전자금융거래법 악용 우려 높다

최근 전자금융거래법이 범죄에 악용될 우려가 높다는 지적이 등장해 관심이 주목되고 있다.

전자금융거래법이 악용될 수 있는 가상의 시나리오를 만들어보면 다음과 같다. 평소 전자금융거래법의 내용을 자세히 알고 있던 A씨는 인터넷뱅킹을 이용해 자신의 통장에서 3000만원을 타 통장으로 계좌이체 했다. 여기에 사용된 통장은 속칭 대포통장으로 주인을 확인할 수 없으며, A씨는 이 대포통장을 통해 3000만원이라는 금액을 현금으로 인출한 상황이다.

그러나 문제는 지금부터다. A씨는 곧바로 해당 금융기관에 찾아가 자신의 통장에서 돈이 부당하게 인출됐다고 주장했고, 금융기관을 대상으로 해당 금액을 배상할 것을 요구했다. 고객의 신뢰를 기반으로 운영되는 금융기관으로서는 사건을 조기에 처리하기 위해 해당 금액을 배상할 수밖에 없을 것이다.
물론 모든 법은 악용될 우려가 존재하고, 위험을 감수하고 위와 같이 행동할 사람도 흔치 않을 것이다. 그러나 해당 상황이 발생하지 않는다는 보장도 없다. 분명한 것은 인터넷뱅킹의 활성화와 사용자 권익을 보호하기 위해 마련된 전자금융거래법이 위와 같이 악용될 가능성이 존재한다는 것이다.

그럼 왜 이런 상황이 가능한가를 따져봐야 한다. 현행 전자금융거래법에 의하면 사용자의 과실을 증명하지 못하는 금융기관은 전자금융거래 과정에서 발생한 금전적 손실을 배상해야 해야 할 의무가 있기 때문이다.



◆ 시간적ㆍ공간적 입증 필요

전자금융거래법이 금융기관 고객에게 무조건 유리하게 작용하는 것은 아니다. 동 법안에는 금융기관 역시도 책임을 면할 수 있도록 규정하고 있다. 바로 예외조항이 그것인데 금융기관이 책임을 면하기 위해서는 사용자의 중과실을 입증해야하고, 사용자의 중과실을 입증했다면 해당 금액을 배상하지 않아도 된다.
한편, 사용자의 과실을 증명했다 해도 50인 이상의 기업고객에게는 또 다른 선제조건이 필요하다. 바로 해킹과 같은 위험성을 사전에 공지해야 하며, 이러한 위험성을 사전에 방지할 수 있는 대응책을 사전에 알려주어야 한다. 만약 이러한 의무를 다하지 않았다면 사용자의 과실을 입증했다 하더라도 금융기관은 배상의 의무를 지어야 한다.

문제는 금융기관이 사용자의 과실을 입증할 방법이 쉽지 않다는 데 있다. 현재 금융기관이 취하고 있는 과실입증 방법으로는 공인인증서ㆍOTPㆍ보안카드ㆍHSM 등의 보안장비를 통해 인터넷뱅킹을 시도한 고객이 당자임을 인증하는 수준에 머무르고 있다.

그러나 최근에는 메모리해킹의 위험성이 수면위로 부각되면서 해당 보안 제품군도 사실상 무력화 될 수 있다는 데 있다. 더욱이 다양한 보안장비를 활용한 본인인증 기기들은 인터넷 뱅킹 과정에서 활용되는 하나의 수단일 뿐, 보안체계를 대표하는 것도 아니라는 데 문제가 있다.

그렇다면 금융기관에서 해당 인터넷뱅킹 거래가 부당하게 진행됐다는 사실을 어떻게 입증할 수 있느냐에 주목할 필요가 있다.
한 보안업계 관계자에 의하면 “금융기관이 배상의 책임을 피하기 위해서는 시간적ㆍ공간적 입증이 충실해야 한다”며 “인터넷뱅킹을 사용한 시간대의 PC상태와 동 시간대에 인터넷뱅킹을 시도한 인물이 같은 자리에 있다는 것을 입증하는 방식이 유일한 해결책”이라고 강조했다.

위 조건을 충족하기 위해 최근 보안업계가 선보이는 제품군은 강제적 성향이 강해진 특징을 보여주고 있다. 특히 일부 보안업체의 경우는 자신의 백신 제품군에 PC관제 기능을 추가함으로써, 사용자 PC현황을 강제적으로 장악하는 구조를 갖췄다.

실제로 현 시점에서 인터넷뱅킹을 시도하기 위해 시중 은행들의 웹사이트에 접속하면 사용자가 원하지 않더라도 강제 업데이트를 진행하게 되고, 일부 제품군에는 이미 해당 PC관제 기능이 내장된 상태로 배포 되는 과정이다.



◆ 통합적 보안체계 마련 시급

이렇게 내장된 PC관제 기능은 인터넷뱅킹 사용자의 PC환경에 대한 모든 정보를 중앙으로 수집하게 되고, 해당 과정에서 위험성이 존재한다면 인터넷뱅킹을 차단하거나 경고표시를 내보내게 된다. 또한 이 과정에서 수집된 위험성은 곧바로 자동 엔진을 통해 패턴 업데이트에 적용되며, 곧바로 재배포되는 구조가 필요하다.

여기까지의 사안은 일반 보안업체들이 선택하고 있는 방식이기도 하며, 기술적인 어려움이 크게 없다. 그러나 일반적으로 사용되고 있는 공인인증서ㆍOTPㆍ보안카드ㆍHSM 등은 사실상 위치 추적이 어렵다는 데 있다.

이를 해결할 수 있는 대안으로 등장한 것인 모바일기기를 활용한 인증체계를 활용하는 방안이다. 현 기술력을 활용하면 모바일기기의 사용시간뿐 아니라 200미터의 오차 내에서 위치추적까지도 가능하기 때문이다. 만약 분실된 모바일기기를 사용한 불공정 인터넷뱅킹의 경우에는 해당 기기를 분실한 사용자의 책임성이 명확해지기 때문에, 금융기관의 책임이 크게 줄어들게 된다.

한 보안업계 관계자에 의하면 “최근 인터넷뱅킹에 대한 안정성 논란이 부각되고 있지만, 이를 단일 보안 제품군을 방지한다는 것은 어려운 실정”이라며 “현재 위와 같은 종합적인 안전시스템을 구축한 금융기관은 국민은행이 유일한 상태”라고 설명했다.



김남규 기자 ngkim@fntimes.com