소비자24 열린소비자포털

신청인은 피신청인 1이 운영하는 사이트의 서비스를 이용하여 문화상품권 캐쉬를 관리하고 있었으나 2013. 4. 23. 해킹으로 인하여 여섯 차례에 걸쳐 합계 697,400원 상당의 캐쉬가 피신청인 2가 운영하는 게임 사이트에서 전액 사용되는 피해를 입었으므로 피신청인들이 이를 배상하여 줄 것을 요구함.

가. 신청인(소비자)

신청인은 현금처럼 사용하는 결제 수단을 다루는 회사라면 보안에 충분히 유의하여야 할 의무가 있는데 피신청인 1이 제공하는 보안 장치인 안전금고 서비스를 이용하였음에도 문화상품권 캐쉬를 제3자에 의하여 도용당하였고, 신청인의 평소 이용 내역과 달리 게임사이트에서 수 회에 걸쳐 다액를 사용하였음에도 전화나 문자 등으로 본인 확인을 하는 등 조치가 없었으며, 유사한 피해 사례가 다수 보고되고 있음에도 이를 방지할 안전 장치를 마련하는 등의 조치를 취하지 아니하였다면 해킹으로 인한 피해에 대하여 피신청인 1에게 책임이 있으므로 신청인이 캐쉬 도용으로 인하여 입은 손해를 배상할 것을 요구함. 신청인은 제3자에 의하여 신청인의 문화상품권 캐쉬가 피신청인 2가 운영하는 △△ 게임 사이트에서 사용되었으므로 이를 환급하여 줄 것을 요구함.

나. 피신청인(사업자)

(1) 피신청인 1

피신청인 1은 신청인이 입력한 아이핀 정보는 컬쳐랜드 사이트 내에 저장되지 아니하여 피신청인 1로서는 확인할 수 없고, 불법 도용자가 아이핀을 통하여 본인 인증을 받은 것으로 보아 신청인이 아이핀 계정 관리를 소홀히 하여 도용당한 것으로 추정되며, 컬쳐랜드 보안센터에서 안심금고 서비스를 비롯하여 지정IP 서비스와 사용처제한 서비스를 제공하고 있어 신청인이 이를 이용하였다면 피해를 방지할 수 있었을 것인데 이를 이용하지 아니하여 캐쉬를 도용당하였다면 피신청인 1의 관리 소홀로 인하여 피해가 발생하였다고 볼 수 없으므로 손해를 배상할 책임이 없다고 주장함.

(2) 피신청인 2

피신청인 2는 신청인의 컬쳐랜드 아이디로 정상 로그인하여 결제가 진행되었고, 컬쳐랜드 아이디는 피신청인 2의 관리 사항이 아니므로 결제 금액의 환불 요청을 수용할 수 없다고 주장함.

가. 사실 관계

(1) 사건 진행 경과

o 2011.경 신청인은 피신청인 1이 운영하는 컬쳐랜드 사이트에 회원 가입하여(아이디 ****uen) 문화상품권에 기재된 스크래치 번호를 입력하는 방식으로 액면가를 온라인 등록하여 가맹 사이트에서 현금과 같이 사용할 수 있는 캐쉬로 보관하는 등 피신청인 1이 제공하는 서비스를 이용함.

o 2013. 4. 21. 신청인이 피신청인 1 사이트에서 본인 인증절차를 진행하지 아니하였음에도 핸드폰으로 인증번호가 전송되어 확인을 위하여 피신청인 1 사이트에 접속하여 로그인 하였으나 아무런 이상이 없었음. - 신청인은 제3자가 해킹을 시도하는 과정에서 위 인증번호가 전송된 것이라고 주장함.

o 2013. 4. 22. 신청인이 피신청인 1 사이트에 접속하였는데 '게임문화상품권‘이라는 사이트로 연결되어 피신청인 1 고객센터에 문의하였으나 피신청인 1 상담직원이 IP 주소를 알려달라고 할 뿐 해명하지 아니함. - 이에 대하여 피신청인 1은 해킹을 방지하기 위하여 동일한 아이피로 수 회 호출 시 접속을 차단하기 위한 조치로 게임문화상품권 사이트에 연결되도록 한 것으로, 회사, 공공기관, 학교 등 다수가 사용하는 컴퓨터에서 접속하는 경우 이러한 문제가 종종 발생하며 위 사이트는 이 사건 해킹 사건과 무관하다고 주장함.

※ 신청인은 당시 회사 컴퓨터를 이용하여 피신청인 1 홈페이지에 접속함.

o 2013. 4. 23. 신청인이 보유하고 있던 캐쉬 697,400원이 여섯 차례에 걸쳐 전자결제업체인 △△△, ○○○, □□을 통하여 피신청인 2 사이트에서 사용됨. - 16:20경 성명불상자가 신청인의 아이핀을 이용하여 피신청인 1 사이트 비밀번호 찾기를 시도하였고, 16:24경 재차 시도하여 비밀번호 찾기에 성공함. 당시 인증 IP는 210.***.**.15.로 신청인이 평소 사용하던 IP와 다름. - 16:26경 신청인은 총 697,445원의 캐쉬를 안심금고에 보관하고 있었음. - 16:27경 65,000원을, 16:28경 150,000원을, 16:29경 150,000원을, 16:30 150,000원을, 16:31경 150,000원을, 16:33경 32,400원을 각 사용함. 당시 성명불상자가 넥슨에 사용한 IP는 ***.000.***.15로 확인됨.

o 2013. 4. 24. 신청인은 피신청인 1 사이트에서 로그인이 되지 아니하여 피신청인 1 고객센터에 해킹이 의심된다고 알렸고, 상담 과정에서 캐쉬 도용 사실을 알게 되어 서울서초경찰서에 피해 사실을 신고함.

o 2013. 6. 2. 신청인이 서울□□경찰서로부터 접속 당시 IP 추적 결과 중국에서 접속된 것으로 확인되는 바, 현재 사용하고 있는 △△△ 이동통신 접속 IP 조회를 통해서는 정확한 위치 확인이 불가하고, 다른 추적 단서가 없어 추가 단서가 발견될 때까지 내사중지한다는 내용의 통지를 받음.

(2) 피신청인 1 이용 약관

o 컬쳐캐쉬 약관 - 제13조 손해배상 1) 회사는 회사의 중대한 과실로 인하여 충전한 컬쳐캐쉬가 소멸되는 등 회원이 서비스 이용 시 손해를 입는 경우 컬쳐캐쉬 재충전 등 그에 상응하는 적절한 보상을 제공합니다. 2) 회사는 회원의 귀책사유나 1항의 내용 외에 발생하는 회원의 손실에 대해서 는 회사가 일체 책임을 지지 않습니다. 3) 회사는 회원이 서비스를 이용하여 기대하는 수익을 실한 것에 대하여 책임을 지지 않으며 그 밖에 서비스를 통하여 얻은 자료로 인한 손해에 관하여 책임을 지지 않습니다. 4) 회사는 회원이 서비스에 게재한 정보, 자료, 사실의 신뢰도, 정확성 등 내용에 관하여는 책임을 지지 않습니다.

(3) 피신청인 1이 제공하는 보안 수단

① 안심금고 서비스 - 보유하고 있는 컬쳐캐쉬 잔액을 안심금고에 자동으로 저장하여 본인 명의의 휴대폰이나 아이핀으로 본인 확인을 거쳐야만 캐쉬를 사용할 수 있는 보안서비스. ② 지정IP 서비스 - 사용자가 지정한 특정 IP에서만 접속이 가능하도록 하여 타인의 계정 도용으로 인한 피해를 미리 방지하는 보안서비스. - 지정되지 않은 IP에서 로그인하는 경우에는 본인 인증 후 로그인 가능함. ③ 사용처제한 서비스 - 캐쉬를 사용하는 사용처를 사용자가 직접 제한하여 제한된 사용처에서는 컬쳐캐쉬로 결제를 할 수 없도록 하여 도용 피해를 방지하는 보안서비스. - 제한 사용처가 없을 경우에는 모든 가맹점에서 캐쉬 사용 가능함. ※ 위 보안서비스는 모두 선택 사항으로, 신청인은 위 서비스 중 안심금고 서비스만 이용함.

(4) 아이핀(Internet Personal Identification Number) 관련 사항

o 아이핀(I-PIN)은 대면확인이 불가능한 인터넷 상에서 주민등록번호를 대신하여 본인임을 확인받을 수 있도록 만들어진 식별번호로, 공공아이핀센터, 서울신용평가정보, 나이스신용평가정보, 한국정보인증, 코리아크레딧뷰로 등 5개의 본인확인기관을 통해 발급받을 수 있고, 아이디와 패스워드의 발급은 휴대폰, 신용카드, 범용공인인증서, 대면확인 중 하나의 방법으로 신원확인을 통해 이루어짐.

o 신청인은 2012. 9. 25. △△△신용평가정보에서 아이핀을 발급받아 피신청인 1 사이트 안심금고 서비스 본인 인증에 사용함.

o 2013. 4. 23. 공공아이핀센터에서 ID ****n1로 성명불상자에 의하여 신청인 명의의 아이핀이 부정 발급됨. - 서울□□경찰서는 성명불상자가 **mail 주소로 신청인의 아이핀을 새로 발급받았는데, 외국 이메일의 경우에는 추적이 불가능하다고 답변함.

o 피신청인 1은 이 사건 해킹 사고 당시 성명불상자가 본인 인증 방법으로 신청인의 아이핀을 사용한 것은 확인되나, 신청인이 기존에 사용하던 아이핀으로 로그인 하였는지 부정 발급된 아이핀으로 로그인 하였는지 확인할 수는 없으며, 신청인이 평소 사용하던 IP 주소가 아닌 것으로 보아 아이핀이 부정 발급되었거나 도용당한 것으로 추정되는데 아이핀 부정 발급 또는 도용에 대한 책임은 아이핀 인증 업체에 물어야 한다고 주장함.

(5) 주요 분쟁 내용

o 아이디, 비밀번호 공유 및 신청인 귀책으로 인한 정보 유출 가능성에 관하여 - 신청인 주장 : 신청인 본인만 아이디와 비밀번호를 사용하고 있고, 피신청인 1 사이트 접속 시 거의 대부분 가정용 PC를 사용하였으며, 가정용 PC와 업무용 PC 모두 본인만 사용하고, 정기적으로 바이러스 체크를 하는 등 철저히 관리하였므로 제3자에 의한 도용 가능성은 없음. 이 사건 해킹 무렵 약 2회 비밀번호를 변경함. - 피신청인 1 주장 : 추가적인 입증자료 없이 신청인 진술을 100% 신뢰하기는 어렵고, 신청인의 관리 소홀로 인하여 개인정보가 유출되었을 가능성을 배제할 수 없음. o 시스템 관리 소홀 여부에 관하여 - 신청인 주장 : 현금과 같은 결제 수단을 취급하는 회사라면 보안에 유의하여야 하고, 특히 평소의 사용 패턴과 다른 이용이 발견되는 경우 사용을 차단하는 등의 장치를 마련하여야 하는바, 약 5분 내에 여섯 차례에 걸쳐 다액을 게임사이트에서 도용당하였다면 이는 차단 장치를 마련하지 아니한 피신청인 1의 시스템 관리 상의 문제임. - 피신청인 1 주장 : 한국신용평가 모듈을 사용하여 피신청인 1 사이트에서 아이핀 인증을 하더라도 신청인의 아이핀 계정 아이디, 패스워드를 피신청인 1 사이트에 저장할 수 없음. 성명불상자가 신청인의 아이핀으로 본인 인증을 받았다면 피신청인 1의 관리 소홀로 볼 수 없음. 피신청인 1은 한국인터넷진흥원에 사이트 관리를 위탁하고 있고, 정보보호관리체계(ISMS) 인증을 획득하는 등 보안 관리 의무를 충실히 이행하고 있음.

o 유사 해킹 사건 발생 여부에 관하여 - 신청인 주장 : 포털사이트에서 피신청인 1 사이트 해킹 사례를 검색하면 수년간 유사한 피해가 빈발하고 있음을 알 수 있는데, 피신청인 1이 이러한 상황에서도 근본적인 대책을 마련하지 아니하였음. - 피신청인 1 주장 : 유사한 해킹 사례가 많이 발생하는 것은 인정하지만, 뚜렷한 대책이 없는 상황임. 아이핀 유출로 인한 사고가 대부분인데, 아이핀 인증이 국가에서 제도적으로 인정하는 것인 이상 이를 막을 별도의 수단을 강구하기는 어려움.

나. 관련 법규

(1) 「전자금융거래법」(2013. 5. 22. 법률 제11814호로 개정되기 전의 것)

o 제2조(정의) 이 법에서 사용하는 용어의 정의는 다음과 같다. 4. "전자금융업자"라 함은 제28조의 규정에 따라 허가를 받거나 등록을 한 자(금융기관을 제외한다)를 말한다. 7. "이용자"라 함은 전자금융거래를 위하여 금융기관 또는 전자금융업자와 체결한 계약(이하 "전자금융거래계약"이라 한다)에 따라 전자금융거래를 이용하는 자를 말한다. 8. "전자적 장치"라 함은 전자금융거래정보를 전자적 방법으로 전송하거나 처리하는데 이용되는 장치로서 현금자동지급기, 자동입출금기, 지급용단말기, 컴퓨터, 전화기 그 밖에 전자적 방법으로 정보를 전송하거나 처리하는 장치를 말한다. 10. "접근매체"라 함은 전자금융거래에 있어서 거래지시를 하거나 이용자 및 거래내용의 진실성과 정확성을 확보하기 위하여 사용되는 다음 각 목의 어느 하나에 해당하는 수단 또는 정보를 말한다. 가. 전자식 카드 및 이에 준하는 전자적 정보 나. 「전자서명법」 제2조제4호의 전자서명생성정보 및 같은 조제7호의 인증서 다. 금융기관 또는 전자금융업자에 등록된 이용자번호 라. 이용자의 생체정보 마. 가목 또는 나목의 수단이나 정보를 사용하는데 필요한 비밀번호 14. "선불전자지급수단"이라 함은 이전 가능한 금전적 가치가 전자적 방법으로 저장되어 발행된 증표 또는 그 증표에 관한 정보로서 다음 각 목의 요건을 모두 갖춘 것을 말한다. 다만, 전자화폐를 제외한다. 가. 발행인(대통령령이 정하는 특수관계인을 포함한다) 외의 제3자로부터 재화 또는 용역을 구입하고 그 대가를 지급하는데 사용될 것 나. 구입할 수 있는 재화 또는 용역의 범위가 2개 업종(「통계법」 제22조제1항의 규정에 따라 통계청장이 고시하는 한국표준산업분류의 중분류상의 업종을 말한다. 이하 이 조에서 같다)이상일 것

o 제9조(금융기관 또는 전자금융업자의 책임) ① 금융기관 또는 전자금융업자는 접근매체의 위조나 변조로 발생한 사고, 계약체결 또는 거래지시의 전자적 전송이나 처리과정에서 발생한 사고로 인하여 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다. ② 제1항의 규정에 불구하고 금융기관 또는 전자금융업자는 다음 각 호의 어느 하나에 해당하는 경우에는 그 책임의 전부 또는 일부를 이용자가 부담하게 할 수 있다. 1. 사고 발생에 있어서 이용자의 고의나 중대한 과실이 있는 경우로서 그 책임의 전부 또는 일부를 이용자의 부담으로 할 수 있다는 취지의 약정을 미리 이용자와 체결한 경우 2. 법인( 「중소기업기본법」 제2조제2항에 의한 소기업을 제외한다)인 이용자에게 손해가 발생한 경우로 금융기관 또는 전자금융업자가 사고를 방지하기 위하여 보안절차를 수립하고 이를 철저히 준수하는 등 합리적으로 요구되는 충분한 주의의무를 다한 경우 ③ 제2항제1호의 규정에 따른 이용자의 고의나 중대한 과실은 대통령령이 정하는 범위 안에서 전자금융거래에 관한 약관(이하 “약관”이라 한다)에 기재된 것에 한한다. o 제28조(전자금융업의 허가와 등록) ① 전자화폐의 발행 및 관리업무를 행하고자 하는 자는 금융위원회의 허가를 받아야 한다. 다만, 「은행법」에 따른 은행 그 밖에 대통령령이 정하는 금융기관은 그러하지 아니하다. ② 다음 각 호의 업무를 행하고자 하는 자는 금융위원회에 등록하여야 한다. 다만, 「은행법」에 따른 은행 그 밖에 대통령령이 정하는 금융기관은 그러하지 아니하다. 1. 전자자금이체업무 2. 직불전자지급수단의 발행 및 관리 3. 선불전자지급수단의 발행 및 관리 4. 전자지급결제대행에 관한 업무 5. 그 밖에 대통령령이 정하는 전자금융업무

(2) 「전자금융거래법 시행령」(2013. 11. 22. 대통령령 제24880호로 개정되기 전의 것)

o 제8조 (고의나 중대한 과실의 범위) 법 제9조제3항에 따른 고의나 중대한 과실의 범위는 다음 각 호와 같다. 1. 이용자가 접근매체를 제3자에게 대여하거나 그 사용을 위임한 경우 또는 양도나 담보의 목적으로 제공한 경우(법 제18조에 따라 선불전자지급수단이나 전자화폐를 양도하거나 담보로 제공한 경우를 제외한다) 2. 제3자가 권한 없이 이용자의 접근매체를 이용하여 전자금융거래를 할 수 있음을 알았거나 쉽게 알 수 있었음에도 불구하고 접근매체를 누설하거나 노출 또는 방치한 경우

(3) 「민법」

o 제379조(법정이율) 이자있는 채권의 이율은 다른 법률의 규정이나 당사자의 약정이 없으면 연 5분으로 한다.

다. 책임 유무 및 범위

(1) 피신청인 1에 대한 판단

피신청인 1은 신청인의 관리 소홀로 개인정보가 유출되어 아이핀이 부정 발급되었거나 도용되었을 가능성이 높고, 아이핀으로 본인 인증을 한 이상 피신청인 1에게는 책임이 없으며, 신청인이 지정IP 서비스와 사용처제한 서비스를 이용하였다면 이 사건 해킹 사고는 발생하지 아니하였을 것이므로 신청인이 입은 손해를 배상할 책임이 없다고 주장한다. 살피건대, 피신청인 1은 ‘컬쳐랜드’라는 인터넷 사이트를 개설하여 쇼핑, 영화, 도서 등 온라인 가맹점에서 사용할 수 있는 선불전자지급수단을 발행하고 관리하는 업무를 하는 회사로 「전자금융거래법」제28조 제2항에 따라 금융위원회에 전자금융업자로 등록하였고, 신청인은 2011.경 피신청인 1 사이트에서 회원가입하여 피신청인 1과 거래를 하여 왔다. 그런데 중국에 거주하는 성명불상의 해커가 권한 없이 2013. 4. 23. 알 수 없는 방법으로 취득한 신청인의 개인정보를 이용하여 신청외 공공아이핀인증센터로부터 신청인 명의의 아이핀을 부정 발급받았고, 위와 같이 부정한 방법으로 획득한 신청인의 아이핀을 이용하여 피신청인 1 사이트에서 본인 인증을 하여 같은 날 16:27경부터 16:33경 사이에 여섯 차례에 걸쳐 신청인이 보유하고 있던 피신청인 1 사이트 캐쉬 합계 697,400원을 전자결제업체인 △△△, ○○○, □□를 통하여 피신청인 2 사이트에서 사용하였다. 「전자금융거래법」 제9조의 입법취지는 복잡하고 전문적인 특성을 지녀 원인규명이 어려운 금융사고에 대한 책임부담 원칙을 명확히 규정하려는 것이고, 해킹, 전산장애 등 이용자의 고의·중과실에 의하지 아니한 전자금융사고로 인하여 이용자에게 손해가 발생한 경우에는 전자금융관련 시설을 유지·관리하는 금융기관 또는 전자금융업자가 그 고의·과실에 관계없이 책임을 부담하도록 함으로써 이용자 보호에 중점을 두고 있는바, 이는 민사상 책임에 관한 규정이므로 위조 또는 변조의 개념을 엄격하게 해석할 필요가 없고, 2013. 5. 22. 법률 제11814호로 개정되어 같은 해 11. 23.부터 시행 중인 「전자금융거래법」제9조에서 부정한 방법으로 획득한 접근매체의 이용으로 발생한 사고를 적용대상으로 추가하고 있는 점을 고려할 때 권한 없는 성명불상자가 신청인의 개인정보를 이용하여 시스템 운영 주체의 의사에 반해서 아이핀을 부정 발급받은 행위도 「동법」에서 정하는 접근매체의 위조에 해당한다고 봄이 상당하다. 그렇다면 전자금융업자인 피신청인 1은 특별한 사정이 없는 한 「동법」제9조 제1항에 의하여 접근매체의 위조로 발생한 사고로 인하여 이용자인 신청인에게 발생한 손해를 배상할 책임이 있다고 할 것이다. 그러나 이 사건 해킹 사고와 같은 피해가 수년간 다수 발생하였고, 신청인이 피해 발생 가능성을 통지하여 피신청인 1이 정황상 성명불상자에 의한 해킹 시도를 알 수 있었음에도 아무런 조치를 취하지 아니한 사실이 인정되더라도, 신청인 또한 사전에 해킹 가능성을 예견하였음에도 피신청인 1 고객센터에 연락하는 외에 다른 조치를 취하지 아니하였고, 신청인이 피신청인 1이 제공하는 보안 수단을 중복 사용하였다면 이 사건 해킹 사고를 미리 방지할 수 있었음에도 신청인이 가장 취약한 보안 수단인 안심금고 서비스만을 이용하였으며, 성명불상자에 의하여 아이핀이 발급된 경위를 명확하게 확인할 수는 없어 아이핀 발급을 위하여 필요한 개인정보가 신청인의 과실로 유출되었을 가능성도 배제할 수 없으므로 피신청인 1에게 전적으로 책임을 묻는 것은 가혹하고, 신청인도 이러한 취지에서 최소한 도용된 캐시 금액의 70%까지 배상할 것을 요구하고 있으므로, 위와 같은 제반사정을 참작하여 피신청인 1의 손해배상책임을 70%로 제한함이 상당하다고 판단된다. 따라서 피신청인 1은 신청인에게 금 488,000원(697,400원 × 70/100 = 488,180원, 1,000원 미만 버림)을 지급하고, 만일 피신청인 1이 위 지급을 지체하면 「민법」 제379조에 따라 조정 결정일로부터 6주가 경과한 날인 2014. 2. 4.부터 다 갚는 날까지 연 5%의 비율에 의한 지연배상금을 가산하여 지급함이 상당하다.

(2) 피신청인 2에 대한 판단 신청인은 이 사건 해킹 사고를 알게 된 즉시 피신청인 2에게 신고하였으나 이미 성명불상자에 의하여 캐쉬가 소진된 상태여서 손해를 입었는바, 이 사건 해킹과 같은 사고가 대부분 게임사이트를 통하여 발생함에도 피신청인 2가 별도의 인증 절차를 마련하지 아니하여 신청인이 손해를 입었으므로 배상할 책임이 있다고 주장한다. 살피건대, 피신청인 2가 온라인 게임사이트를 운영하면서 전자결제를 통하여 유료아이템을 판매하고 있다 하더라도 피신청인 2에게 전자결제 시 본인 확인을 위한 아이핀의 위조 여부나 도용 여부를 확인하여야 할 주의의무가 있다고 보기 어렵고, 나아가 별도의 인증 절차를 마련하여야 할 의무가 있다고 볼 수 없는 이상, 성명불상자가 권한 없이 발급받은 신청인의 아이핀을 이용하여 본인 인증을 하고 단계에 따라 정보를 입력하여 정상적인 결제 절차를 거쳐 과금 처리되었다면 피신청인 2에게 신청인이 캐쉬를 도용당하여 입은 손해를 배상할 책임이 있다고 보기 어렵다고 판단된다. 따라서 신청인의 피신청인 2에 대한 신청에 대하여는 조정하지 아니함이 상당하다.

라. 결 론

피신청인 1은 2014. 2. 3.까지 신청인에게 금 488,000원을 지급하고, 만일 피신청인 1이 위 지급을 지체하면 2014. 2. 4.부터 다 갚는 날까지 연 5%의 비율에 의한 지연배상금을 가산하여 지급하며, 신청인과 피신청인 2 사이의 분쟁조정 신청에 대하여는 조정하지 아니한다.

1. 피신청인 1은 2014. 2. 3.까지 신청인에게 금 488,000원을 지급한다.

2. 만일 피신청인 1이 제1항의 지급을 지체하면 2014. 2. 4.부터 다 갚는 날까지 연 5%의 비율에 의한 지연배상금을 가산하여 지급한다. 3. 신청인과 피신청인 2 사이의 분쟁조정 신청에 대하여는 조정하지 아니한다.