2024년 한 해 동안 경찰청에 접수된 계정 탈취 관련 사이버 범죄 신고는 전년 대비 약 27% 증가한 것으로 알려져 있습니다. 특히 탈취된 계정에 연동된 신용카드나 간편결제 수단을 이용한 부정 사용 피해가 두드러지고 있습니다. 오늘은 이러한 계정 탈취 및 카드 부정 사용이 형사법적으로 어떻게 평가되는지, 그리고 피해자가 어떤 구제 수단을 활용할 수 있는지 체계적으로 살펴보겠습니다.
27%
계정 탈취 신고 증가율
(2024년 전년 대비)
계정 탈취와 카드 부정 사용, 어떤 범죄에 해당하는가
계정 탈취 후 카드를 부정 사용하는 행위는 단일 범죄가 아니라, 여러 법률에 의해 중첩적으로 처벌받을 수 있습니다. 실무에서 적용되는 주요 법률을 정리하면 다음과 같습니다.
첫째, 정보통신망법 위반(정보통신망 침해)
타인의 아이디와 비밀번호를 무단으로 취득하여 로그인하는 행위 자체가 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조 제1항의 '정당한 접근 권한 없이 정보통신망에 침입하는 행위'에 해당합니다. 이 경우 5년 이하의 징역 또는 5,000만 원 이하의 벌금에 처해질 수 있습니다.
둘째, 여신전문금융업법 위반(카드 부정 사용)
탈취한 계정에 등록된 신용카드 정보를 이용하여 결제하는 행위는 여신전문금융업법 제70조 제1항에 따라 '분실하거나 도난당한 신용카드를 판매하거나 사용한 자'에 준하여 처벌됩니다. 법정형은 7년 이하의 징역 또는 5,000만 원 이하의 벌금입니다.
셋째, 전자금융거래법 위반 및 컴퓨터 사용 사기
간편결제 등 전자금융수단을 이용한 경우 전자금융거래법 제49조 위반(접근매체의 부정 사용)이 성립할 수 있으며, 형법 제347조의2 컴퓨터 등 사용 사기죄도 함께 적용될 수 있습니다. 컴퓨터 사용 사기의 법정형은 10년 이하의 징역 또는 2,000만 원 이하의 벌금입니다.
실무에서 이들 범죄는 상상적 경합(하나의 행위가 여러 죄에 동시에 해당하는 경우)으로 처리되어 가장 무거운 형으로 처벌받는 것이 일반적입니다. 피해 금액이 수백만 원 이상이거나 다수의 피해자가 발생한 경우에는 실형 선고 가능성도 높아집니다.
계정 탈취의 주요 수법과 최근 트렌드
계정 탈취 수법은 해마다 정교해지고 있습니다. 실무에서 자주 확인되는 유형을 정리하면 다음과 같습니다.
1
크리덴셜 스터핑(Credential Stuffing) : 다른 사이트에서 유출된 아이디와 비밀번호 조합을 자동화 도구로 대입하여 로그인을 시도하는 방식입니다. 동일한 비밀번호를 여러 사이트에서 사용하는 이용자가 주로 피해를 입습니다.
2
피싱 사이트 유도 : 포털 사이트나 쇼핑몰을 사칭한 가짜 로그인 페이지로 이용자를 유도하여 인증 정보를 탈취합니다. 최근에는 문자메시지(스미싱)보다 SNS 메시지를 통한 유도가 증가하고 있습니다.
3
악성 앱 설치 유도 : 택배 조회, 공공기관 사칭 문자를 통해 악성 앱을 설치하게 한 뒤, 스마트폰에 저장된 자동로그인 정보와 인증 문자를 탈취합니다. 이 경우 2차 인증(OTP)까지 우회될 수 있어 피해 규모가 큽니다.
4
SIM 스와핑(유심 복제) : 통신사 고객센터를 속여 피해자의 전화번호를 범인의 유심으로 이전시킨 뒤, 본인인증 문자를 가로채는 방식입니다. 2024년 이후 국내에서도 피해 사례가 보고되고 있습니다.
피해자의 법적 구제 수단
계정 탈취로 인한 카드 부정 사용 피해를 입었다면, 아래 절차를 순서대로 진행하는 것이 효과적입니다.
1단계 : 즉시 피해 차단
카드사에 연락하여 해당 카드의 거래를 즉시 정지시키고, 탈취된 계정의 비밀번호를 변경합니다. 간편결제 서비스에서 해당 카드 등록을 해제하는 것도 필수입니다. 이 조치는 피해 확산을 막기 위해 인지 즉시 수행해야 합니다.
2단계 : 부정 사용 이의제기
여신전문금융업법 제16조에 따르면, 카드 회원이 카드의 분실 또는 도난 사실을 카드사에 신고한 경우 신고 시점으로부터 60일 전 이후에 발생한 부정 사용 금액에 대해 카드사가 책임을 집니다. 다만 회원의 고의 또는 중대한 과실이 인정되면 책임이 제한될 수 있으므로, 본인이 정보를 자발적으로 제공한 사실이 없음을 입증하는 것이 중요합니다.
3단계 : 수사기관 신고
경찰 사이버수사대(전화 182) 또는 경찰청 사이버범죄 신고시스템(ECRM)을 통해 피해 사실을 신고합니다. 신고 시에는 부정 결제 내역, 계정 로그인 기록(IP 주소 등), 피싱 메시지 캡처 등 증거를 가능한 한 많이 첨부하는 것이 수사에 도움이 됩니다.
4단계 : 민사적 손해배상 청구
범인이 특정되면 형사 절차와 별도로 민사소송을 통해 피해금액 및 위자료를 청구할 수 있습니다. 다만 범인의 자력(재산 상태)이 부족한 경우가 많으므로, 플랫폼 사업자나 결제대행사(PG사)의 보안 의무 위반 여부를 함께 검토하여 책임 주체를 넓히는 전략이 필요합니다.
실무에서 쟁점이 되는 부분
계정 탈취 및 카드 부정 사용 사건에서 실무적으로 가장 많이 다투어지는 쟁점은 크게 세 가지입니다.
피해자의 과실 여부 : 카드사는 피해자가 비밀번호를 타인과 공유하였거나, 피싱 사이트에 자발적으로 정보를 입력한 경우 이를 '중대한 과실'로 주장하여 보상을 거부하는 경우가 있습니다. 그러나 정교한 피싱 사이트에 속은 것만으로 중대한 과실로 보기는 어렵다는 것이 최근 분쟁조정 사례의 경향입니다.
범행의 조직성 판단 : 계정 탈취와 카드 부정 사용이 조직적으로 이루어진 경우(이른바 '보이스피싱 조직'), 단순 가담자라 하더라도 전체 피해액에 대한 공동정범 책임을 질 수 있습니다. 이른바 '수거책'이나 '인출책'으로 참여한 경우에도 마찬가지입니다.
전자금융거래법상 금융기관 책임 : 전자금융거래법 제9조는 접근매체의 위조 또는 변조로 발생한 사고에 대해 금융회사가 책임을 지도록 규정하고 있습니다. 다만 이용자의 고의 또는 중대한 과실이 있는 경우에는 책임의 전부 또는 일부를 이용자에게 부담시킬 수 있어, 과실 범위에 대한 다툼이 빈번합니다.
예방을 위한 실무적 권고
마지막으로, 계정 탈취 및 카드 부정 사용 피해를 예방하기 위해 실무에서 권고하는 핵심 사항을 정리합니다.
1
사이트별로 서로 다른 비밀번호를 사용하고, 가능한 경우 비밀번호 관리 프로그램을 활용합니다.
2
2단계 인증(2FA)을 반드시 설정합니다. SMS 인증보다 OTP 앱(Google Authenticator 등)이 보안성이 높습니다.
3
간편결제에 등록된 카드의 결제 한도를 필요 최소한으로 설정하고, 결제 알림(푸시 또는 문자)을 반드시 활성화합니다.
4
출처가 불분명한 링크를 클릭하지 않으며, 앱 설치는 공식 스토어를 통해서만 진행합니다.
5
주기적으로 카드 이용내역과 계정 로그인 기록을 확인하여 이상 징후를 조기에 발견합니다.
계정 탈취를 통한 카드 부정 사용은 피해 회복까지 상당한 시간과 노력이 소요되는 범죄입니다. 사전 예방이 가장 중요하지만, 이미 피해가 발생한 경우에는 신속한 신고와 체계적인 증거 확보가 법적 구제의 핵심이라는 점을 기억할 필요가 있습니다.
본 콘텐츠는 일반적인 법률 정보를 제공하기 위한 것으로, 구체적인 법률 자문이 아닙니다. 개별 사안에 대해서는 반드시 변호사와 상담하시기 바랍니다. ⓒ 2026 알법(albup.co.kr)
