인증서를 도용한 전자계약과 본인의 채무

인증서를 도용당했더라도 전자문서의 귀속요건을 충족하고 적용예외가 없다면 명의인에게 계약효력이 미칠 수 있다(전자문서 및 전자거래 기본법 제7조 제2·3항). 구 공인전자서명의 추정효력과 현행 전자서명의 효력은 구별해야 한다(전자서명법 제3조). 계약효력이 인정돼도 금융회사의 본인확인조치 위반으로 손해가 생겼다면 별도 배상책임이 문제된다(전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법 제2조의4 제2항).

쉽게 말하면 — 사기범이 다른 사람의 인증서로 대출을 신청한 상황입니다. 명의인이 직접 신청하지 않았어도, 법이 정한 요건과 예외에 따라 대출의 효력이 명의인에게 미칠 수 있습니다(전자문서 및 전자거래 기본법 제7조 제2·3항). 실제 보험계약대출 사건에서는 법원이 대출효력을 인정하면서 보험회사의 별도 배상책임도 인정했습니다(2021가단5243198 이유 4.가·나). 법원은 그 보험계약대출의 권리·의무가 대출금액의 50% 범위에서만 존재한다고 확인했습니다(2021가단5243198 주문 1·이유 4.다).

인증서를 도용당하면 계약상 채무가 생기지 않는가

명의인은 인증서 도용만으로 언제나 계약효력을 부정할 수는 없으며, 전자문서의 귀속요건과 예외를 따져야 한다(전자문서 및 전자거래 기본법 제7조 제2·3항). 귀속이란 그 계약의 권리·의무가 누구에게 생기는지를 뜻한다. 남의 이름을 몰래 사용한 명의도용, 인증서의 부정 발급, 본인이 직접 신청한 경우는 사실관계부터 구분해야 한다.

수신자는 다음 어느 하나에 해당하면 문서에 담긴 의사표시를 작성자의 것으로 보아 거래할 수 있다(전자문서 및 전자거래 기본법 제7조 제2항).

작성자의 문서인지를 확인하기 위해 미리 작성자와 합의한 절차를 따른 경우이다(전자문서 및 전자거래 기본법 제7조 제2항 제1호).
「수신된 전자문서가 작성자 또는 그 대리인과의 관계에 의하여 수신자가 그것이 작성자 또는 그 대리인의 의사에 기한 것이라고 믿을 만한 정당한 이유가 있는 자에 의하여 송신된 경우」이다(같은 법 제7조 제2항 제2호).

그러나 작성자의 문서가 아니라는 통지를 받고 조치할 상당한 시간이 있었다면 예외가 적용된다(전자문서 및 전자거래 기본법 제7조 제3항 제1호). 제2항 제2호 거래에서는 문서가 작성자의 것이 아님을 알았거나, 상당한 주의 또는 합의한 절차로 알 수 있었던 때도 예외다(같은 법 제7조 제3항 제2호). 신청서에 적힌 이름만 볼 것이 아니라, 누가 어떤 인증수단과 확인절차를 거쳐 문서를 보냈는지 확인해야 한다. 대리권 없이 한 거래와 상대방의 신뢰에 관한 일반 설명은 무권대리·표현대리를 참고한다.

구 공인인증서로 체결한 대출은 어떻게 판단했는가

수신자는 구 공인인증서로 본인확인을 거친 전자문서라면 특별한 사정이 없는 한 작성자의 의사표시로 보아 거래할 수 있었다(2017다257395 이유 1). 대법원은 이 요건 아래에서는 전화나 면담을 통한 추가 본인확인 없이 거래할 수 있다고 판단했다(2017다257395 이유 1).

당시 공인전자서명의 효력

구 전자서명법은 공인전자서명을 서명자의 서명 등으로 추정하고, 서명 뒤 문서 내용이 변경되지 않았다고 추정했다(2017다257395 이유 1의 구 전자서명법 제3조 제2항). 추정은 반대 증거로 다툴 수 있는 법적 취급이다. 다른 법률이 제한하거나 배제하지 않으면 공인인증서로 본인임을 확인할 수 있다는 규정도 있었다(2017다257395 이유 1의 구 전자서명법 제18조의2).

당시 대부업법은 공인인증서로 본인확인을 하고 중요사항을 거래상대방이나 보증인이 직접 입력하게 하면 자필기재로 보았다(2017다257395 이유 1). 대법원은 이 규정까지 고려해 전자문서의 귀속 법리를 대부계약에도 적용했다(2017다257395 이유 1). 자필기재 방식의 충족과 누구에게 계약효력이 미치는지는 각각 해당 요건으로 판단하는 문제다.

부정 재발급 사건의 판단

보이스피싱 사기단이 개인정보를 속여 취득한 뒤 공인인증서를 재발급받은 사건에서도, 그 사정만으로 정당한 이유가 부정되기는 어렵다고 보았다(2017다257395 이유 2). 당시 통신사기피해환급법의 추가 본인확인 규정은 대부업자에게 적용되지 않는다고 판단했다(2017다257395 이유 2). 이 때문에 해당 대부업자가 휴대전화 등으로 추가 확인했어야 한다고 보기도 어렵다는 결론이었다(2017다257395 이유 2).

대법원은 대출효력을 부정한 원심을 파기하고 다시 심리하도록 환송했다(2017다257395 주문·이유 3).

현행 공동인증서도 같은 추정효력이 있는가

명의인은 현행 전자서명법의 서명효력과 구 공인전자서명에 관한 추정을 구별해야 한다(전자서명법 제3조). 현행법은 전자적 형태라는 이유만으로 서명 등의 효력을 부인하지 않는다(같은 법 제3조 제1항). 법령이나 당사자 약정에 따라 전자서명을 선택한 경우에는 서명·서명날인·기명날인으로서의 효력이 있다(같은 법 제3조 제2항).

제도 변경과 경과조치

공인인증서 제도를 바꾼 전부개정법은 2020년 12월 10일부터 시행됐다(전자서명법 부칙 제1조(2020.6.9)). 시행 당시 종전 규정에 따라 발급된 유효한 공인인증서는 종전 규정을 따른다(같은 법 부칙 제2조(2020.6.9)). 그 인증서에 기초한 전자서명도 종전 공인전자서명의 효력을 가진다(같은 법 부칙 제3조(2020.6.9)). 따라서 인증서의 이름뿐 아니라 발급·갱신 시점과 적용되는 경과조치를 확인할 필요가 있다.

현행 대부업법의 인증서를 이용한 자필기재 인정에는 실지명의를 확인할 수 있는 인증서로 본인확인을 해야 한다는 조건이 있다(대부업 등의 등록 및 금융이용자 보호에 관한 법률 제6조의2 제3항 제1호). 거래상대방이나 보증인이 인터넷으로 중요사항을 직접 입력해야 한다는 조건도 함께 충족해야 한다(같은 법 제6조의2 제3항 제1호).

개정 뒤 거래를 판단한 하급심 사례

현행 제도에서도 전자문서 수신자는 귀속요건과 예외에 따라 거래효력을 주장할 수 있다(전자문서 및 전자거래 기본법 제7조 제2·3항). 수원지방법원은 2022년 7월 13일의 저축은행 대출에서 다음 본인확인 절차들을 종합해 명의인에게 효력이 미친다고 판단했다(2023나97362 청구취지·이유 4.나.1).

실명확인증표 사본을 제출받고 기존 계좌를 활용했다(2023나97362 이유 4.나.1).
공동인증서·휴대전화를 활용하고 여러 고객정보를 검증했다(2023나97362 이유 4.나.1).

이는 구체적인 확인절차를 평가한 항소심 하급심 판단이다. 현재 거래의 귀속 여부도 인증서의 존재뿐 아니라 법정 요건과 예외에 따라 판단해야 한다(전자문서 및 전자거래 기본법 제7조 제2·3항).

수신자가 의심할 사정을 알았다면 어떻게 되는가

수신자가 작성자의 문서가 아니라는 통지를 받고 조치할 상당한 시간이 있었거나 법정 인지·주의의무 예외를 충족하면 귀속 특례를 적용받을 수 없다(전자문서 및 전자거래 기본법 제7조 제3항). 예외는 다음 두 경우 중 어느 하나에 해당하면 적용된다.

작성자가 자기 문서가 아니라고 통지했고, 수신자가 이를 받아 필요한 조치를 할 상당한 시간이 있었던 경우이다(전자문서 및 전자거래 기본법 제7조 제3항 제1호).
제2항 제2호 거래에서 수신자가 작성자의 문서가 아님을 알았던 경우이다. 상당한 주의를 하거나 합의한 절차를 따랐다면 알 수 있었던 때도 포함된다(같은 법 제7조 제3항 제2호).

첫 예외에서는 통지를 보냈다는 사실만으로 부족하고, 상대가 받은 시점과 조치할 시간도 확인해야 한다(전자문서 및 전자거래 기본법 제7조 제3항 제1호). 두 번째 예외는 정당한 이유에 기초한 제2항 제2호의 거래에 관한 규정이다(같은 법 제7조 제3항 제2호).

수원지방법원은 앞의 사건에서 허위 주소·전화번호·연소득만으로 은행이 신청확인서가 명의인의 것이 아님을 알 수 있었다고 단정하기 어렵다고 보았다(2023나97362 이유 4.나.2). 이상한 기재의 존재와 함께 그 당시 확인수단·확인결과를 대조하는 것이 필요하다. 이후 자기 문서가 아니라고 통지했다는 이유만으로 이미 체결된 계약이 자동으로 소급해 무효가 되는 것도 아니다(전자문서 및 전자거래 기본법 제7조 제3항 제1호).

채무가 인정되면 금융회사에 배상을 청구할 수 없는가

명의인에게 계약효력이 미쳐도 금융회사의 별도 본인확인·사고배상 요건을 충족하면 손해배상청구가 문제될 수 있다(2021가단5243198 이유 4.가·나). 손해배상은 상대의 의무 위반이나 법정 사고로 입은 손해를 배상받는 것이다. 계약효력, 금융회사에 적용되는 의무, 사고와 손해의 연결을 각각 확인해야 한다.

적용 대상과 대부업자의 범위

은행·저축은행·보험회사 등은 통신사기피해환급법상 본인확인 의무를 지는 금융회사등에 포함된다(통신사기피해환급법 제2조 제1호). 현재는 다음 두 요건을 모두 갖춘 대부업자도 대출신청의 본인확인 의무와 그 위반에 따른 배상책임의 적용 대상이다(통신사기피해환급법 시행령 제2조 단서·제4호).

대부업법 제3조 제2항 제5호에 따라 금융위원회에 등록한 대부업자여야 한다(대부업법 제3조 제2항 제5호).
직전 사업연도 말 기준 자산규모가 500억원 이상이어야 한다(대부업법 시행령 제6조의6 제1항 제2호).

이 확대 규정은 2026년 5월 12일 이후 신규로 대출을 신청하는 경우부터 적용된다(시행령 부칙 제1조(2025.11.11)·같은 영 부칙 제2조). 대부업자에게 책임을 묻는 명의인은 신청일, 해당 업체의 등록 근거와 직전 사업연도 말 자산규모를 확인해야 한다. 과거 판결 당시 대부업자가 제외됐다는 사실과 현재 적용범위는 다르다.

본인확인 방법과 예외

금융회사등은 이용자가 대출을 신청하면 법정 본인확인조치를 해야 한다(통신사기피해환급법 제2조의4 제1항 제1호). 금융회사등에 등록된 이용자 전화, 대면 확인, 또는 그 등록된 전화 확인과 같은 수준 이상으로 금융위원회가 인정·고시한 방법 중 하나로 확인한다(통신사기피해환급법 시행령 제2조의3 제1항). 이때 사기피해 방지를 위한 확인이라는 취지와 신청한 금융거래 내용을 알려야 한다(같은 영 제2조의3 제2항).

다음 어느 하나에 해당하면 본인확인조치의 예외가 적용된다(통신사기피해환급법 시행령 제2조의3 제3항).

법인 이용자가 본인확인을 희망하지 않는 경우이다(통신사기피해환급법 시행령 제2조의3 제3항 제1호).
이용자의 동의를 받은 출국정보 조회나 이용자가 제출한 출입국 사실증명서로 국외 거주·체류가 확인된 경우이다(통신사기피해환급법 시행령 제2조의3 제3항 제2호).
천재지변이나 이에 준하는 사유 등으로 본인확인이 사실상 불가능한 경우이다(통신사기피해환급법 시행령 제2조의3 제3항 제3호).

금융회사등이 본인확인 의무를 위반해 확인하지 않았고 그로 인해 손해가 생기면 이용자에게 배상책임을 진다(통신사기피해환급법 제2조의4 제2항). 별도로 일반 불법행위에 따른 배상을 구한다면 고의·과실에 의한 위법행위와 그로 인한 손해가 있어야 한다(민법 제750조).

전자금융사고와 통지 이후의 손해

금융회사나 전자금융업자는 다음 어느 하나의 사고로 이용자에게 손해가 생기면 배상책임을 진다(전자금융거래법 제9조 제1항).

접근매체의 위조·변조로 발생한 사고이다(전자금융거래법 제9조 제1항 제1호).
계약체결이나 거래지시의 전자적 전송·처리 과정에서 발생한 사고이다(같은 법 제9조 제1항 제2호).
전자적 장치나 정보통신망에 침입해 거짓·부정한 방법으로 얻은 접근매체를 이용한 사고이다(같은 법 제9조 제1항 제3호).

접근매체는 거래지시나 이용자·거래내용의 진실성·정확성 확보에 사용하는 수단·정보이며, 전자서명생성정보와 인증서도 포함된다(전자금융거래법 제2조 제10호 나목).

금융회사나 전자금융업자가 인증서의 분실·도난 등의 통지를 받았다면, 그때부터 제3자가 그 인증서를 사용해 생긴 이용자의 손해를 배상해야 한다(같은 법 제10조 제1항). 이용자에게 더 유리한 다른 법령이 있으면 그 규정이 우선한다(같은 법 제10조 제2항).

인증서에 관한 이 배상책임은 통지를 받은 때부터 발생한 제3자 사용 손해를 대상으로 한다(전자금융거래법 제10조 제1항). 앞서 설명한 전자문서의 귀속 예외에서 요구하는 상당한 조치시간과 구별해야 한다(전자문서 및 전자거래 기본법 제7조 제3항 제1호).

이용자가 부담하는 책임의 요건

사고 발생에 이용자의 고의·중과실이 있고 책임 부담을 미리 약정했다면, 이용자가 전부 또는 일부 책임을 질 수 있다(전자금융거래법 제9조 제2항 제1호). 여기서 고의·중과실은 시행령의 범위 안에서 약관에 적힌 경우로 한정된다(같은 법 제9조 제3항). 시행령은 다음 어느 하나를 그 범위로 정한다(전자금융거래법 시행령 제8조).

접근매체를 제3자에게 빌려주거나 사용을 맡기거나, 양도·담보 목적으로 제공한 경우이다(전자금융거래법 시행령 제8조 제1호). 다만 전자금융거래법 제18조에 따른 선불전자지급수단·전자화폐의 양도나 담보 제공은 제외한다(같은 영 제8조 제1호 괄호).
제3자의 무권한 사용 가능성을 알았거나 쉽게 알 수 있는데도 접근매체를 누설·노출·방치한 경우이다(전자금융거래법 시행령 제8조 제2호).
금융회사 등이 기본 확인 외에 요구한 추가 보안조치를 정당한 사유 없이 거부해, 전자금융거래법 제9조 제1항 제3호의 사고가 난 경우이다(같은 영 제8조 제3호).
추가 보안조치의 매체·수단·정보를 누설·노출·방치하거나 제3자에게 대여·사용위임·양도·담보제공해, 전자금융거래법 제9조 제1항 제3호의 사고가 난 경우이다(같은 영 제8조 제4호).

소기업을 제외한 법인 이용자에게 손해가 생긴 때에도 별도 예외가 있다(전자금융거래법 제9조 제2항 제2호). 금융회사 등이 보안절차 수립·철저한 준수 등 합리적으로 요구되는 충분한 주의의무를 다해야 이용자에게 책임을 부담시킬 수 있다(같은 법 제9조 제2항 제2호). 구체적인 약관의 계약 편입과 면책조항의 효력은 약관 규제를 참고한다.

배상이 인정된 경우와 부정된 경우

서울중앙지방법원은 공동인증서로 신청한 보험계약대출의 효력을 인정하면서도 보험회사의 본인확인·피해방지 의무 위반을 인정했다(2021가단5243198 이유 4.가·나). 신청 직전 인증서 발급, 토요일의 한도 전액 신청, SMS·공동인증서 외 확인절차 누락 등을 고려한 판단이다(2021가단5243198 이유 4.나.1). 법원은 피해자의 원격제어 프로그램 설치와 대응 경위 등을 참작해 그 사건의 배상책임을 대출금액의 50%로 제한했다(2021가단5243198 이유 4.나.2).

법원은 이 보험계약대출을 보험금·해약환급금의 선급금 성격으로 보았다(2021가단5243198 이유 3.다). 그 사건의 주문은 대출금액의 50%에 해당하는 범위에서만 약정상 권리·의무가 존재하고, 이를 넘는 부분은 존재하지 않는다는 확인이었다(2021가단5243198 주문 1·이유 4.다). 공식 수록본에 항소로 표시된 하급심 판결이며, 모든 도용 사고에 같은 배상비율이 적용되는 것은 아니다.

반면 앞의 저축은행 사건에서는 주소 등의 이상 기재를 이유로 한 손해배상 주장도 받아들여지지 않았다(2023나97362 이유 4.다). 명의인은 손해배상채권으로 대출채무를 맞없애는 상계도 주장했으나, 법원은 배상책임을 인정할 사정이 부족하다고 보았다(2023나97362 이유 4.다). 상계의 일반 요건과 방법은 상계를 참고한다.

명의인이 우선 확보할 자료는 무엇인가

명의인은 전자계약의 귀속과 금융회사의 별도 책임을 다투는 데 필요한 인증·본인확인·거래·통지 자료를 구분해 확보할 필요가 있다. 다음은 각 쟁점을 확인하기 위한 자료의 예시다.

인증서 발급·재발급·갱신 시점과 유효기간을 확인한다. 적용되는 제도와 경과조치를 판단하기 위한 자료다(전자서명법 부칙 제2조(2020.6.9)·같은 법 부칙 제3조(2020.6.9)).
대출신청서, 본인확인 수단·결과, 접속·인증 기록을 확보한다. 상대방이 어떤 절차로 본인 의사를 믿었는지 검토하기 위한 자료다(전자문서 및 전자거래 기본법 제7조 제2·3항).
입금·이체 내역과 거래 안내문자를 보존한다. 실제 손해와 피해를 알게 된 뒤의 대응을 확인하는 데 쓰인다(2021가단5243198 이유 1.나·4.나).
상대방에게 자기 문서가 아니라고 알린 내용·수신시각·응답을 보존한다. 통지 뒤 필요한 조치를 할 시간이 있었는지 판단하는 자료다(같은 법 제7조 제3항 제1호).
인증서·전자서명생성정보의 분실·도난은 해당 금융회사나 전자금융업자에게 알리고 접수시각과 그 이후 제3자 사용내역을 보존한다. 통지를 받은 뒤 발생한 사용 손해의 배상에 필요한 자료다(전자금융거래법 제10조 제1항).

이는 법정 제출서류 목록이 아니라 귀속요건과 별도 배상요건에 맞춘 자료 정리다. 상대가 채무를 주장하면, 계약효력 자체를 부정하는지 또는 별도 배상채권을 주장하는지를 구체화해야 한다. 단순히 자신이 사용하지 않았다는 진술만으로 언제나 채무를 부정할 수 있는 것은 아니다(2017다257395 이유 1·2). 전자자료의 재판상 제출방법은 전자문서·전자증거를 참고한다.

실무 체크포인트

인증서·전자서명생성정보의 분실·도난 통지 접수시각과 이후 제3자 사용으로 생긴 손해를 정리한다(전자금융거래법 제10조 제1항).
계약일·인증서 발급일·갱신일로 구 공인인증서 경과조치 대상인지 확인한다(전자서명법 부칙 제2조(2020.6.9)·같은 법 부칙 제3조(2020.6.9)).
상대방이 제출하는 본인확인 기록을 실제 신청내용과 대조한다. 자기 문서가 아니라는 통지의 수신시각과 상대방의 조치도 함께 정리한다(전자문서 및 전자거래 기본법 제7조 제2·3항).
전자금융사고의 배상을 구할 때에는 사고유형·손해와 이용자 책임을 정한 사전 약정·약관을 확인한다(전자금융거래법 제9조 제1~3항).