"추가인증 요구 안 해 보이스피싱 당했다"…법원, 3000만원 날린 고객에 "은행 일부 배상책임" 인정

보이스피싱에 속아 수천만 원을 날린 고객에게 은행이 사전에 공지한 추가 인증 절차를 실행하지 않았다면 일부를 배상해야 한다는 법원 판단이 나왔다.

서울중앙지법 민사항소4부(재판장 이대연)는 이모씨가 A은행을 상대로 제기한 손해배상 청구소송 항소심에서 “A은행이 이씨에게 1700여만원의 손해배상금을 지급하라”며 원고 일부 승소판결했다고 7일 밝혔다.

이모(44)씨는 지난 2014년 9월 지방세를 내려고 은행 사이트에 접속했다가 피싱에 걸려들었다. ‘금융감독원 사기예방 계좌등록 서비스’라는 팝업창이 나타나자 지시에 따라 계좌 비밀번호와 공인인증서 비밀번호, OTP(일회용 비밀번호)를 입력했다.

곧이어 ‘등록 중’이라는 표시가 뜨면서 2100만원이 출금됐다는 문자메시지가 왔다. 금감원 직원을 사칭하는 인물이 A씨에게 전화해 “전산장애로 인출됐으며 30분 안에 돈이 다시 들어올 것”이라며 전화를 끊었으나 돈은 돌아오지 않았다. 이후 다시 OTP 번호를 입력하라는 팝업이 떴고 보안등록 절차라고 생각한 이씨는 OTP 번호를 입력했다. 그 순간 계좌에서 900만원이 추가로 빠져나갔다.

이씨는 “당시 은행에서 ‘야간 및 휴일 거래 때 보안 매체에 관계없이 1일 100만원 이상 이체하면 추가 인증이 있다’고 공지했기 때문에 추가 인증을 하지 않아 돈이 빠져나갈 수 없다고 생각했다”고 주장했다. 피해액 3000만원과 이자로 지급한 42만5000원을 은행에서 물어내야 한다고 소송을 냈다.

실제 은행 측은 홈페이지에 ‘야간 및 휴일 거래 시 보안매체에 관계없이 1일 누적 100만 원 이상 이체 시 추가 인증이 있다’고 게시해왔다.

소송을 당한 은행은 “휴일에 OTP 이용고객에 대해 추가인증을 생략할 수 있다는 금융위원회의 가이드라인에 따른 것”이라고 항변했다. 추가 인증은 법적 의무가 아니라며 이씨에게 과실이 있다는 주장이다.

1·2심 재판부는 “이씨는 계좌 이체가 되려면 은행 측이 고지한 추가인증 절차가 반드시 실행될 것을 강하게 신뢰해 OTP 등을 입력한 것으로 보인다”며 은행에 배상 책임이 있다고 판단했다. 다만 은행의 책임 범위는 다르게 봤다.

1심은 은행의 주장을 일부 받아들여, 첫 번째 이체한 2100만원은 모두 은행이 책임지고, 두 번째 이체 금액의 경우 10%인 90만원만 배상하라고 판결했다.

그러나 2심은 은행이 전자금융사기 예방을 위한 안내메일을 발송했다는 점 등을 고려해 2100만원 가운데 80%와 이에 따른 이자만 배상하도록 했다. 두 번째 사기당한 900만원은 허위 팝업창에 중요한 개인정보를 입력하는 등 A씨의 부주의로 벌어진 일이어서 은행이 배상할 필요가 없다고 판단했다.