한겨레

결혼 이주 여성인 ㄱ씨는 카카오뱅크(카뱅) 등 금융기관 4곳으로부터 날아온 빚 독촉장을 떠올릴 때마다 눈앞이 아찔하다. 자신도 모르는 사이에 누군가가 자기 이름으로 2천만원을 대출받은 것이다. 경찰 조사 결과, 전 남편인 ㄴ씨가 ㄱ씨의 여권·휴대전화 등을 훔쳐 ‘비대면 계좌’를 트고 대출을 받았다. ㄴ씨는 사문서위조·절도 등의 혐의로 구속됐다. 하지만 ㄱ씨는 빚을 그대로 떠안을 처지가 됐다.

법원은 ㄱ씨가 제기한 채무부존재 확인 소송에 대해 “채무가 없다”고 지난해 판결했다. 고객을 금융사기 범죄로부터 보호하기 위한 금융기관들의 ‘본인 확인’ 절차가 충분치 않았다는 점 등이 근거였다. ‘핀테크’란 이름으로 비대면 서비스를 늘리기에 급급했을 뿐, 명의도용 등 보안 취약점을 메우는 데는 뒷전이었다는 취지다. 카뱅의 항소로 이 재판은 오는 11일 2심에 들어간다. 이용자 피해 민원이 쏟아지고 있는 핀테크 서비스와 본인인증 방식에 대한 보완·개편이 불가피할 것으로 보인다.

8일 <한겨레> 취재 내용을 종합하면, 서울중앙지법 민사88단독 김범준 판사는 명의도용 피해자인 ㄱ씨가 카뱅을 상대로 제기한 채무부존재확인 소송에 대해 지난해 5월 “권한 없는 자에 의한 대출 계약으로 원고에게 효력이 없다. 원고는 대출금 채무를 부담하지 않는다”고 판결했다.

판결문을 보면, ㄴ씨는 지난 2019년 5월 ㄱ씨 집 유리창을 깨고 침입해 그의 여권·휴대전화 등을 훔쳤다. ㄴ씨는 훔친 개인정보로 새 휴대전화를 개통한 뒤, 카뱅 계좌를 만들어 300만원을 대출 받았다. 카드사 등에서도 총 1700만원을 빌렸다. 계좌 개설 과정에서 카뱅은 △문자메시지 인증번호를 통한 휴대전화 본인확인 △주민등록증 사진 확인 △같은 명의의 타행 계좌에 1원을 송금하고 입금내역을 확인하게 하는 방식 등 세 가지의 본인 확인 절차를 요구했다고 한다. 그러나 ㄴ씨는 훔친 휴대전화 등을 써서 모든 과정을 쉽게 통과했다. 대출 단계에선 인증 비밀번호(PIN) 등만을 입력해 ‘원터치’로 계약을 마쳤다.

재판부는 카뱅이 본인확인 의무를 다하지 않았다고 봤다. 문자메시지 본인인증은 옛 공인인증서 등에 비해 명의도용에 취약한 방식이라고 판단했다. 명의자의 다른 계좌에 1원을 송금해보는 방식 역시, 개인정보를 훔친 상황에선 쉽게 접근할 수 있어 불충분하다고 봤다. 재판부는 판결문에서 “인터넷 전문은행이 비대면 전자금융거래의 안전성과 신뢰성을 확보해야 한다. 피해자 보호를 위해 본인 확인절차에 더욱 주의를 기울일 책임이 있다”고 판시했다.

핀테크 업계에선 인터넷 전문은행의 명의도용 문제는 언젠가는 터질 ‘시한폭탄’이었다고 본다. 2017년 국내 첫 인터넷 전문은행 케이뱅크가 출범한 이후 비대면 계좌개설 관련 피해 신고가 급증했지만, 금융당국도 은행들도 손을 놓고 있었다는 것이다.

<한겨레>가 배진교 정의당 의원을 통해 금융감독원으로부터 받은 자료를 보면, 금감원에 접수된 비대면 계좌 개설 관련 민원은 2016년 106건에서 지난해 414건으로 4배 가까이 늘었다. 이 기간 은행계좌 명의도용 관련 민원도 122건에서 298건으로 2.4배 증가했다.

금융감독 당국이 대비책을 제대로 갖추지 않은 결과라는 지적이 나온다. 2017년 은행연합회와 금융위원회는 금융기관이 따라야 할 본인인증 방식을 규정한 ‘비대면 실명확인 관련 구체적 적용방안’을 마련한 바 있다. 이 방안에는 △신분증 사본 제출 △영상통화 △타행계좌 소액이체 등 5가지 본인인증 방식이 포함됐다. 금융위는 이 중 2가지 이상을 의무적으로 적용하라고 했다.

하지만 현실에선 가이드라인의 허점이 뚜렷했다. 영상통화처럼 신분증 사진과 계좌 개설자의 얼굴을 실시간으로 대조하는 방식을 ‘의무’가 아닌, 선택지 중 하나로만 넣은 게 대표적이다. 고객이 입력한 정보를 신용정보회사 등 외부기관의 정보와 대조하는 방식 역시 강제력 없는 ‘권고사항’으로만 들어가 유명무실해졌다.

이를 구현하는 은행들의 기술도 허술했다. ㄴ씨의 경우 주민등록증 실물을 촬영하지 않고, 훔친 휴대전화에 저장돼있던 주민증 사진만으로 본인인증에 성공했을 정도다. 그나마 계좌 개설 단계에만 본인 확인 절차가 집중될 뿐 대출 과정에선 그만큼의 절차도 없었다. ㄱ씨 쪽 변호인은 항소심 재판부에 낸 서면에서 “카뱅이 대출계약 체결 때 본인확인을 위한 영상통화 등 최소한의 안전장치를 뒀다면 이런 사태를 막았을 것”이라며 “대출거래 체결에는 계좌개설보다 더욱 엄격하거나, 최소한 동일한 수준의 본인 확인 절차를 거쳐야 한다”고 지적했다.

전 세계적으로 금융사기와 자금세탁방지 등을 위해 고객확인제도(KYC·Know Your Customer)가 강화되는 추세다. 싱가포르 통화청(중앙은행)은 “금융기관이 고객과 비대면 계약을 맺을 때는 대면 계약만큼 철저한 고객확인제(CDD)를 적용하라”고 요구하고 있다. 이에 싱가포르 은행과 가상화폐 거래소들은 비대면 계좌개설 때 여권사진과 함께, 여권을 들고 찍은 얼굴 사진 등을 받는다. 명의자 본인이 신분증을 소유하고 있는 상태인지 확인하기 위해서다. 해당 날짜가 적힌 메모지를 여권과 함께 찍어 사진 파일을 ‘재사용’ 하지 못하게끔 하기도 한다.

전문가들은 금융당국이 ‘빠르고 간편한 대출’만 좇던 데서 벗어나, 지금보다 강제력 있는 고객 피해 방지책을 마련해야 한다고 입을 모은다. 배진교 의원은 <한겨레>에 “금융회사들이 금융서비스 편의성을 높이는 것 만큼 소비자 보호를 위한 보안프로그램을 강화해야 한다. 금융사가 명의도용 소비자 피해 등을 적극적으로 구제하도록 하는 정부 가이드라인도 필요하다”고 말했다.

김기창 고려대 법학전문대학원 교수 역시 “금융기관들은 현 본인인증 절차·기술의 취약점과 이로 인한 피해 규모를 구체적으로 알고 있으면서도 이를 고치지 않고 있다. 과실이 크다”며 “명의도용 피해자에게 책임을 지우는 판결이 반복돼선 안된다”고 말했다.

천호성 기자 rieux@hani.co.kr