보이스피싱, 개인 책임을 넘어 제도적 안전망으로

김홍열의 디지털 콘서트

정부가 지난달 28일 20번째로 발표한 ‘보이스피싱 근절 종합대책’은 말 그대로 누적된 실패의 결과물이다. 그동안 정부는 피해 확산을 막겠다며 19차례나 대책을 내놓았지만, 피해 규모는 줄지 않았고 범죄 수법은 더 교묘해졌다. 이런 상황에서 발표된 이번 대책 중 이전과는 다른 눈에 띄는 항목이 하나 있다. 금융회사 등 보이스피싱 예방에 책임 있는 주체가 피해액의 일부 또는 전부를 배상할 수 있도록 법제화한다는 것이다. 이전에는 금융기관과 통신사의 분명한 귀책이 입증되었을 경우에만 피해액의 일부 또는 전부를 배상하도록 했지만, 향후에는 금융회사에 과실이 없는 경우라도 피해가 발생할 경우 책임을 물어 배상토록 하겠다는 것이다.

윤창렬 국무조정실장이 8월 28일 서울 종로구 정부서울청사에서 열린 보이스피싱 근절 종합대책 관계부처 합동브리핑에서 발언하고 있다. (서울=연합뉴스)

피해 발생 시 배상 여부 및 배상 정도를 규정한 현행 「비대면 금융사고 책임분담기준」은 사실상 구시대의 유물이다. 이 제도는 '제3자에 의한 무단 이체' 등 제3자가 소비자의 동의 없이 금융거래를 실행하여 금전적 손해가 발생한 경우에 적용된다. 보이스피싱처럼 ‘고객의 의사 표시’가 개입된 경우는 예외 없이 개인 책임으로 돌린다. 지난해 1월부터 올 2월까지 시중 5대 은행이 보이스피싱 등 비대면 금융 사고와 관련해 배상을 완료한 사례는 10건에 지나지 않는다. 동 기간 중 발생한 비대면 보이스피싱 사고 2만여 건 대비 채 1%도 되지 않는다. 사유가 어떻든 본인이 송금 버튼을 누르면 본인이 책임져야 한다.

그러나 보이스피싱은 이제 ‘개인의 실수’로 치부할 수 없는 사회적 재앙이다. 최근 5년간 누적 피해액은 수조 원에 이르며, 2024년 한 해에만 3,801억원, 올해는 1분기에만 1,514억원을 기록하며 건당 피해액 규모가 크게 늘고 있다. 특히 고령층과 금융 취약계층이 집중적으로 피해를 보고 있다는 점은 우리 사회의 민낯을 드러낸다. 범죄 수법 또한 날로 고도화된다. 은행 직원이나 검찰을 사칭해 송금을 요구하거나, 악성 앱을 설치해 계좌를 원격 조작하는 방식은 물론 계속 상상을 뛰어넘는 새로운 수법이 등장하고 있다. 낚시에 걸린 피해자는 치밀한 심리적 압박 속에서 스스로 송금 버튼을 누르지만, 이는 ‘자발적 선택’이 아니라 정교하게 유도된 착각이다.

보이스피싱 (PG) (연합뉴스)

국가 차원의 보이스피싱 피해 종합 대책이 필요한 이유는 명확하다. 아날로그 시절 은행과 고객은 일대일로 연결되어 있었다. 둘 사이에 개입하는 다른 주체가 없었다. 통장 분실과 강압에 의한 예금 인출 등과 같은 예외적 상황을 제외하면 ‘자발적 판단’에 의한 사고는 발생하지 않았다. 그러나 디지털 네트워크 시대는 다르다. 통신사, 플랫폼, AI 알고리즘, 은행, 고객이 얽히고설킨 네트워크 속에서 거래가 이루어진다. 네트워크 참여 주체 중 가장 큰 이익을 보는 쪽은 단연 금융권이다. 금융권은 디지털 네트워크가 구축해 놓은 가상공간에서 쉽고 빠르게 금융거래를 할 수 있어 이전 아날로그 시대보다 더 많은 수익을 내고 있다.

문제는 범죄 역시 이 복잡한 생태계를 악용해 정교하게 진화한다는 것이다. 보이스피싱 조직은 생태계에서 제일 취약한 개인을 대상으로 교묘하게 접근한다. 통신사, 플랫폼, AI 알고리즘, 은행 등이 참여하고 있는 디지털 뱅킹을 신뢰하고 있는 개인들은 범죄 조직 역시 이 네트워크 안에 있다는 것을 좀처럼 인식하지 못한다. 이런 상황에서 피해 책임을 오로지 개인에게만 묻는 것은 시대착오적 발상이다. 보이스피싱은 개인의 단순 실수가 아니다. 네트워크로 연결된 디지털 생태계가 만든 구조적 범죄이며, 따라서 해결 역시 공동 책임의 원리에 기반해야 한다. 금융사와 통신사, 플랫폼 기업이 책임을 분담하지 않는다면, 정부의 이번 대책은 공허한 수사가 될 뿐이다.

피싱 강력 대응…수사력 증원·신상공개 추진 (CG) [연합뉴스TV 제공]

다른 나라의 사례를 보자. 영국은 2023년부터 비대면 사기 보상 제도를 실시하고 있다. 은행 및 전자결제서비스 제공업체가 사기 피해 방지에 "합리적인 조치"를 취했음을 입증하지 못하면 피해액의 일부 또는 전액을 피해자에게 배상해야 한다. 본인이 직접 이체한 경우라도 최대 8만 5,000파운드(약 1억 6,000만원) 한도 내에서 배상받도록 강제 배상 규칙을 도입한 것이다. 싱가포르는 소비자가 피싱 링크를 통해 정보가 털려 피해를 보면 전액 배상 받을 수 있는 제도를 시행하고 있다. 이런 제도들은 보이스피싱 등 정교해지는 사기 피해로부터 소비자를 보호하기 위한 금융 기관의 책임성 강화로 이어진다.

갈수록 기승을 부리는 보이스피싱을 막기 위해서는 급진적 처방이 필요하다. 해마다 반복되는 보이스피싱 근절 대책 정도로는 부족하다. 정부와 금융권, 통신사 모두가 책임을 나눠지는 강력한 제도 개선이 절실하다. 이번에 발표된 20번째 종합대책은 선언적 구호에 머물지 말고, 실질적인 보상 제도와 명확한 책임 분담 체계로 이어져야 한다. 피해자 보호 없는 근본 대책은 공허하다. 제도가 구체적으로 작동해야만 피해가 줄고, 디지털 뱅킹에 대한 신뢰가 회복된다. 보이스피싱을 더 이상 개인의 불운으로 치부해서는 안 된다. 디지털 네트워크 사회에서 발생하는 구조적 범죄인 만큼, 우리 사회 전체가 함께 해결해야 한다. ++