‘보이스피싱 무과실 책임제' 성공의 조건...금융사만 부담 떠안으면 실패 불보듯

[한국금융신문 장종회 기자] 금융위원회가 도입을 추진하고 있는 보이스피싱 피해 '무과실 배상책임제'와 관련해 금융사에 부담을 일방적으로 떠안길 경우 실효성이 떨어질 것이란 지적이 나왔다. 실질적인 보이스피싱 축소를 위해 금융사 외에 통신사와 민간교육 등 3각 방어체계를 구축해야 효과를 거둘 수 있다는 주장이다.

서민금융연구원은 21일 금융위가 추진하는 ‘무과실 책임제’에 대해 제도가 시장에 안착하려면 손볼 곳이 많다고 꼬집었다. 조성목 서민금융연구원장은 "금융권 배상책임 논의만으로는 부족하다"면서 “통신, 수사, 민간 기술까지 끌어들이는 입체적인 보완이 필요하다”고 밝혔다.

금융위는 최근 5대 금융지주 회장들과 보이스피싱 무과실 책임제에 대한 구체적 시행 방안을 논의한 바 있다. 핵심은 간명하다 금융회사에 과실이 없더라도 보이스피싱 피해를 일부 배상토록 하는 것이다. AI 딥페이크 기술이 보이스피싱에 동원되면서 피해 수법이 갈수록 정교해지고 있어 더 이상 개인의 주의만으론 막기 어려운 범죄가 된 상태다. 이는 금융정책 당국이 사후 대책에서 사전 방어로 패러다임을 바꾸려 나선 배경이기도 하다.

일률적 책임부담 ‘한계’…대안은 ‘차등책임제’

서민금융연구원은 보이스피싱 무과실 책임제가 금융회사에 이상금융거래 탐지시스템(FDS)를 고도화하도록 유도할 것으로 전망했다. 금융사의 보안투자를 늘리는 유인이 생겨 보이스피싱 피해를 줄이는데 효과를 낼 것이라는 얘기다.

문제는 방식이다. 금융회사가 합리적으로 가능한 방어 노력을 다했는데도 무조건 배상 책임을 지우면 시장 수용성이 떨어진다는 점이다. 책임주의 원칙에도 어긋난다.

서민금융연구원은 대안으로 '배상책임 차등제'를 제시했다. 금융사기 방지에 들인 노력에 따라 배상책임의 정도를 달리하자는 것이다. 판단 기준은 '다중 방어체계'를 갖췄는지 여부다.

당국은 현재 보이스피싱 통합신고대응 원스톱 플랫폼, 이른바 ASAP을 구축하고 있다. 서민금융연구원은 이 ASAP을 최저 기준으로 삼되 민간 피해예방정보 활용 여부, 자체 FDS 실시간 차단율, 고객 경고시스템 작동 여부 등을 종합 평가할 것을 제안했다.
ASAP 활용만 일방적 기준으로 삼으면 부작용이 생길 우려가 커서다. 금융회사들이 ASAP을 '면피용 방패'로 쓸 우려가 있다. 인프라만 갖추면 책임을 면한다고 여기면 자체적인 보안 혁신은 소홀해질 수 밖에 없다. 다층적 방어체계를 스스로 갖춘 금융사에 인센티브를 줄 필요가 있다. 이를 게을리한 금융사에는 엄중한 책임을 묻는 게 합리적이다. 이는 예측 가능한 가이드라인이 먼저 마련돼야 가능해진다.

통신사도 한 축 책임져야

두 단계로 이어지는 보이스피싱의 구조를 들여다보면 해결 방향이 드러난다. 범죄자는 통신망으로 피해자를 유인한다. 전화, 문자, 메신저가 그 통로다. 피해자가 유인되면 금융망을 통해 자금을 빼가는 방식이다.

지금까지 논의되는 것은 마지막 단계인 금융권 배상책임에만 쏠렸다. 범죄의 첫 관문인 대포폰 개통과 피싱문자 발송은 방치된 채다. 이런 논의는 반쪽짜리다. 조 원장은 "보이스피싱 범죄의 전 과정을 차단하려면 통신사도 핵심 주체로 참여해야 한다"고 강조했다.

서민금융연구원은 구체적인 대응 방법도 제시했다. 정부가 통신사별 보이스피싱 피해 발생 통계를 주기적으로 공시하라는 것이다. 어느 통신사 망에서 대포폰이 많이 개통됐는지, 어디서 사기 문자가 많이 발송됐는지를 공개하는 것만으로도 경각심이 고조될 수 있다.

효과는 클 것으로 예상된다. 통계가 공개되면 통신사들은 기업 이미지를 지키기 위해 움직이기 마련이다. 고객 이탈을 막으려고 가입자 인증절차를 자발적으로 강화하고, 필터링 기술투자에도 적극 나설 수 밖에 없다.

조 원장은 이런 효과를 직접 경험했다고 전했다. 그는 금융감독원에 근무하던 시절에 금융사별 대포통장 적발 건수를 과감히 공개한 적이 있다. 그 결과 은행권이 자발적으로 움직였다. 대포통장 수는 획기적으로 줄었다. 같은 방식을 통신사에도 적용할 수 있다는 게 조 원장의 주장이다.

서민금융연구원은 공동기금 조성도 제안했다. 통신사의 방어 노력을 계량 평가하해서 금융권과 통신사가 공동으로 출연하는 '보이스피싱 피해구제 공동기금'을 만들자는 것이다. 거대 기간산업에 속한 기업들이 사회적 책임을 나눠 질 때 비로소 서민을 위한 안전망이 완성된다는 설명이다.

배상 연계 소비자 교육 긴요

기술과 제도만으로 보이스피싱이 근절되기는 힘들다는 게 서민금융연구원 진단이다. 사기범들은 시스템의 빈틈만 노리지 않고, 인간의 불안·공포·신뢰 같은 심리적 약점을 집요하게 파고들기 때문이다. 소비자 스스로 위험신호를 식별하는 역량을 키우는 게 긴요하다는 얘기다.

서민금융연구원은 이와 관련해 '교육 이수 연계형 차등배상제'를 제안했다. 정부, 금융감독원, 서민금융연구원 같은 공신력 갖춘 기관들이 보이스피싱 예방교육과 디지털 금융문해력 교육을 제공하고, 과정을 이수한 이용자가 피해를 당했을 때 구제 비율을 우대해주는 방식이다.

여신거래 안심차단서비스 같은 자가방어 제도를 적극 활용해 혜택을 주는 방안도 제안됐다. 교육을 받고 예방 장치를 활용한 사람일수록 더 두텁게 보호받는 구조를 짠다는 것이다. 혜택은 배상비율 우대에 그치지 않고, 고위험거래 보호모드, 추가 본인확인, 전담 상담, 보이스피싱 피해보장 상품 연계 등 실질적 지원도 함께 제공할 수 있다.

서민금융연구원은 고령층·장애인·저소득층 같은 디지털 취약계층에 대해서는 접근법을 달리해야 한다는 점도 짚었다. 이들에게는 찾아가는 교육, 간편 교육과정, 자동 보호장치, 예외적 구제장치를 병행해야 한다는 지적이다. 조 원장은 "예방교육은 배상 감액의 명분이 아니라 소비자의 대응 역량을 높이는 공공 안전장치가 돼야 한다"고 선을 그었다.

민간 대응 기술 육성해야

서민금융연구원은 민간 산업 육성론도 제기했다. 현재 당국 대책은 경찰청 수사 와 금융보안원 인프라 중심의 '정부 주도형 공공모델'로 쏠려 있다. 이는 초기 공조체계를 구축하는 데엔 효과가 있다. 하지만 금융 사기에 대한 감시와 차단을 정부가 독점적으로 대응하기는 역부족이다.

생성형 AI를 활용한 금융 사기는 하루가 다르게 진화 중이다. 공공 중심 대응만으로는 따라가기 어려운 게 현실이다. 공공 대응이 신뢰·공정성이라는 장점이 있지만 예산, 조달절차, 기관 협의 시차 등으로 빈틈이 많이 생긴다. 범죄조직은 그 틈을 놓치지 않고, 새로운 기술과 우회 수법을 빠르게 실험해 확산시킨다.

더욱이 정부가 피싱 관련 정보를 독점하고 방어망을 일원화하다가 범죄조직이 탐지모델을 우회하면 전체 방어망이 무력해진다. 조 원장은 "공공 인프라와 민간의 기술 역량을 적극 결합하는 방향으로 대응책을 설계해야 한다"고 주문했다.

이를 위해 다양한 민간 솔루션 성능을 경쟁적으로 고도화하는 생태계를 구축해야 한다. 금융회사와 통신사가 이런 솔루션을 선택적으로 활용할 수 있도록 다층적 방어체계를 만들자는 것이다. 그러려면 정부가 사기 의심 금융·통신 데이터를 민간 기술기업들이 가명정보 형태로 안전하게 학습할 수 있도록 규제 샌드박스를 열어줘야 한다.

미국 등 선진국에서는 이미 수조 원 가치의 민간보안 테크기업들이 금융사와 계약을 맺어 AI 기술로 사기 거래를 실시간 추적하고 방어한다. 민간기업이 고도화된 탐지 솔루션을 개발하고, 금융사와 통신사가 성능에 따라 비용을 지불하는 시장 메커니즘이 작동해야 지속 가능한 방어 전선이 만들어진다는 게 서민금융연구원 분석이다.

보이스피싱은 단순한 금융회사 보안망의 문제가 아니다. 정교한 글로벌 테크 범죄이자, 서민의 삶을 송두리째 앗아가는 민생침해 범죄다. 무과실 배상책임 논의가 본래 목적인 피해자 보호를 달성하려면 공급자인 금융과 통신의 다층적 방어 책임과 수요자인 소비자의 예방교육 참여, 민간 기술산업 육성이 맞물려야 한다.

조 원장은 "당국과 민간 전문기관이 머리를 맞대고 기술과 제도의 디테일을 채워나갈 때, 서민들의 소중한 자산을 범죄로부터 더 촘촘하게 보호할 수 있다"고 말했다.

장종회 한국금융신문 기자 jhchang@fntimes.com