개인정보 유출과 부정결제, 보상 근거가 다르다

유출만 됐을 때와 돈이 빠졌을 때는 책임 근거부터 다르다

금융사 해킹 피해는 두 갈래로 나뉜다. 내 이름·연락처 같은 정보만 새어 나간 경우와, 그 정보로 실제 돈이 빠져나간 경우다. 둘은 적용되는 법도, 보상 수준도 다르다. 그래서 "해킹당하면 금융사가 다 물어준다"는 말은 절반만 맞다.

정보만 유출된 단계에서는 금융사가 자동으로 거액을 배상하지 않는다. 반대로 부정 결제나 무단 이체처럼 실제 금전 손해가 생기면 금융사 책임이 훨씬 무거워진다. 자신이 어느 쪽인지부터 가려야 다음 행동이 정해진다.

정보만 샜다면: 법정손해배상, 대개 1인당 10만 원대

Photo by Jonas Leupe on Unsplash

개인정보만 유출된 경우의 근거는 개인정보보호법이다. 피해자는 구체적 손해액을 입증하지 못해도 300만 원 이하 범위에서 법정손해배상을 청구할 수 있다. 금융사가 "고의·과실이 없었다"를 스스로 증명하지 못하면 책임을 면하기 어렵다.

다만 법정 한도가 300만 원이라고 그 금액을 다 받는다는 뜻은 아니다. 과거 유출 사건에서 법원이 실제 인정한 금액은 1인당 10만 원 안팎인 경우가 많았다. 2025년 12월 대법원은 한 유출 사건(2023다311184)에서 구체적 손해 없이 단순한 불안감만으로는 배상 대상이 아니라고 판단해 원고 패소를 확정했다. 유출 사실만으로 돈이 자동 입금되지는 않는다는 뜻이다.

기업이 내놓는 보상도 이 선에서 움직인다. SK텔레콤은 개인정보분쟁조정위원회의 1인당 30만 원 조정안을, 쿠팡은 한국소비자원의 1인당 10만 원 조정안을 각각 받아들이지 않았다. 반대로 신한은행은 약 2만5000명 정보 유출 뒤 행장이 "피해가 발생하면 전액 보상"을 공언하기도 했다. 금액과 태도는 회사마다 제각각이라는 얘기다.

돈이 빠져나갔다면: 전자금융거래법의 무과실책임

통장이나 카드에서 실제로 돈이 나갔다면 무게 중심이 전자금융거래법 제9조로 옮겨간다. 이 조항은 접근매체(공인인증서·OTP·비밀번호 등)가 위조·변조된 사고, 그리고 해킹으로 부정 취득된 접근매체가 이용된 사고로 손해가 나면 금융사가 배상하도록 정한다. 금융사의 과실을 따로 입증하지 않아도 되는 무과실책임에 가깝다는 것이 일반적 해석이다.

단, 조건이 붙는다. 이용자의 고의나 중대한 과실이 있으면 금융사 책임이 줄거나 사라진다. 보이스피싱에 속아 비밀번호와 인증번호를 직접 넘긴 경우가 대표적이다. 즉 "내 부주의냐, 시스템이 뚫렸느냐"가 보상의 갈림길이 된다.

보상 신청에는 지급정지부터 분쟁조정까지 순서가 있다

금전 피해가 났다면 속도가 돈이다. 먼저 피해금이 들어간 금융사 고객센터나 영업점에 신고해 그 계좌의 지급정지를 신청한다. 전기통신금융사기 특별법에 따라 사기 의심 계좌는 지급정지 대상이 되고, 범인이 돈을 빼기 전에 막는 것이 핵심이다.

지급정지를 건 다음에는 보통 3영업일 안에 신분증과 경찰 사건사고사실확인원을 갖춰 피해구제를 신청해야 한다. 경찰(112·사이버수사대) 신고는 별도 창구이니 지급정지를 먼저 해도 늦지 않는다. 다툼이 이어지면 금융감독원 분쟁조정을 신청할 수 있는데, 신청 시 소멸시효가 중단되는 대신 같은 사안의 민사소송과 동시에 진행할 수는 없다. 어느 절차가 맞는지 헷갈리면 금감원 1332에 먼저 물어보는 편이 빠르다.

'적극 배상 방침'은 자동 배상이 아니다

이번 금융보안원 사례를 보면 통보의 의미가 분명해진다. 금융보안원은 2026년 11월 9일 오후 상시평가시스템에 외부 비정상 접근이 있었다고 11일 밝혔다. 유출된 것은 행정서식 약 200건과 거기 담긴 이름·생년월일 300여 건, 마스킹된 이용자 연락처 350여 건으로, 주민등록번호나 개인신용정보는 빠졌다고 설명했다.

금융보안원은 정보주체에게 유출 사실을 알리고 "2차 피해가 발생하면 적극 배상하겠다"는 방침을 내놨다. 중요한 건 '2차 피해가 발생하면'이라는 조건이다. 유출 통보를 받았다고 통장에 보상금이 들어오는 게 아니라, 그 정보로 실제 피해가 생겼을 때 입증을 거쳐 배상이 이뤄진다. 통보 문자는 보상의 시작점이지 결론이 아니다.

지금 남겨둘 기록과 연락처

보상은 결국 입증 싸움이다. 피해가 아직 없더라도 지금 해 둘 일이 있다.

• 유출 통보 문자·우편·이메일을 캡처하거나 원본 그대로 보관한다. 통보 시점이 기록으로 남는다.
• 평소와 다른 결제·이체 알림, 계좌 거래내역을 수시로 확인하고 이상 거래는 즉시 캡처한다.
• 모르는 번호의 대출 권유나 인증 요청 통화·문자는 삭제하지 말고 남겨 둔다.
• 금융사가 보낸 안내문에서 유출 항목(이름·연락처·계좌 여부)이 무엇인지 확인해 메모해 둔다.

예방 조치도 함께 걸어 둘 만하다. 금융소비자포털의 개인정보 노출자 사고예방시스템에 등록하면 신규 계좌·카드 발급이 제한되고, 계좌정보통합관리서비스에서는 흩어진 내 계좌를 한 번에 조회하거나 지급정지를 걸 수 있다. 통신 명의도용이 걱정되면 엠세이퍼, 내 정보가 다크웹에 떠도는지는 '털린 내 정보 찾기'(kidc.eprivacy.go.kr)에서 확인할 수 있다. 급한 판단이 설 때는 금감원 1332가 가장 빠른 상담 창구다.

출처

1. 금융보안원도 해킹에 속수무책, 금융사 제재 논란
2. 전자금융거래법 제9조 금융회사 배상책임 해설
3. 개인정보 유출 손해배상 판례와 조정 동향
4. 개인정보 유출 2차 피해 예방·대처법