안녕하세요, 법률사무소 완봉입니다.
세금계산서 발행 오류가 있다며 날아온 메일 링크를 클릭했을 뿐인데, 갑자기 PC 화면에 AnyDesk(애니데스크) 같은 원격제어 프로그램이 실행되더니 화면이 멈춰버립니다. 몇 분 뒤, 자금 담당자의 가슴을 철렁하게 만드는 문자 메시지가 쏟아집니다.
'XX은행 법인계좌에서 O억 원이 이체되었습니다.'
범죄 조직이 회사 PC를 원격으로 장악해 드라이브 깊숙이 보관해 두었던 기업 공동인증서를 탈취하고, 순식간에 법인 예금을 대포통장으로 빼돌린 것입니다. 당장 직원 급여와 거래처 결제 대금을 지급해야 하는 중소기업 대표님들에게는 그야말로 청천벽력 같은 상황입니다.
피해 사실을 인지하고 부랴부랴 은행으로 달려가 보지만, 은행 측의 답변은 늘 똑같습니다.
"회사 측에서 원격제어 프로그램을 직접 실행해 인증서를 탈취당한 것이니, 이용자의 중과실로 분류되어 은행은 보상할 책임이 없습니다."
과연 정말 그럴까요? 회사의 보안 관리 소홀만을 탓하며 배상을 거부하는 금융회사의 주장에는 법적으로 허점이 많습니다. 오늘은 은행의 '비대면 본인확인 및 이상거래 탐지 소홀' 과실을 구체적으로 짚어내어, 기업 자금을 되찾기 위한 실전 법적 대응 전략을 안내해 드립니다.
은행들은 사고가 나면 전자금융거래법 제9조 제2항을 내세우며 면책을 주장합니다. 고객에게 '중대한 과실'이 있으니 자신들은 책임이 없다는 논리입니다. 하지만 법이 말하는 '이용자의 중과실'과 은행이 주장하는 '고객 과실'은 엄연히 다릅니다.
중소기업기본법상 소기업(업종별로 매출액 기준이 다르므로 확인 필요)에 해당하는 법인이라면, 전자금융거래법 시행령 제8조가 정한 극히 예외적인 경우에만 중과실이 인정됩니다.
피싱 메일에 속아 원격제어 프로그램이 실행된 것은 '해킹 범죄의 피해'를 입은 것이지, 적극적으로 비밀번호를 제3자에게 넘긴 것이 아닙니다. 따라서 법원은 단순히 원격제어를 허용했다는 사실만으로 소기업에 전적인 중과실을 인정하지 않습니다.
소기업 범위를 넘어서는 중기업 이상의 법인이라 하더라도, 은행이 면책되려면 "사고 방지를 위해 합리적으로 요구되는 충분한 주의의무를 다했음"을 스스로 입증해야 합니다. 실제로 은행들이 비대면 금융거래를 처리하면서 이 의무를 완벽히 이행하는 경우는 드뭅니다. 바로 이 지점이 은행을 상대로 손해배상을 청구할 수 있는 핵심 논거가 됩니다.
소송에서 은행의 책임을 묻기 위해서는 비대면 금융거래 과정에서 은행이 어떤 보안상 허점을 방치했는지 구체적으로 지적해야 합니다.
금융감독원 가이드라인과 업계 보안 지침에 따르면, 은행 앱이나 기업 인터넷뱅킹 시스템은 PC나 스마트폰에 AnyDesk, TeamViewer 등 원격제어 프로그램이 실행 중일 때 이를 감지하고 금융거래를 자동 차단하거나 추가 인증을 요구해야 합니다. 은행의 보안 프로그램이 원격제어 상태를 감지하지 못했거나, 감지하고도 아무런 조치 없이 송금을 허용했다면 이는 명백한 기술적·보안상 과실입니다.
법인 계좌는 보통 일정한 패턴으로 거래가 이루어집니다. 다음과 같은 전형적인 이상 징후가 포착되었음에도 FDS가 작동하지 않았다면, 은행이 주의의무를 다하지 않은 강력한 증거가 됩니다.
공동인증서가 사용되었다는 사실만으로 은행이 본인확인을 완벽히 마친 것으로 인정되지 않습니다. 이체 실행 시 자금 담당자의 휴대전화로 ARS나 SMS 인증이 적법하게 전달·확인되었는지, 해커가 우회 경로(예: 알뜰폰 무단 개통을 통한 SMS 가로채기)를 이용하는 과정에서 은행이 교차 검증을 소홀히 하지 않았는지 면밀히 살펴야 합니다.
해킹 사고를 인지한 순간부터 민사 소송의 성패가 갈립니다. 초기 증거를 철저히 보존해야 합니다.
즉시 112나 해당 은행 고객센터에 전화해 범죄 계좌(대포통장)에 대한 지급정지를 신청하십시오. 이체된 돈이 인출되기 전 단 몇 분이라도 시간을 버는 것이 가장 중요합니다.
당황한 나머지 악성코드를 치료하겠다며 PC를 포맷하거나 백신으로 치료해 버리는 경우가 많습니다. 이는 승소 증거를 스스로 없애는 최악의 실수입니다.
은행을 상대로 사고 당시의 거래 데이터 제공을 공식 문서로 요청하십시오.
은행이 자율 배상을 거부할 경우 민사 손해배상 청구 소송으로 진행해야 합니다. 법원은 사안에 따라 양측의 책임 비율을 나누는 과실상계 방식으로 판결을 내립니다.
| 구분 | 은행 책임 강화 요인 (우리 측 공격 포인트) | 기업 과실 인정 요인 (방어해야 할 점) |
|---|---|---|
| 핵심 쟁점 | - 원격제어 상태에서 이체를 감지·차단하지 못한 점 - 단시간 내 고액 다수 이체 패턴을 FDS가 걸러내지 못한 점 - 다중 채널 인증(ARS 등)을 형식적으로만 처리한 점 |
- 출처 불분명한 메일 링크를 클릭한 점 - 공동인증서를 보안 토큰(HSM)이 아닌 PC 하드디스크에 보관한 점 - OTP·비밀번호를 PC 메모장 등에 저장해 둔 점 |
실제 판례 흐름을 보면, 기업의 보안 수칙 미준수가 일부 인정되더라도 은행의 시스템적 미비점이 입증될 경우 은행의 책임을 30%에서 많게는 70%까지 인정하는 사례가 있습니다. 피해 금액이 수억 원대라면, 50%만 배상받아도 부도 위기를 막고 회사가 다시 일어설 수 있는 결정적인 전환점이 됩니다.
한편, 금감원의 '비대면 금융사고 책임분담기준'은 개인 및 개인사업자 고객만을 대상으로 하며, 법인 고객은 적용 대상에서 제외됩니다. 따라서 법인인 중소기업은 금감원 민원만으로는 한계가 있으며, 법률 전문가와 함께 민사 소송 청구 논리를 치밀하게 수립하는 것이 실질적인 해결책입니다.
Q1. 자금 담당 직원의 부주의로 메일을 클릭해 원격제어가 실행되었습니다. 직원 과실이 있어도 은행에 소송할 수 있나요?
네, 가능합니다. 대법원은 전자금융사고 발생 시 피해자의 부주의가 있었더라도, 그것이 금융회사의 원천적인 면책 사유가 되지는 않는다고 봅니다. 사기범의 기망 행위(피싱 메일)로 원격제어가 시작된 것은 기술적 해킹 공격의 일종으로, 은행의 비대면 본인확인 소홀 및 FDS 미비를 근거로 책임을 물을 수 있습니다. 다만 직원의 부주의 정도는 최종 배상 비율(과실상계)에 반영됩니다.
Q2. 직원 5명의 아주 작은 법인(소기업)입니다. 일반 법인과 법적 기준이 다른가요?
중소기업기본법상 '소기업'에 해당한다면 법적으로 매우 유리합니다. 소기업의 경우 은행이 면책되려면 기업 측의 '고의 또는 중대한 과실'을 은행이 직접 입증해야 합니다. 악성 메일을 클릭해 원격제어가 실행된 것은 시행령에서 규정하는 중과실(대여·양도·적극적 누설)에 직접 해당하지 않으므로, 소기업일수록 은행의 책임을 더 높게 물을 수 있습니다.
Q3. 해킹 직후 백신 프로그램을 돌려 악성코드를 지워버렸는데, 소송 진행이 불가능할까요?
일부 악성 파일이 치료되었더라도 윈도우 이벤트 로그, 원격제어 프로그램(AnyDesk 등)의 자체 접속 이력 파일 등은 여전히 남아 있을 가능성이 높습니다. 추가 데이터 덮어쓰기가 발생하기 전에 즉시 전원을 끄고 전문 포렌식 조사를 의뢰해야 하므로, 혼자 해결하려 하지 말고 즉시 법률 대리인과 상의하시기 바랍니다.
Q4. 소송 기간과 비용은 얼마나 소요되나요?
금융사고 손해배상 소송은 은행 측 전산 거래 내역 감정, 포렌식 결과 대조 등 기술적 입증 과정이 수반되므로 통상 6개월에서 1년 정도 소요됩니다. 소송 비용은 피해 금액(소송가액)에 따라 산정되며, 승소 시 소송 비용의 일부 또는 전부를 은행 측에 청구하여 보전받을 수 있습니다.
갑작스러운 원격제어 해킹으로 회사 예금이 유출되면 당장의 자금 압박으로 이성적인 판단을 내리기 어렵습니다. 은행의 싸늘한 면책 답변에 낙담해 소중한 기회를 놓쳐서는 안 됩니다.
법률사무소 완봉에서는 비대면 금융사고로 인한 기업 피해 사건에 대해 포렌식 증거 확보 단계부터 민사 손해배상 소송까지 전 과정을 함께 진행해 드리고 있습니다. 먼저 상담을 통해 사건의 쟁점을 정확히 파악하는 것부터 시작하시기 바랍니다.
본 블로그의 내용은 일반적인 참고 목적으로 제공되는 것이며, 실제 개별 사건의 구체적인 사실관계와 증거 상태에 따라 법적 판단 및 소송 결과는 달라질 수 있습니다. 정확한 법률 진단을 위해 반드시 변호사와의 직접 상담을 거치시기 바랍니다.
