부고장 링크 사기로 계좌가 털렸는데 은행 배상되나요 

안녕하세요 [서울대] 법무법인 도모 대표변호사 고준용입니다.

최근 지인의 부고장이나 청첩장으로 위장한 문자 링크를 눌렀다가 휴대전화에 악성 앱이 깔리고, 은행 계좌에서 돈이 빠져나갔다는 상담이 늘고 있습니다. 2025년 11월 경찰이 발표한 스미싱 조직 검거 사건에서도 이런 문자에 속은 피해자가 1,000여 명, 피해액이 약 120억 원에 이르렀습니다.

상담하시는 분들 중 상당수는 “내가 이체한 게 아니니 은행이 당연히 물어주겠지”라고 생각해 별다른 준비 없이 은행에 문의합니다. 그런데 은행에서 “고객님이 링크를 누르고 앱을 설치하셨기 때문에 면책 대상입니다”라는 답이 돌아오는 경우가 적지 않습니다. 반대로 “링크를 누른 건 내 잘못이니 다 포기해야 한다”며 신고를 미루거나, 감염된 휴대전화를 바로 초기화해 설치 시각과 경로를 보여줄 자료까지 지워버리는 경우도 있습니다.

대법원은 전자금융거래법상 은행이 책임지는 ‘사고’를 권한 없는 제3자에 의해 전자금융거래가 이행된 경우로 보고, 이용자에게 ‘고의 또는 중대한 과실’이 있는지는 수법의 내용과 일반인의 인식 정도, 이용자의 직업과 금융거래 경력 등 제반 사정을 종합해 판단하고 있습니다. 링크를 눌렀다는 사실 하나로 결론이 정해지는 것이 아니라, 그 뒤에 무엇을 했는지가 결과를 가릅니다.

아래에서는 부고장 링크 스미싱으로 계좌에서 돈이 빠져나갔을 때 은행에 배상을 청구할 수 있는 법적 근거와 한계, 그리고 신고부터 청구까지 무엇을 먼저 확인해야 하는지 판례와 조문을 중심으로 살펴보겠습니다.

1. 링크를 누른 뒤 무단으로 빠져나간 돈은 ‘내가 보낸 송금’이 아닙니다

내가 거래를 지시하지 않았다면, 전자금융거래법은 원칙적으로 은행에 배상 책임을 지웁니다.

부고장 스미싱은 대체로 문자 속 링크로 악성 앱을 설치하게 만든 뒤, 휴대전화에 저장된 개인정보와 금융 인증정보를 빼내 범인이 피해자 명의로 이체를 실행하는 구조입니다. 감염된 휴대전화는 연락처의 지인들에게 같은 문자를 다시 뿌리는 통로로도 쓰입니다. 이때 이체를 지시한 사람은 피해자가 아니라 범인입니다.

전자금융거래법 제9조 제1항은 접근매체의 위조·변조로 발생한 사고, 거래지시의 전자적 전송·처리 과정에서 발생한 사고, 그리고 정보통신망에 침입해 거짓이나 그 밖의 부정한 방법으로 획득한 접근매체를 이용해 발생한 사고로 이용자에게 손해가 생기면 금융회사가 그 손해를 배상할 책임을 진다고 정하고 있습니다. 악성 앱으로 빼낸 인증정보로 이체가 이뤄진 사건에서는 이 중 마지막 유형이 문제되는 경우가 많고, 은행의 과실을 피해자가 따로 입증해야 하는 구조도 아닙니다. 대법원은 이 조항의 취지를 다음과 같이 설명합니다.

구 전자금융거래법 제9조 제1항에 따라 금융기관 또는 전자금융업자가 손해배상책임을 부담하는 ‘사고’는 권한 없는 제3자에 의하여 전자금융거래가 이행되거나 이용자의 거래지시가 없었음에도 전자금융거래가 이행되거나 이용자의 거래지시가 있었으나 그에 따라 전자금융거래가 이행되지 아니한 경우 등을 의미한다(대법원 2015. 5. 14. 선고 2013다69989, 69996 판결).

이 판결은 개정 전 조문을 적용한 것이지만, 권한 없는 제3자의 거래를 은행이 책임지는 구조는 지금의 제9조 제1항에도 그대로 담겨 있습니다. 같은 판결은 반대로 이용자가 거래지시를 해서 본래 의도한 대로 거래가 이행된 경우에는 특별한 사정이 없는 한 이 ‘사고’에 해당하지 않는다고 봅니다. 그래서 수사기관 사칭 전화에 속아 본인이 직접 이체한 사건과 달리, 부고장 스미싱에서는 이체가 실행된 시각에 본인이 직접 조작했는지, 알림과 접속 기록이 그와 맞는지를 가장 먼저 확인해야 합니다.

부고장 링크를 통해 본인이 지시하지 않은 이체가 이뤄졌다면, 전자금융거래법상 ‘사고’로서 원칙적으로 은행이 배상 책임을 집니다.

2. 은행이 책임을 면하려면 이용자의 ‘고의 또는 중대한 과실’과 약관상 근거가 함께 있어야 합니다

링크를 눌렀다는 사실만으로 은행이 자동으로 면책되지는 않습니다.

같은 조 제2항은 예외를 둡니다. 사고 발생에 이용자의 고의나 중대한 과실이 있고, 그 책임의 전부 또는 일부를 이용자의 부담으로 할 수 있다는 취지의 약정을 미리 체결한 경우에 한해 은행이 책임을 이용자에게 넘길 수 있습니다. 여기에 제3항이 한 겹을 더 얹어, 인정되는 고의·중대한 과실은 대통령령이 정하는 범위 안에서 전자금융거래 약관에 기재된 것에 한정됩니다. 결국 은행이 면책을 주장하려면 이용자의 중대한 과실, 사전 약정, 약관 기재를 모두 갖춰야 합니다.

전자금융거래법 시행령 제8조가 정한 범위는 네 가지입니다. 접근매체를 제3자에게 대여하거나 사용을 위임하거나 양도·담보로 제공한 경우, 제3자가 권한 없이 접근매체를 이용해 거래할 수 있음을 알았거나 쉽게 알 수 있었음에도 접근매체를 누설·노출·방치한 경우, 금융회사가 요구한 추가 보안조치를 정당한 사유 없이 거부한 경우, 그리고 그 추가 보안조치에 쓰이는 매체·정보를 누설·노출·방치하거나 대여·양도한 경우입니다. 뒤에서 볼 대법원 판결도 이 중 ‘쉽게 알 수 있었음에도 노출’했다는 제2호를 근거로 삼았습니다.

이 예외는 책임의 ‘전부 또는 일부’를 이용자에게 지우는 것이라, 이용자의 과실이 인정되더라도 사안에 따라 전액 면책이 아니라 은행과 이용자가 손해를 나눠 지는 결론이 가능합니다. 다만 이용자가 법인(소기업 제외)인 경우에는 별도 규정이 있어, 은행이 보안절차를 수립하고 철저히 준수하는 등 합리적으로 요구되는 충분한 주의의무를 다했다면 책임을 면할 수 있습니다. 사업체 명의 계좌가 털린 경우라면 이 점을 따로 따져봐야 합니다.

은행의 면책은 ‘링크를 눌렀다’는 사실이 아니라, 중대한 과실·사전 약정·약관 기재가 모두 갖춰질 때에만 가능합니다.

3. 링크를 누른 뒤 어디까지 했는지가 ‘중대한 과실’ 판단을 가릅니다

링크 클릭, 앱 설치, 금융정보 입력은 각각 다른 무게로 평가됩니다.

‘중대한 과실’이 있는지는 결국 사실관계 싸움이고, 대법원은 그 판단 틀을 이렇게 제시했습니다.

전자금융거래법 제9조, 전자금융거래법 시행령 제8조 등에서 정하는 ‘고의 또는 중대한 과실’이 있는지 여부는 접근매체의 위조 등 금융사고가 일어난 구체적인 경위, 그 위조 등 수법의 내용 및 그 수법에 대한 일반인의 인식 정도, 금융거래 이용자의 직업 및 금융거래 이용경력 기타 제반 사정을 고려하여 판단할 것이다(대법원 2014. 1. 29. 선고 2013다86489 판결).

이 판결의 사안은 검사를 사칭한 전화에 속은 이용자가 가짜 사이트에서 주민등록번호, 계좌번호와 비밀번호, 보안카드번호와 보안카드 비밀번호까지 입력했고, 범인이 그 정보로 공인인증서를 재발급받아 여러 금융기관에서 대출을 받은 사건입니다. 법원은 보이스피싱에 대한 사회적 경각심이 높았던 점, 이용자가 만 33세로 사회경험이 있고 1년 이상 인터넷뱅킹을 이용해 온 점, 국제전화를 받고 이상하다고 느꼈다고 진술한 점, 그럼에도 인증서 발급에 필수적인 정보를 모두 알려준 점을 종합해 중대한 과실을 인정했고 금융기관의 전부 면책을 받아들였습니다.

이 판결이 중대한 과실을 인정한 근거는 링크나 접속 자체가 아니라, 금융 접근정보를 스스로 넘겼다는 점과 이상 징후를 느끼고도 진행했다는 점 등을 종합한 것입니다. 부고장 스미싱 사건에서도 같은 축으로 다툼이 생깁니다. 앱을 설치하는 과정에서 출처를 알 수 없는 앱의 설치를 막는 경고 화면을 스스로 넘겼는지, 보안카드 번호나 OTP·비밀번호를 직접 입력했는지, 부고장·청첩장 위장 문자가 널리 알려진 뒤라 수법을 알 수 있었는지, 이용자의 나이·직업·인터넷뱅킹 경력이 어떤지가 각각 쟁점이 됩니다.

이런 사실관계는 이체 시각, 접속 기기, 인증 수단이 남아 있는 은행 기록과 휴대전화의 설치 이력·문자 원문으로 확인됩니다. 어떤 자료를 언제 확보했느냐가 결론에 직접 영향을 줍니다.

중대한 과실은 링크를 눌렀다는 사실이 아니라, 금융정보를 스스로 넘겼는지와 수법을 알 수 있었는지를 종합해 가려집니다.

4. 범인은 여러 죄명으로 처벌되고, 피해액이 5억원을 넘으면 형이 크게 무거워집니다

악성 앱 유포, 무단 이체, 접근매체 탈취는 각각 별개의 죄이고, 이득액이 크면 특경법 구간에 들어갑니다.

악성 앱을 문자로 퍼뜨린 행위는 정보통신망법 제48조 제2항, 제70조의2에 따라 7년 이하의 징역 또는 7천만원 이하의 벌금에 처해집니다. 대법원은 이 죄가 악성프로그램을 전달하거나 유포하는 행위만으로 성립하고, 그로 인해 정보통신시스템 등이 훼손되는 결과가 발생할 것까지 요구하지 않는다고 봅니다(대법원 2020. 10. 15. 선고 2019도2862 판결).

계좌에서 돈을 이체한 행위에는 형법 제347조의2 컴퓨터등사용사기가 적용될 수 있고 20년 이하의 징역 또는 5천만원 이하의 벌금까지 가능합니다. 여기에 전자금융거래법 제49조 제2항 제4호, 즉 전자금융거래를 위한 전자적 장치에 침입해 부정한 방법으로 접근매체를 획득하거나 그렇게 획득한 접근매체로 전자금융거래를 한 행위가 더해지면 7년 이하의 징역 또는 5천만원 이하의 벌금 대상이 됩니다.

피해액이 크면 특정경제범죄가중처벌법 제3조가 적용됩니다. 컴퓨터등사용사기로 취득한 이득액이 5억원 이상 50억원 미만이면 3년 이상의 유기징역, 50억원 이상이면 무기 또는 5년 이상의 징역으로 형이 올라가고, 이득액 이하에 상당하는 벌금을 함께 매길 수도 있습니다. 조직적으로 다수 피해자를 상대로 한 범행이라면 이득액 규모가 이 구간에 들어가는지가 핵심 쟁점이 됩니다.

다만 범인이 처벌된다고 해서 피해가 저절로 회복되지는 않습니다. 형사 절차는 범인의 처벌을 다루고, 잃은 돈의 회수는 뒤에서 보는 환급·은행 배상·민사 청구가 각각 따로 맡습니다. 한편 이런 조직에는 계좌를 넘기거나 인출·전달을 맡는 가담자가 따라붙는데, 접근매체를 양도하거나 대가를 받고 또는 범죄에 이용될 것을 알면서 대여한 사람은 전자금융거래법 제49조 제4항에 따라 5년 이하의 징역 또는 3천만원 이하의 벌금 대상이 됩니다.

5. 신고부터 배상 청구까지, 절차는 이렇게 진행됩니다

지급정지는 시간 싸움이고, 은행 배상 청구는 자료 싸움입니다.

부고장 스미싱 사건은 통상 ①피해 직후 이체한 계좌를 관리하는 은행 등에 지급정지·피해구제 신청, 그리고 관할 경찰서(수원 지역 피해라면 수원남부·수원중부경찰서 등) 신고 → ②경찰의 계좌추적과 수사 → ③검찰(수원 관내 사건은 수원지방검찰청) 송치 및 처분 → ④기소 시 법원(수원지방법원) 재판의 순서로 진행됩니다. 통신사기피해환급법 제3조 제1항은 개인정보를 알아내 자금을 이체하는 행위 등으로 피해를 입은 사람이 금융회사에 지급정지 등 피해구제를 신청할 수 있다고 정하고 있고, 스미싱은 이 유형에 해당합니다.

긴급한 경우에는 전화나 구술로 먼저 신청할 수 있고, 신청한 날부터 3영업일 안에 피해구제신청서와 신분증 사본을 제출해야 합니다. 금융회사가 요청하면 수사기관의 피해신고확인서 등도 내야 합니다. 지급정지 뒤에는 금융감독원이 채권소멸절차 개시를 공고하고, 공고일부터 2개월이 지나면 명의인의 채권이 소멸하며, 소멸일부터 14일 이내에 피해환급금이 결정됩니다.

다만 환급금은 소멸된 채권, 즉 지급정지된 계좌에 남아 있던 금액을 한도로 정해지기 때문에, 지급정지 전에 이미 빠져나간 돈은 이 절차로 채워지지 않습니다. 남은 손해는 전자금융거래법 제9조에 따라 은행에 배상을 청구해야 하고, 환급받은 한도에서는 손해배상청구권이 소멸하므로 청구액은 환급금을 뺀 금액으로 계산합니다.

환급 절차와 은행 배상 청구는 서로 다른 길이라, 아래 순서로 자료부터 확인하는 것이 좋습니다.

1. 휴대전화는 추가 피해를 막도록 네트워크를 차단한 상태에서 문자 원문, 링크 주소, 앱 설치 이력, 이체 알림 화면을 촬영해 두고, 초기화는 그 이후에 합니다.

2. 은행에 이체 내역과 접속·인증 기록을 요청하고, 계약한 전자금융거래 약관에서 이용자 책임 조항이 어떻게 적혀 있는지 확인합니다.

3. 환급금이 확정되면 그 금액을 뺀 남은 손해를 계산해, 은행 상대 배상 청구(분쟁조정 또는 소송)와 범인에 대한 형사 고소를 함께 진행할지 정합니다.

이렇게 모은 자료를 바탕으로 은행 상대 배상 청구와 형사 고소를 함께 검토해야 실질적인 회수 방안이 나옵니다.

마치며

부고장 스미싱은 “지인의 부고 문자를 열었을 뿐인데”라는 당혹감과 자책 때문에 신고가 늦어지는 경우가 많습니다. 하지만 지급정지는 빠를수록 남은 돈을 지킬 가능성이 높고, 은행 기록과 휴대전화 자료도 시간이 지날수록 확보하기 어려워집니다.

돈을 털린 피해자 입장에서는 자책보다, 본인이 이체를 지시하지 않았다는 점과 금융정보를 스스로 넘기지 않았다는 점을 보여줄 자료를 정리하는 것이 먼저입니다. 이체 기록, 문자 원문, 설치 이력이 갖춰질수록 은행과의 협의에서도 소송에서도 유리해집니다.

반대로 자기 계좌가 사기이용계좌로 지급정지됐거나 인출·전달에 가담했다고 의심받는 입장에서도 “나도 속았다”는 말만으로는 방어가 되지 않습니다. 계좌가 어떤 경위로 쓰였는지, 그 사실을 알았거나 알 수 있었는지에 따라 이의제기 결과와 형사책임이 크게 갈리고, 이의제기에는 기한이 있습니다.

저는 스미싱·보이스피싱 사건에서 피해를 입은 쪽과 계좌나 명의가 이용돼 의심받는 쪽 양쪽 사건을 모두 다뤄온 변호사로서, 초기에 어떤 자료를 확보했느냐에 따라 결론이 완전히 달라지는 것을 여러 번 보아 왔습니다.

지금 상황이 애매하다면, 그게 바로 상담이 필요한 시점입니다. 배상 청구든 방어든 결론이 갈리는 초기 지점에서, 고준용 변호사를 찾아주시기 바랍니다.

자주 묻는 질문

Q. 링크만 눌렀고 제가 직접 이체한 적은 없는데도 은행이 배상해야 하나요?

A. 본인이 거래를 지시하지 않았다면 전자금융거래법 제9조 제1항에 따라 원칙적으로 은행이 배상 책임을 집니다. 다만 은행이 이용자의 중대한 과실과 약관상 근거를 주장하면 그 부분이 다툼이 됩니다.

Q. 은행이 “앱을 설치한 건 고객님이라 책임이 없다”고 하는데 그대로 받아들여야 하나요?

A. 앱 설치 사실만으로 면책이 확정되지는 않습니다. 시행령 제8조가 정한 범위에 해당하는지, 약관에 기재돼 있는지, 수법의 내용·일반인의 인식 정도·이용자의 직업과 금융거래 경력 등을 종합해 판단하며, 인정되더라도 책임의 일부만 이용자가 지는 결론도 가능합니다.

Q. 지급정지를 신청하면 잃은 돈을 전부 돌려받을 수 있나요?

A. 아닙니다. 피해환급금은 지급정지된 사기이용계좌에 남아 있던 금액을 한도로 결정됩니다. 이미 빠져나간 돈은 은행 배상 청구나 범인 상대 민사 청구로 따로 회수해야 합니다.

Q. 환급금을 받으면 은행에 배상 청구는 못 하나요?

A. 환급받은 한도에서만 손해배상청구권이 소멸합니다. 환급금으로 채워지지 않은 나머지 손해는 계속 청구할 수 있습니다.

Q. 제 휴대전화에서 지인들에게 같은 문자가 발송됐는데 저도 처벌받나요?

A. 본인이 모르는 사이 범인이 원격으로 발송한 것이라면 유포의 고의가 없어 처벌 대상이 아닙니다. 다만 감염 사실을 알게 된 뒤에는 발송 화면을 남겨 두고 지인들에게 링크를 열지 말라고 알리는 것이 좋습니다.

Q. 제 계좌로 스미싱 피해금이 들어왔다며 지급정지됐다는 통보를 받았습니다. 어떻게 하나요?

A. 명의인은 지급정지가 이루어진 날부터 채권소멸절차 공고일 기준 2개월이 지나기 전까지 금융회사에 이의를 제기할 수 있습니다. 사기이용계좌가 아님을 소명하거나 정당한 대가로 받은 돈임을 객관적 자료로 소명해야 하고, 정당한 대가라는 소명은 계좌가 사기에 이용된 사실을 알았거나 중대한 과실로 몰랐다고 인정되면 받아들여지지 않습니다.

Q. 금융회사에 과실이 없어도 보상하는 무과실 책임제가 생긴다던데, 지금 적용되나요?

A. 금융회사의 고의·과실이 없어도 보이스피싱 피해를 보상하도록 하는 개정안이 국회에 계류 중이지만, 현행 통신사기피해환급법에는 그런 규정이 없습니다. 지금은 전자금융거래법 제9조와 지급정지·환급 절차가 기준입니다.