신한·농협대상 국내최초 파밍사건 집단소송 시작!

민모씨 외 4명 인터넷 검색·즐겨찾기 등 통해 파밍 피해 입어

[보안뉴스 김경애] 민모씨 외 4명이 신한은행과 농협을 상대로 각각 법원에 총 1억 7,244,000원에 이르는 손해배상 청구소송을 시작했다. 특히, 이번 집단소송은 국내 최초로 파밍 사건을 놓고 진행되는 만큼 관심이 집중되고 있다.

이번 집단소송을 제기한 민모씨는 지난 5월 1일 00시 30분 경 집에 있는 컴퓨터에서 계좌이체를 하기 위해 포털사이트 네이버에 접속한 뒤, 검색창에 ‘신한은행’을 입력하고 상단의 신한은행 사이트를 클릭해 접속했다. 로그인을 위해 PC인증 절차 요구에 따라 아이디와 비밀번호, 보안카드 번호를 등을 입력했지만 로그인할 수 없다는 팝업창이 나타났고, 계좌이체가 되지 않았다.

그러나 이틀 후 ATM기에서 돈을 인출하는 과정에서 무려 2,300만원이 넘는 돈이 계좌이체된 사실을 발견했고 이에 놀라 신한은행에 지급정지를 신청하고 경찰서에 신고했다. 민모씨의 신한은행 예금통장에서는 지난 5월 1일 새벽 1시 26분부터 새벽 3시 3분까지 인터넷 뱅킹 및 스마트폰 뱅킹을 통해 총 11회에 걸쳐 돈이 이체됐다.

박모씨의 경우도 이와 유사하다. 네이버 검색창에 ‘농협’을 검색하고 농협 사이트에 접속해 보안강화 요구에 따라 아이디, 비번, 보안카드 등의 입력했지만 지난 5월 6일 밤 11시 16부터 11시 28분까지 총 8회에 걸쳐 1,590만원 이상의 돈이 이체된 사건이 발생했다. 이외에 나머지 3명도 유사한 파밍 사건으로 피해를 입으면서 집단소송으로 이어졌다.

최근 잇따른 금융사고 중 하나로 지목받고 있는 파밍은 해커가 고객 PC에 악성코드 등을 설치하여 고객이 정상적인 주소를 입력해도 위조 사이트로 이동되도록 해 고객정보를 탈취하는 해킹방식으로 잘 알려져 있다. 특히, 이용자가 미리 설정해 둔 즐겨찾기를 통해 접속한 경우, 포털사이트에서 금융기관을 검색하여 접속한 경우, 주소창에 정상적인 금융기관 주소를 입력하여 접속한 경우 등에 의해서도 가짜사이트로 연결될 수 있고, 화면이 정상사이트와 동일하다는 점에서 누구나 피해자가 될 수 있는 상황이다.

이번 사건을 맡은 법률사무소 민후의 김경환 대표변호사는 이 경우 전자금융거래법 제9조 제1항이 규정하는 접근매체인 공인인증서의 위조로 발생한 사고에 해당한다고 밝혔다.

전자금융거래법 제9조 제1항을 살펴보면 금융기관 또는 전자금융업자는 접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고로 인하여 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다는 내용을 담고 있다.

이는 전자금융거래법 제9조 금융기관의 책임조항을 해석함에 있어 접근매체의 위·변조 또는 해킹이나 전산장애 등 전자적 전송이나 처리과정에서의 사고로 인해 손해가 발생하는 경우에는 원칙적으로 금융기관 또는 전자금융업자가 과실유무에 관계없이 책임을 부담해야 한다는 조항에 따른 것이다.

또한, 신한은행과 농협 측이 금융기관으로서 사고 방지를 위해 합리적으로 요구되는 충분한 주의의무를 다했는지 여부를 살펴봐야 하고, 전자금융거래와 관련한 정보를 독점하고 있기 때문에 현실적으로 이용자들은 정보를 알 수 없다는 점, 이용자가 체계적인 보안조치를 취한다는 것은 불가능에 가까우므로 금융기관이 기술적보안조치를 취해야 한다는 것이다. 이는 금융기관에서 전자금융거래 서비스를 제공하는 만큼 금융기관에서 보안조치를 제대로 이행하고 있는지 따져볼 수 있는 대목이다.

이와 관련 김경환 변호사는 “보안전문가도 가짜사이트인지 파악하기 어렵고, 악성프로그램에 의해 금융사기가 발생한 사건으로 피해자가 전혀 눈치채지도 못한 사이에 고객의 전재산이 빠져나갔다”며, “피해자들이 유도된 가짜사이트에서 금융정보를 입력한 과실이 있지만 그것이 고의나 중과실이라고 단정할 수 없어 소송 진행 과정에서 금융기관의 과실 부분을 밝혀나갈 계획”이라고 말했다.

농협과 신한은행을 대상으로 파밍관련 집단소송이 최초로 진행되는 만큼 향후 진행과정과 결과에 귀추가 주목되고 있다. 또한, 이번 집단소송의 결과에 따라 향후 금융기관은 물론 보안분야 종사자 및 인터넷 이용자에게도 큰 영향을 미칠 것으로 보인다.

[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)