해킹 뒤 내 계좌 이상거래, 책임 나누는 기준
2026년 10월 금융권 해킹으로 16개 금융사에서 약 10만 건의 정보가 유출됐고, 국정감사와 수사가 함께 진행되고 있다. 해킹으로 생긴 이상거래는 이용자가 직접 송금한 보이스피싱과 달리 전자금융거래법상 금융사 배상이 원칙이며, 이용자 중과실은 금융사가 입증해야 한다. 이상거래를 발견하면 지급정지와 3영업일 내 피해구제 신청을 먼저 하고, 은행 책임은 책임분담제로 따로 신청해야 한다.
해킹으로 생긴 이상거래, 보이스피싱과 책임이 다르다
누군가 빼낸 내 정보로 계좌에서 돈이 빠져나갔다면, 그 책임 구조는 보이스피싱 때와 같지 않다. 전자금융거래법 제9조는 접근매체가 위조·변조되거나 거래 지시가 처리되는 과정에서 사고가 나 이용자가 손해를 입으면 금융회사가 배상하도록 정한다.
핵심은 입증 책임이 누구에게 있느냐다. 이용자에게 고의나 중대한 과실이 있었다는 사실은 금융회사가 증명해야 한다. 내가 직접 송금 버튼을 누른 보이스피싱과 달리, 해킹은 이용자가 거래에 관여하지 않은 경우가 많다. 그만큼 중과실을 따지기가 쉽지 않다.
지금 금융권에서 벌어지는 일
Photo by Jonas Leupe on Unsplash
금융당국이 금융사 555곳을 긴급 점검한 결과 130곳에서 보안 미흡 사항이 확인됐다. 최근 침해사고는 16개 금융회사에서 드러났고 유출 규모는 약 10만 건으로 집계됐다. 당국은 유출된 정보에 계좌 비밀번호나 카드번호는 포함되지 않았다고 설명했다. 거론된 곳은 신한·KB국민·BNK부산·하나은행 등이다.
10월 19일 국정감사에는 5대 은행장이 증인으로 불려 나왔고, 신한을 둘러싼 책임론이 쟁점이 됐다. 금감원장은 이번 사고에 최고경영자의 내부통제 책임을 처음으로 적용할 수 있다고 언급했다.
수사 쪽에서도 변화가 있다. 금융위원회는 해킹 피해 금융사의 시스템이 전자금융거래법상 '전자금융기반시설'에 해당할 가능성이 있다는 유권해석을 경찰청 국가수사본부에 회신했다. 이에 국수본은 정보통신망법 위반 외에 전자금융거래법 위반 혐의를 추가하고 중대범죄수사청에 통보하기로 한 것으로 전해졌다. 사고의 법적 성격이 '개인정보 유출'을 넘어 '전자금융 사고'로 넓어진다는 의미다.
은행이 책임을 벗는 '중과실'은 어디까지인가
제9조에는 단서가 있다. 이용자에게 고의나 중대한 과실이 있고, 그 내용을 약관에 담은 사전 약정이 있으면 금융회사가 책임의 전부 또는 일부를 이용자에게 돌릴 수 있다. 다만 그 중과실의 범위는 약관에 적힌 것에 한정된다.
실제 보이스피싱 사건에서는 피해자가 스스로 돈을 보낸 경우가 많아, 법원이 이용자의 중대한 과실을 인정한 사례가 적지 않았다. 그래서 금융사 배상이 인정되지 않은 경우도 많았다. 반면 이번과 같은 해킹형 이상거래는 이용자가 거래에 끼어든 적이 없다는 점에서 과실 입증이 어려운 편이다. 단, 비밀번호나 인증서를 타인에게 넘겼거나 피싱 문자에 응한 정황이 함께 있으면 중과실 여부가 다시 쟁점이 된다.
이상거래를 발견하면: 지급정지부터 이의제기까지
돈이 빠져나간 사실을 확인했다면 순서가 중요하다.
먼저 112나 금융감독원 1332, 또는 거래 은행에 곧바로 지급정지를 요청한다. 이때 송금된 계좌·금액·시각 정보가 필요하므로 이체 내역을 캡처해 두는 편이 좋다. 지급정지만으로 끝나지 않는다. 신청일로부터 3영업일 이내에 피해구제 신청서를 지급정지된 금융회사에 내야 절차가 이어진다. 경찰서에서 받은 사건사고사실확인원, 신분증 사본, 이체 내역이 기본 서류다.
이후 금융회사가 금감원에 채권소멸절차 개시를 요청하면 2개월간 공고가 걸린다. 이 기간에 계좌 명의인이 자기 계좌가 사건과 무관함을 입증하면 절차가 멈출 수 있어, 이의제기 여부가 환급 가능성을 좌우하기도 한다. 이의가 없으면 채권이 소멸하고 환급금이 정해지며, 결정 뒤 약 2주 안에 피해자 계좌로 지급된다.
배상은 '책임분담제'로 따로 신청한다
지급정지와 환급은 사기이용계좌에 남은 돈을 되찾는 절차다. 은행 쪽 과실을 묻는 것은 별개로, 비대면 금융사고 책임분담제를 통한다. 신한은행은 SOL뱅크 앱, KB국민은행은 인터넷뱅킹으로 신청 채널을 넓혔다. 사건사고사실확인원과 진술조서 등을 제출하고, 지급까지는 최소 두 달이 걸릴 수 있다.
문제는 실효성이다. 제2금융권으로 제도가 확대된 뒤 1년간 신청 123건 가운데 실제 배상은 1.6%에 그쳤고, 5대 은행에서도 10% 안팎만 배상으로 이어졌다는 집계가 있다. 금융사의 예방 노력과 이용자 과실을 따져 은행이 자율로 배상액을 정하는 구조이기 때문이다. 당국은 이를 법제화하겠다고 예고했고, 피해자가 과실을 입증하지 않아도 되는 무과실 배상책임제 도입도 거론되지만 금융권은 반발하고 있다.
수사가 진행 중일 때 확인할 것
지금은 책임 소재가 완전히 정리되지 않은 단계다. 그래서 더 챙겨야 할 것들이 있다.
내가 쓰는 은행이 유출 대상에 포함됐는지, 유출 항목이 무엇인지 공식 공지로 확인한다. 모르는 기기나 지역에서 접속한 기록, 이상 이체 알림을 켜 두고 명세서를 정기적으로 들여다본다. 이상거래가 보이면 앞서 정리한 지급정지와 피해구제 신청을 지체 없이 밟는다.
판단 기준은 이렇게 잡을 수 있다. 이번 사안은 이용자가 직접 송금하지 않은 해킹형이라, 전자금융거래법상 금융사 배상 원칙이 상대적으로 유리하게 적용될 여지가 크다. 다만 책임분담제의 실제 배상률이 낮았던 만큼, 지급정지·피해구제 신청과 책임분담 신청을 따로, 서류를 갖춰 빨리 진행하는 것이 현실적인 대응이다.