해구제 신청을 먼저 끝내고, 그 과정에서 쌓인 서류를 배상 청구용으로 따로 모아 두는 것이 순서다. 개인 소송은 입증 부담이 크고 시간이 걸리므로, 같은 피해자가 많을 때는 개인정보 분쟁조정위원회의 집단분쟁조정을 함께 알아보는 편이 부담이 적다. 은행의 과실이 어느 정도였는지는 금융당국 조사와 경찰 수사 결과가 나와야 분명해지므로, 그 발표를 확인한 뒤 청구 전략을 정하는 것이 현실적이다.