증권사 해킹 피해, 손실 책임은 누가 지나

증권사 해킹 뉴스, 내 돈은 안전한가

금융위원회가 10월 28일 가상자산거래소 빗썸에 현장조사를 벌이며 침해사고 긴급 점검회의를 열었다. 같은 시기 대신증권에서는 고객 3만8490명의 개인정보 유출이 확인됐고, 미래에셋 계열사도 침해사고를 신고했다. 증권계좌로 거래하는 입장에서는 "내 계좌 돈도 위험한가"부터 걱정될 것이다.

먼저 짚을 사실 하나. 지금까지 확인된 건 대부분 '개인정보 유출'이고, 실제로 계좌에서 돈이나 주식이 빠져나간 '무단거래 피해'와는 성격이 다르다. 책임을 따지는 방식도 이 구분에서 갈린다.

'정보 유출'과 '무단거래 피해'는 다르다

Photo by Jonas Leupe on Unsplash

개인정보 유출은 이름, 연락처, 계좌번호 같은 정보가 외부로 새어 나간 상황이다. 그 자체로 통장 잔고가 줄지는 않지만, 유출된 정보로 피싱·명의도용 같은 2차 피해가 생길 위험이 남는다.

무단거래 피해는 한 단계 더 나간 상황이다. 누군가 내 접근 권한을 탈취해 실제로 주식을 팔거나 돈을 이체한 경우다. 이번 증권사 사고들은 아직 유출 단계로 보고됐고, 빗썸도 임직원 업무 시스템 침해로 자산 이전에 쓰일 정보 유출은 확인되지 않았다고 밝혔다. 지금 해야 할 일은 '내 계좌에 실제 무단거래가 있었는지'를 먼저 확인하는 것이다.

무단거래가 벌어졌다면, 책임은 원칙적으로 금융사

실제 무단거래로 손실이 났다면 책임 소재는 생각보다 명확하다. 전자금융거래법 제9조는 전자적 장치나 정보통신망에 침입해 부정하게 얻은 접근매체로 사고가 발생한 경우, 금융회사가 이용자의 손해를 배상하도록 정하고 있다. 해킹으로 아이디·비밀번호·인증수단이 탈취돼 벌어진 무단거래가 여기에 해당한다.

이용자가 책임을 지는 경우는 제한적이다. 이용자에게 고의나 중대한 과실이 있고, 그 책임을 이용자가 진다는 약정을 미리 약관으로 맺은 때 정도다. 게다가 그 '중대한 과실'도 대통령령이 정한 범위 안에서 약관에 적힌 것이어야 한다. 내가 비밀번호를 남에게 직접 넘기는 식의 명백한 잘못이 아니라면, 해킹 피해의 책임을 이용자에게 떠넘기기는 쉽지 않다는 뜻이다. 이번 사고에서도 금융당국은 소비자 피해가 생기면 전액 배상이 이뤄지도록 관리·감독하겠다는 입장을 밝혔다.

사고가 의심되면 이 순서로 움직여라

책임이 금융사에 있더라도, 배상을 받으려면 피해를 빨리 확정하고 기록을 남겨야 한다. 순서는 이렇다.

• 즉시 해당 증권사에 신고하고 거래정지·지급정지를 요청한다. 추가 피해를 막는 것이 가장 먼저다.
• 경찰에 사이버범죄로 신고하고 접수증을 받아둔다. 사건사고사실확인원은 나중에 배상 절차에서 쓰인다.
• 금융감독원(국번 없이 1332)에 민원·분쟁조정을 신청한다. 금융사와 책임 다툼이 생겼을 때 조정 창구다.
• 개인정보 유출이 함께 의심되면 한국인터넷진흥원(118)에 상담해 2차 피해에 대비한다.

증빙과 계좌 보호 체크리스트

배상 다툼은 결국 기록 싸움이다. 다음을 미리 확보해두면 '내 잘못이 아니다'를 소명하기 쉽다.

• 피해가 의심되는 시점의 거래내역과 화면을 캡처해 둔다.
• 금융사 신고 접수번호와 경찰 신고 접수증을 보관한다.
• 본인은 비밀번호와 인증수단을 정상적으로 관리했음을 보여줄 수 있는 상태를 유지한다.

예방 차원의 조치도 지금 해둘 만하다. 비밀번호와 OTP를 바꾸고 추가 인증을 켜두며, 금융소비자포털 '파인'의 '내 계좌 한눈에'로 본인 명의 계좌를 점검하고, 필요하면 '내계좌지급정지'로 의심 계좌를 막을 수 있다. 유출은 막지 못해도, 유출이 무단거래로 번지는 길은 이런 조치로 좁힐 수 있다.

출처

1. 금융당국, 빗썸 해킹 현장조사…미래에셋·대신증권 사고도 점검
2. 전자금융거래법 제9조 (금융회사 또는 전자금융업자의 책임)