신용카드 비밀번호 유출과 부정사용 대금

카드회사는 도난 신고를 받은 날 기준 직전 60일의 신용카드 사용대금을 고의·과실 없는 회원에게 부담시킬 수 없다(여신전문금융업법 제16조 제2항·제3항, 여신전문금융업법 시행령 제6조의9 제1항). 위조·변조나 부정취득 정보 사용의 책임을 회원에게 지우려면, 카드회사가 회원의 고의·중과실을 증명하고 책임부담 계약도 체결되어 있어야 한다(같은 법 제16조 제6항).

쉽게 말하면 — 도난당한 카드로 다른 사람이 현금을 빌린 경우입니다. 신고를 받은 날 기준 직전 60일의 사용이라면, 회원에게 고의·과실이 없을 때 그 돈을 부담시킬 수 없습니다(여신전문금융업법 제16조 제2항·제3항, 여신전문금융업법 시행령 제6조의9 제1항). 다만 누설 경위를 모른다는 말만으로 잘못이 없음을 증명한 것은 아니라는 판결이 있습니다(2009다31970 판결요지 [2]). 사용 내역을 확인해 이용금액에 이의를 제기하면, 카드회사는 조사를 마칠 때까지 그 금액을 받을 수 없습니다(여신전문금융업법 제16조 제10항).

어떤 부정사용에서 비밀번호 유출이 문제 되는가?

개인 카드회원은 도난 카드의 부정사용과 위조·변조 또는 부정하게 얻은 카드정보의 사용을 구별해야 한다(여신전문금융업법 제16조 제1항·제5항). 여기서 부정사용은 권한 없는 다른 사람이 카드나 카드정보를 사용하는 상황을 뜻한다.

물품 결제도 분실·도난 신용카드의 사용이면 신고 전후의 책임과 회원 부담약정·무과실 예외를 같은 기준으로 판단한다(여신전문금융업법 제16조 제1항~제3항). 이용금액 이의에 따른 조사 중 수령금지도 적용된다(같은 법 제16조 제10항).

이용명세서와 계좌내역에서는 물품 결제, 현금서비스, 예금인출을 구분해 확인한다. 현금서비스는 카드로 돈을 빌리는 거래이고, 예금인출은 계좌에 있던 돈을 찾는 거래다. 도난 카드로 두 거래가 함께 이루어진 사건도 있다(2009다31970 이유 2).

예금인출 기능이 붙은 카드의 책임은 적용 약관도 함께 본다. 과거 한 사건에서는 당시 개인회원약관이 현금서비스와 예금인출을 구별하지 않아, 두 거래 모두 그 약관을 적용하였다(2009다31970 이유 1). 예금주가 은행에 예금 지급을 요구하는 문제는 예금이 다른 사람에게 지급된 경우 은행의 책임을 함께 읽을 수 있다.

카드회사가 가맹점에 이미 지급한 대금을 돌려달라고 하는 분쟁은 비대면 신용카드 부정사용과 가맹점의 차지백 책임에서 살펴본다.

도난을 신고하면 언제부터 카드회사가 책임지는가?

카드회사는 분실·도난 통지를 받은 때부터 카드 사용에 대한 책임을 지고, 신용카드는 통지 전의 일정 기간에도 책임을 진다(여신전문금융업법 제16조 제1항·제2항). 신고 후 책임은 신용카드회원과 직불카드회원 모두에 관한 규정이다(같은 법 제16조 제1항).

카드회사가 통지를 받은 날 기준 직전 60일 동안의 분실·도난 신용카드 사용대금이 신고 전 책임의 대상이다(여신전문금융업법 시행령 제6조의9 제1항). 다만 회원에게 책임의 전부나 일부를 지우는 계약이 있으면 그 계약에 따를 수 있다(여신전문금융업법 제16조 제3항). 이 계약은 서면 또는 전자문서로 해야 효력이 있다(같은 법 제16조 제7항).

앞의 60일 동안의 사용은 회원에게 고의나 과실이 없으면 그 계약으로 책임을 지울 수 없다(여신전문금융업법 제16조 제3항 단서, 여신전문금융업법 시행령 제6조의9 제1항). 저항할 수 없는 폭력이나 자신 또는 친족의 생명·신체에 대한 위해 때문에 비밀번호를 누설한 경우가 그 예다(같은 법 제16조 제3항 단서).

신고할 때에는 접수시각과 접수번호를 남겨 둔다. 카드회사는 통지를 받으면 즉시 접수자·접수번호 등 접수사실을 확인할 사항을 신고인에게 알려야 한다(여신전문금융업법 제16조 제4항). 이 자료로 문제 된 사용이 통지 전인지 후인지 대조할 수 있다.

비밀번호가 쓰였으면 회원이 모두 부담하는가?

분실·도난 신고를 받은 날 기준 직전 60일의 사용은, 비밀번호가 맞았어도 고의·과실 없는 회원에게 부담시킬 수 없다(여신전문금융업법 제16조 제3항 단서, 여신전문금융업법 시행령 제6조의9 제1항). 고의는 일부러 한 경우, 과실은 요구되는 주의를 기울이지 않은 경우를 뜻한다.

당시 약관이 비밀번호 유출로 생긴 모든 책임을 회원에게 지우던 사건에서도, 대법원은 무과실 회원까지 책임지는 해석을 받아들이지 않았다(2009다31970 이유 1). 상당한 이유 없이 사업자가 부담할 위험을 고객에게 넘기는 약관은 무효라는 규정에 따른 판단이다(약관의 규제에 관한 법률 제7조 제2호).

반면 그 사건의 회원약관은 카드와 비밀번호를 선량한 관리자의 주의로 관리하도록 정했다(2009다31970 이유 1). 선량한 관리자의 주의란 그 거래에서 통상 요구되는 주의를 뜻한다. 회원이 책임을 면하려면 카드의 분실·도난과 비밀번호 누설에 아무런 과실이 없음을 회원 스스로 증명해야 한다고 판단하였다(2009다31970 이유 1).

이는 도난 카드가 사용된 당시 약관의 해석이다. 현행법상 카드회사가 회원의 고의·중과실을 증명해야 하는 것은 위조·변조나 부정취득 정보 사용에 한정되며, 분실·도난 카드에는 적용되지 않는다(여신전문금융업법 제16조 제3항·제5항 제1호·제2호·제6항).

누설 경위가 밝혀지지 않으면 무과실이 인정되는가?

누설 경위를 모른다는 사정만으로 카드와 비밀번호 관리에 과실이 없었다고 증명한 것은 아니다(2009다31970 판결요지 [2]). 해당 판결은 다음과 같은 사정이 있던 2005년의 카드 도난·인출 사건을 판단한 것이다(2009다31970 이유 2).

모르는 사람이 회원의 가방 속 지갑에서 카드를 훔쳐, 비밀번호 오류 없이 현금서비스와 예금인출을 하였다(2009다31970 이유 2).
회원은 군번 가운데 네 자리로 비밀번호를 만들었고, 나중에 확보한 인출자의 사진 속 사람도 전혀 알지 못했다(2009다31970 이유 2).
친구가 사용 알림을 보고 신고를 시도했으나 본인확인 정보를 찾느라 지연되었고, 카드 정지와 회원의 도난 신고는 인출 뒤에 이루어졌다(2009다31970 이유 2).

대법원은 이 사정들이 누설 경위가 밝혀지지 않았다는 것에 불과하다고 보았다. 카드 이용·관리와 비밀번호 유출에 고의나 과실이 없다는 증명으로 인정하지 않았고, 회원의 상고를 기각하였다(2009다31970 이유 2·3).

무과실을 주장하는 회원은 카드 보관 장소, 마지막 사용, 비밀번호 관리 방식, 도난 발견 뒤 조치를 정리한다(2009다31970 이유 1·2). 확인된 사실과 기억나지 않는 부분을 나누고, 거래 알림과 신고기록도 보관한다.

위조·해킹이나 전자금융사고도 같은 기준인가?

위조·변조나 부정취득 정보의 사용은 도난된 실물 카드의 사용과 다른 책임요건으로 판단한다(여신전문금융업법 제16조 제3항·제5항·제6항). 카드회사의 분실·도난 카드 사용책임에는 그 책임을 특별히 정한 여신전문금융업법을 먼저 적용한다(같은 법 제16조 제1항~제3항, 전자금융거래법 제3조 제1항).

카드 위조·변조와 정보 부정사용

카드회사는 위조·변조 카드 사용과 해킹·전산장애·내부자정보유출 등 부정한 방법으로 얻은 카드정보의 사용에 책임을 진다(여신전문금융업법 제16조 제5항 제1호·제2호). 회원에게 책임을 지우려면 고의나 중과실을 카드회사가 증명하고, 그 경우 책임을 지운다는 계약도 체결되어 있어야 한다(같은 법 제16조 제6항). 계약은 서면 또는 전자문서여야 하고, 중과실은 계약서에 적힌 것만 해당한다(같은 법 제16조 제7항).

중과실은 매우 큰 부주의를 뜻하며, 법령과 계약이 정한 범위로 판단한다. 시행령은 고의·중과실로 비밀번호를 누설한 경우, 카드를 양도·담보로 제공한 경우 등을 정한다(여신전문금융업법 시행령 제6조의9 제2항 제1호·제2호). 사고에 회원의 고의·중과실이 있고 책임부담을 미리 약정했으며, 전자금융거래법 시행령 제8조의 어느 한 사유에도 해당하는 경우가 포함된다(같은 법 제6조의9 제2항 제3호).

명의를 도용하여 발급받은 카드 사용도 카드회사 책임이지만, 회원에게 고의나 중과실이 있는 경우는 제외된다(여신전문금융업법 제16조 제5항 제3호). 명의도용 발급은 위조·변조 및 부정취득 정보 사용과 구별하여 확인한다.

전자금융사고의 책임

접근매체란 거래지시나 이용자·거래내용 확인에 쓰이는 카드, 인증서, 필요한 비밀번호 등의 수단·정보다(전자금융거래법 제2조 제10호). 금융회사나 전자금융업자는 다음 어느 하나의 사고로 이용자에게 손해가 생기면 배상책임을 진다(같은 법 제9조 제1항).

접근매체의 위조·변조로 발생한 사고다(전자금융거래법 제9조 제1항 제1호).
계약체결 또는 거래지시의 전자적 전송·처리 과정에서 발생한 사고다(전자금융거래법 제9조 제1항 제2호).
전자금융거래용 장치나 정보통신망에 침입해 거짓 등 부정한 방법으로 얻은 접근매체를 이용한 사고다(전자금융거래법 제9조 제1항 제3호).

개인 이용자에게 책임을 지우려면 사고 발생에 고의나 중과실이 있고, 책임의 전부나 일부를 부담한다는 사전 약정도 있어야 한다(전자금융거래법 제9조 제2항 제1호). 고의·중과실은 시행령 범위 안에서 약관에 기재된 것에 한한다(같은 법 제9조 제3항). 소기업을 제외한 법인 이용자에게는 금융회사가 충분한 주의의무를 다한 경우의 별도 규정이 있다(같은 법 제9조 제2항 제2호).

고의·중과실로 정한 구체적 사유

추가 보안조치는 이용자의 신원·권한·거래지시 내용 등을 확인하는 법정 절차 외에 금융회사 등이 요구하는 조치다(전자금융거래법 제6조 제1항, 전자금융거래법 시행령 제8조 제3호).

전자금융거래법 시행령의 사유는 다음 중 어느 하나다. 다만 책임부담에는 앞서 본 사고 요건과 사전 약정·약관 기재도 필요하다(전자금융거래법 제9조 제1항~제3항).

접근매체를 제3자에게 빌려주거나 사용을 맡기고, 또는 양도·담보로 제공한 경우다. 법에 따른 선불전자지급수단·전자화폐의 양도·담보 제공은 제외된다(전자금융거래법 시행령 제8조 제1호).
다른 사람이 권한 없이 거래할 수 있음을 알았거나 쉽게 알 수 있었는데도 접근매체를 누설·노출·방치한 경우다(전자금융거래법 시행령 제8조 제2호).
이러한 추가 보안조치를 정당한 사유 없이 거부하여, 위의 침입·부정취득 접근매체 이용 사고가 생긴 경우다(전자금융거래법 시행령 제8조 제3호).
추가 보안조치의 매체·수단·정보를 누설·노출·방치하거나 타인에게 대여·사용위임·양도·담보 제공하여, 위의 침입·부정취득 접근매체 이용 사고가 생긴 경우다(전자금융거래법 시행령 제8조 제4호).

금융회사 등은 접근매체 분실·도난 통지를 받은 때부터 제3자의 사용으로 생긴 손해를 배상할 책임을 진다(전자금융거래법 제10조 제1항). 선불전자지급수단·전자화폐에는 시행령이 정한 예외가 있다(같은 법 제10조 제1항 단서). 다른 법령에 이용자에게 유리한 규정이 있으면 그 법령이 우선한다(같은 법 제10조 제2항).

청구에 이의가 있으면 무엇을 제출해야 하는가?

회원은 부정사용 내역과 신고시각, 적용 약관 및 관리 경위를 정리해 카드회사에 이용금액 이의를 제기할 수 있다(여신전문금융업법 제16조 제10항). 자료는 어떤 사용을 다투는지, 책임을 지우는 약정과 그 요건에 이견이 무엇인지 밝히기 위한 것이다.

이용금액 이의와 준비자료

신용카드회원은 서면·전화·전자문서 등으로 이용금액에 이의를 제기할 수 있다. 카드회사는 그 조사를 마칠 때까지 해당 금액을 받을 수 없다(여신전문금융업법 제16조 제10항). 제출자료는 다음과 같이 쟁점별로 묶어 둔다.

이용명세서·인출내역에서 부인하는 거래의 시각·장소·금액을 특정한다.
도난 신고의 접수번호·시각과 사용정지 기록을 정리한다.
가입 약관에서 사고 유형별 보상 제외 사유와 책임부담 조항을 표시한다.
카드·비밀번호 관리 경위와 이를 뒷받침하는 자료를 정리한다.

이는 이의 내용을 설명하기 위한 준비 목록이다. 카드회사가 위조·변조나 부정취득 정보 사용의 책임을 회원에게 지우기 위해 증명해야 할 고의·중과실과는 구별한다(여신전문금융업법 제16조 제6항).

전자금융거래 분쟁처리

이용자는 금융회사나 전자금융업자의 본점 또는 영업점에 서면·전자문서나 전자적 장치로 분쟁처리를 신청할 수 있다(전자금융거래법 시행령 제14조 제2항). 금융회사 등은 신청에 대한 조사 또는 처리 결과를 15일 이내에 알려야 한다(같은 법 제14조 제2항). 담당자 연락처는 인터넷 등으로 알려야 하고, 계약 체결 때 분쟁처리 절차도 명시해야 한다(같은 법 제14조 제1항, 전자금융거래법 제27조 제4항).

이용자는 금융감독원의 금융분쟁조정위원회나 한국소비자원의 소비자분쟁조정위원회에 조정을 신청할 수도 있다(전자금융거래법 시행령 제14조 제3항). 앞의 15일은 금융회사 등의 조사·처리 결과 통지기간이다(같은 법 제14조 제2항). 권리행사 기간과 중단 요건은 소멸시효에서 확인할 수 있다.

실무 체크포인트

도난을 알리면 접수자·접수번호를 받아 두고 통지시각과 각 사용시각을 대조한다(여신전문금융업법 제16조 제1항·제4항).
분실·도난 신용카드의 사용일이 통지를 받은 날 기준 직전 60일 안인지와 책임부담 약정을 확인한다(여신전문금융업법 시행령 제6조의9 제1항, 여신전문금융업법 제16조 제3항).
카드회사가 요구하는 부담의 근거가 도난인지, 위조·변조 또는 부정취득 정보 사용인지 확인한다(여신전문금융업법 제16조 제3항·제5항·제6항).
이용금액 이의를 제기한 내역과 접수 사실을 보관한다. 카드회사는 조사를 마칠 때까지 그 금액을 받을 수 없다(여신전문금융업법 제16조 제10항).