택배·민원 사칭 스미싱 링크를 눌렀다가 신용카드 해외결제·부정사용 대금을 청구받았다면 — 1심에서 지고 항소심에서 카드사 책임이 인정된 판결과 회원 중과실로 갈린 분담 기준, 카드론·소액결제의 차이

안녕하세요, [서울대] 법무법인 도모 대표변호사 고준용입니다.

결론부터 말씀드리면, 택배·민원을 사칭한 스미싱 문자 링크를 눌렀다가 휴대전화가 장악되어 신용카드가 해외결제·상품권 결제·카드론으로 부정사용되었다면, 회원이 직접 결제하지 않은 금액은 원칙적으로 카드사가 책임지는 구조이고(여신전문금융업법 제16조 제5항, 전자금융거래법 제9조 제1항), 카드사가 회원의 '고의 또는 중대한 과실'을 증명해야 그 부담을 회원에게 넘길 수 있습니다. 다만 결론은 링크 하나를 눌렀는지가 아니라 회원이 비밀번호·카드 사진·인증번호를 스스로 건넸는지, 원격제어 앱을 지시에 따라 직접 설치했는지, 결제 수단이 신용카드인지 휴대폰 소액결제인지에 따라 갈리며, 서울남부지방법원 2025. 9. 26. 선고 2024나69331 판결은 1심에서 진 회원에게 카드사가 3,609,584원을 돌려주라고 판단을 뒤집었습니다.

이 글은 고준용 변호사(법무법인 도모 대표변호사, 2020년 변호사 자격 취득, 서울대학교·연세대학교 법학전문대학원 졸업)가 판결 12건을 바탕으로 정리했습니다. 수원지방법원 본원과 경기 남부 각 지원의 임대차·부동산·민사 분쟁을 직접 맡고 있습니다.

"주소 불일치로 물품을 보관 중입니다", "미납 과태료가 있습니다" 같은 문자를 받고 링크를 눌렀는데, 몇 시간 뒤 카드사 앱에 처음 보는 해외 가맹점 결제와 상품권 구매, 카드론 실행 내역이 줄줄이 찍힙니다. 카드사에 신고하면 보상 심사를 하겠다는 답이 오고, 얼마 뒤 "회원님의 중대한 과실로 보상이 어렵다"는 통지와 함께 결제일이 다가옵니다. 많은 분들이 이 통지를 받으면 내 실수라고 생각해 그냥 카드값을 내십니다. 그러나 법은 카드 정보가 부정한 방법으로 빠져나가 쓰인 경우 원칙적으로 카드사에 책임을 지우고, 실제 판결에서도 카드사가 갚은 사건과 회원이 떠안은 사건이 나뉩니다. 이 글은 스미싱·원격제어 앱 피해에서 카드사 책임이 인정된 판결과 부정된 판결, 1심과 항소심이 엇갈린 판결을 실제 판결번호로 나란히 놓고, 문자를 누른 날부터 무엇을 해야 하는지까지 정리한 것입니다.

핵심만 먼저 정리하면

스미싱으로 털린 신용카드 결제는 누가 부담합니까 — 원칙적으로 카드사입니다. 여신전문금융업법 제16조 제5항 제2호는 해킹 등 부정한 방법으로 얻은 신용카드 정보를 이용한 사용에 대해 카드사가 책임을 진다고 정하고, 제6항은 카드사가 회원의 고의 또는 중대한 과실을 증명하고 그런 내용의 서면 계약이 있을 때에만 회원에게 부담을 넘길 수 있게 합니다. 다만 회원에게 중대한 과실이 인정되면 회원 부담이 될 수 있습니다(서울남부지방법원 2024. 11. 27. 선고 2023가단249863 판결).

링크를 누른 것만으로 '중대한 과실'이 됩니까 — 그렇게 단정할 수 없습니다. 대법원 2014. 1. 29. 선고 2013다86489 판결은 중대한 과실을 사고 경위, 수법에 대한 일반인의 인식 정도, 이용자의 직업과 금융거래 경력 등 제반 사정으로 판단한다고 했고, 같은 택배 문자 사건에서 항소심(서울남부지방법원 2024나69331)은 회원의 고의에 준하는 중과실을 부정했습니다. 반면 범인의 지시대로 원격제어 앱을 직접 설치하고 신분증·카드 사진을 보낸 사건에서는 회원 책임이 크게 인정되었습니다(서울중앙지방법원 2026. 1. 9. 선고 2025나7893 판결).

이미 카드값을 냈어도 돌려받을 수 있습니까 — 돌려받은 판결이 있습니다. 인천지방법원 2019. 7. 11. 선고 2018가단260724 판결은 신용불량 등 불이익을 피하려고 부득이 낸 카드대금은 비채변제가 아니라며 카드사 두 곳에 4,419,145원과 3,540,000원의 반환을 명했습니다. 다만 납부할 때 이의를 남겨 두는 것이 안전합니다.

카드사 책임을 정하는 세 개의 조문

첫째, 여신전문금융업법 제16조입니다. 카드를 잃어버리거나 도난당한 경우 카드사는 신고를 받은 때부터 책임을 지고(제1항), 신고 전 사용분도 신고일부터 60일 전까지는 책임을 집니다(제2항, 같은 법 시행령 제6조의9 제1항). 스미싱과 더 직접 관련된 것은 제5항입니다. 위조·변조된 카드의 사용(제1호), 해킹·전산장애·내부자정보유출 등 부정한 방법으로 얻은 카드 정보를 이용한 사용(제2호), 다른 사람 명의를 도용해 발급받은 카드의 사용(제3호)은 카드사가 책임을 집니다. 제6항은 카드사가 회원의 고의 또는 중대한 과실을 '증명하면' 회원에게 책임을 지울 수 있다는 계약을 허용하지만, 제7항은 그 계약이 서면 또는 전자문서로 된 경우에만 효력이 있고 중대한 과실은 계약서에 적힌 것만 해당한다고 못 박습니다. 중대한 과실의 범위는 시행령 제6조의9 제2항이 정하는데, 고의 또는 중대한 과실로 비밀번호를 누설한 경우, 카드를 양도하거나 담보로 제공한 경우, 그리고 전자금융거래법 시행령 제8조에 해당하는 경우입니다.

둘째, 전자금융거래법 제9조입니다. 카드사도 이 법의 '금융회사'입니다(제2조 제3호 나목). 제9조 제1항 제3호는 전자적 장치나 정보통신망에 침입해 거짓이나 부정한 방법으로 획득한 접근매체의 이용으로 생긴 사고를 금융회사가 배상하도록 하고, 제2항은 이용자의 고의나 중대한 과실이 있고 그런 약정을 미리 체결한 경우에만 이용자에게 부담을 넘길 수 있게 합니다. 접근매체에는 전자식 카드, 금융회사에 등록된 이용자번호, 그 사용에 필요한 비밀번호가 포함됩니다(제2조 제10호). 휴대전화는 '전자적 장치'입니다(제2조 제8호). 전자금융거래법 시행령 제8조 제2호는 제3자가 권한 없이 쓸 수 있음을 알았거나 쉽게 알 수 있었는데도 접근매체를 누설·노출·방치한 경우를 중대한 과실로 정합니다.

셋째, 전자문서 및 전자거래 기본법 제7조입니다. 범인이 내 명의로 보낸 결제·대출 신청이 '내 것'으로 취급되는지를 정하는 조문입니다. 카드사가 회원과 미리 합의한 확인 절차(예: 신고된 비밀번호 일치)를 따랐다면 그 신청을 회원 것으로 볼 수 있고(제2항 제1호), 그런 합의가 없으면 회원 의사에 기한 것이라고 믿을 '정당한 이유'가 있어야 합니다(제2항 제2호). 수신자가 작성자로부터 본인 것이 아니라는 통지를 받고 조치할 상당한 시간이 있었다면 제2항은 적용되지 않습니다(제3항 제1호). 신고를 서둘러야 하는 법적 이유가 여기에도 있습니다.

여기에 두 가지 법이 더 겹칩니다. 전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법 제2조의4는 대출 신청이나 예금 해지 때 금융회사가 본인확인조치를 하도록 하고, 하지 않아 손해가 생기면 배상하도록 합니다. 휴대폰 소액결제처럼 통신요금과 함께 청구되는 결제에는 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제60조가 우선 적용됩니다(같은 법 제5조 단서). 어떤 수단으로 돈이 빠져나갔는지에 따라 적용 법과 결론이 달라지는 이유입니다.

'중대한 과실'은 무엇으로 판단하는가

대법원 2015. 5. 14. 선고 2013다69989 판결은 전자금융거래법 제9조의 취지를, 대면 거래라면 생기지 않았을 권한 없는 제3자의 거래로 생긴 손해를 원칙적으로 금융회사가 부담하도록 하고, 이용자가 접근매체를 대여·누설하는 등의 경우에만 예외적으로 이용자에게 넘기려는 것이라고 설명했습니다. 원칙은 금융회사 부담, 예외가 이용자 부담입니다.

예외의 기준은 대법원 2013다86489 판결이 세웠습니다. 전화금융사기로 계좌번호, 계좌비밀번호, 주민등록번호, 보안카드번호와 보안카드비밀번호를 모두 알려 준 이용자에 대해, 그 정보로 공인인증서가 재발급되어 대출이 실행된 사건에서 대법원은 중대한 과실을 인정한 원심(광주지방법원 2013. 10. 18. 선고 2013나9358 판결)을 유지했습니다. 이 판결은 판단 요소로 금융사고의 구체적 경위, 수법의 내용과 그 수법에 대한 일반인의 인식 정도, 이용자의 직업과 금융거래 이용경력을 들었습니다.

"'고의 또는 중대한 과실'이 있는지 여부는 접근매체의 위조 등 금융사고가 일어난 구체적인 경위, 그 위조 등 수법의 내용 및 그 수법에 대한 일반인의 인식 정도, 금융거래 이용자의 직업 및 금융거래 이용경력 기타 제반 사정을 고려하여 판단할 것이다." — 대법원 2013다86489

주의할 판결도 있습니다. 대법원 2009. 10. 15. 선고 2009다31970 판결은 실물 카드를 도난당해 비밀번호 오류 없이 현금서비스가 인출된 사건에서, 약관상 회원이 책임을 면하려면 비밀번호 누설에 아무런 과실이 없었음을 회원이 증명해야 한다고 했습니다. 다만 이 판결은 실물 카드 분실·도난 사건이고, 해킹 등으로 얻은 정보를 이용한 사용에 대해서는 현행 여신전문금융업법 제16조 제5항·제6항이 카드사가 회원의 중대한 과실을 증명하도록 정하고 있다는 점을 구분해야 합니다. 같은 약관이라도 어떤 유형의 부정사용인지에 따라 누가 무엇을 증명해야 하는지가 달라집니다.

첫 번째 사례 — 택배 문자 링크 하나, 1심은 회원이 졌습니다

서울남부지방법원 2024. 11. 27. 선고 2023가단249863 판결의 사건입니다. 영국에 거주하던 A씨는 국내용 휴대전화로 2023. 5. 13. "주소불일치로 물품보관중입니다"라는 택배사 사칭 문자를 받았습니다. 그 휴대전화에는 신용카드 앞·뒷면 사진과 운전면허증 사진이 저장되어 있었습니다. A씨는 2023. 5. 15. 아침 그 휴대전화로 은행 거래를 한 뒤 문자의 진위를 확인하려고 링크를 눌렀습니다.

그날 오후 범인은 A씨 명의 네이버인증서를 발급받고, 같은 번호의 휴대전화를 새로 개통하고, 저축은행 계좌를 열었습니다. 보험사에서 신용대출 3,000만 원과 보험약관대출 1,143만 원, 신협에서 정기예탁금 3,000만 원 해지, 카드사 앱에서 상품권 991,160원 결제와 단기카드대출 500만 원이 차례로 이루어졌습니다.

1심은 보험사 신용대출과 신협 해지는 비대면 실명확인 필수 절차를 한 가지만 거쳤다며 A씨에게 효력이 없다고 했지만, 카드사에 대한 청구는 전부 기각했습니다. 약관에 신고된 비밀번호를 확인하고 거래를 처리한다는 조항이 있으니 유효한 카드번호와 비밀번호로 이루어진 대출·결제는 A씨에게 효력이 있고, 카드번호·비밀번호 유출은 '접근매체 자체'의 이용 사고가 아니라고 보았습니다. 여신전문금융업법 제16조에 대해서도 링크를 클릭해서는 안 된다는 점이 상당히 알려져 있는데 확인 없이 눌렀고, 휴대전화에 카드 앞뒷면 사진 같은 민감한 정보를 저장해 두었다는 이유로 중대한 과실을 인정했습니다.

두 번째 사례 — 같은 사건, 항소심은 카드사 책임을 인정했습니다

A씨가 항소한 서울남부지방법원 2025. 9. 26. 선고 2024나69331 판결은 카드사 부분을 바꿨습니다. 항소심이 인정한 경위는 더 구체적입니다. 범인은 링크 클릭으로 휴대전화에 설치된 불상의 앱을 통해 A씨가 은행 거래 때 쓴 비밀번호를 빼냈고, 카드 비밀번호 네 자리가 그 번호와 같았습니다. 범인은 2023. 5. 15. 16:39경 새로 개통한 휴대전화로 카드사 앱에 로그인해 여섯 자리 결제비밀번호를 새로 등록했고, 16:47경부터 16:52경까지 상품권 991,160원을 샀으며, 17:35경 500만 원 대출을 받아 다른 계좌로 옮겼습니다. A씨는 2023. 7. 25. 상품권 대금을, 2023. 9. 25. 대출원금과 수수료 236,849원을 카드사에 냈습니다.

대출 500만 원에 대해 항소심은 약관상 신고된 비밀번호와 같은 번호가 입력되었으니 대출약정 자체는 유효하다고 보면서도, 전자금융거래법 제9조 제1항 제3호의 배상책임을 인정했습니다. 피해 휴대전화는 '전자적 장치', 카드는 '전자식 카드', 카드번호 16자리는 '이용자번호', 비밀번호는 '비밀번호'에 해당하고, 범인은 휴대전화에 침입해 부정하게 얻은 접근매체로 대출을 받았다는 것입니다. 카드사의 비밀번호 관리 소홀 주장에 대해서는 약관의 '과실'은 고의에 준하는 중과실을 뜻한다고 보고 대법원 2013다86489 판결의 기준을 적용해 이를 부정했습니다.

"1항 기재 인정사실에 비추어 볼 때 위 비밀번호 유출에 있어서 원고에게 고의에 준하는 중과실이 있다고 볼 수 없으므로, 피고의 주장은 이유 없다." — 서울남부지방법원 2024나69331

다만 링크 클릭으로 정보가 유출될 수 있음이 널리 알려져 있었고 운전면허증 사진이 휴대전화에 보관되어 있었다는 사정을 들어 카드사 책임을 50%로 제한해 2,618,424원을 인정했습니다. 상품권 991,160원은 결론이 더 분명했습니다. 범인이 새로 등록한 결제비밀번호에 관해서는 회원과 미리 합의한 확인 절차가 있었다고 인정하기 부족하고, 카드사가 비대면 실명확인 필수 조치를 거치지 않았으므로 결제 약정 자체가 성립하지 않았다며 전액 반환을 명했습니다. 합계 3,609,584원이고, 엘박스 기준 확정되었습니다. 같은 판결은 보험약관대출에 대해서도 보험사 책임 50%(5,861,993원)를 인정했고, 보험사가 범인이 개통한 휴대전화로 본인확인을 했다고 다툰 데 대해 그 전화는 등록된 전화와 번호만 같은 별개의 전화라고 배척했습니다.

1심과 항소심을 가른 것은 두 가지입니다. 하나는 휴대전화를 '침입당한 전자적 장치'로 보고 카드번호·비밀번호를 접근매체로 본 법리 구성, 다른 하나는 결제 수단별로 '합의된 확인 절차'가 있었는지를 따로 따진 점입니다. 같은 사실관계에서도 주장을 어떻게 세우느냐에 따라 결론이 달라졌습니다.

세 번째 사례 — 범인이 새로 등록한 앱카드 비밀번호는 '신고된 비밀번호'가 아닙니다

인천지방법원 2019. 7. 11. 선고 2018가단260724 판결은 스미싱 사건은 아니지만, 휴대전화를 이용한 앱카드 부정사용에서 반복해 인용할 만한 기준을 세웠습니다. B씨는 2017. 11. 27. 인천 연수구 자택에서 주민등록증과 신용카드를 도난당했고, 범인은 다음 날 B씨 명의 휴대전화를 개통해 카드사 두 곳의 앱카드를 설치했습니다. 범인은 기존 카드 비밀번호를 임의로 변경하거나 앱카드 비밀번호를 새로 등록한 뒤 인터넷 결제와 현금서비스를 받았고, 형사재판(인천지방법원 2018고단4188 등)에서 징역 1년 4월이 확정되었습니다.

법원은 약관의 '카드사에 신고된 비밀번호'란 회원이 신고했거나 회원이 동의한 비밀번호를 말하고, 제3자가 회원 허락 없이 임의로 변경하거나 신규 등록한 비밀번호는 여기에 해당하지 않는다고 보았습니다. 카드사가 기존 휴대전화로 카드사용알림서비스 변경 문자를 한 번 보냈다는 사정만으로는 회원에게 과실이 있다고 볼 수 없다고 했습니다. 결론은 카드사 한 곳에 대한 2,900,000원 채무부존재 확인과 이미 낸 4,419,145원 반환, 다른 카드사의 3,540,000원 반환이었고, 엘박스 기준 확정되었습니다.

스미싱 사건에서도 범인은 대개 새 휴대전화나 탈취한 휴대전화로 앱카드를 등록하면서 결제비밀번호를 새로 만듭니다. 항소심 2024나69331 판결이 범인이 등록한 결제비밀번호에 대해 합의된 절차를 인정하지 않은 것과 같은 흐름입니다. 카드사가 "정상 비밀번호로 결제되었다"고 답했다면, 그 비밀번호가 회원이 신고한 것인지 범인이 새로 등록한 것인지부터 확인해야 합니다.

네 번째 사례 — 원격제어 앱을 직접 설치했다면 카드사는 책임을 지지 않았습니다

반대 결론입니다. 서울중앙지방법원 2024. 12. 3. 선고 2022가단5340379 판결의 C씨는 2022. 5. 27. 검찰수사관을 사칭한 전화를 받고 지시에 따라 새 휴대전화를 개통한 뒤 원격제어 프로그램을 설치하고, 주민등록증과 보안OTP카드 앞뒷면 사진을 보냈습니다. 범인은 공동인증서를 재발급받아 저축은행 두 곳, 은행, 보험사에서 대출을 받았고, 카드사 앱에 C씨의 아이디와 비밀번호로 접속해 카드론 3,500만 원과 현금서비스 820만 원을 받았습니다.

법원은 카드사가 약관에서 정한 대로 카드번호와 카드 비밀번호 입력, 휴대전화 본인인증을 거쳤으므로 카드론·현금서비스는 C씨에게 효력이 있다고 보았습니다. 카드사 앱의 아이디와 비밀번호는 전자금융거래법상 접근매체로 보기 어렵다며 제9조 책임도 부정했습니다. 공동인증서 재발급은 접근매체의 위조·변조가 아니고, 범인이 전자적 장치나 정보통신망에 '침입'해 접근매체를 획득했다고 볼 수도 없다고 했습니다. C씨가 스스로 설치하고 스스로 보낸 정보였기 때문입니다. 은행 한 곳만 통신사기피해환급법상 본인확인의무 위반으로 30% 책임을 졌는데, 법원은 모텔로 이동하라거나 휴대전화를 뒤집어 놓으라는 매우 이례적인 지시를 받고도 원격제어 프로그램을 설치한 C씨의 과실을 무겁게 보았습니다. 엘박스 기준 확정되었습니다.

이 판결은 카드사가 당시 통신사기피해환급법의 '금융회사'에 포함되지 않아 그 법의 손해배상 주체가 아니라고도 했습니다. 이후 사정이 바뀌었습니다. 2025. 11. 11. 개정된 같은 법 시행령 제2조 제3호가 여신전문금융회사를 포함시켰고, 부칙 제2조에 따라 그 시행 이후 카드사에 신규로 대출을 신청하는 경우부터 본인확인조치 의무와 위반 시 손해배상 조항(법 제2조의4 제1항 제1호, 제2항)이 적용됩니다. 다만 이 조항은 대출 신청과 예금 해지에 관한 것이어서 카드 결제 자체에는 적용되지 않습니다.

카드론이 유효하다고 본 판결은 더 있습니다. 서울중앙지방법원 2023. 11. 30. 선고 2022나28620 판결은 지인들에게 신분증과 서류를 건넨 뒤 카드론 700만 원이 실행된 사건에서, 카드번호·비밀번호, 공동인증서, 휴대폰 문자 인증이라는 약관상 절차를 모두 거쳤다며 대출을 유효로 보았습니다(1심 2021가단5192016, 확정). 아들을 사칭한 문자에 신분증 사진과 계좌번호를 보낸 사건에서 저축은행 대출을 유효로 본 서울서부지방법원 2024. 6. 14. 선고 2023나43126 판결도 있습니다(상고 결과 미확인).

다섯 번째 사례 — 해외 현금인출, 증거가 늦어 진 회원

해외 부정사용은 증명 싸움이 됩니다. 수원지방법원 2018. 4. 26. 선고 2017나67988 판결의 D씨 카드로는 2016. 5. 18.부터 6. 2.까지 필리핀에서 36회 354,000페소(수수료 포함 9,655,805원), 다른 카드로는 2016. 7. 21.부터 7. 24.까지 28회 280,000페소(7,272,548원)가 현금으로 인출되었습니다. D씨는 그중 6,899,181원과 2,857,371원은 자신이 인출하지 않았다며 보상을 신청했다가 거절되자 소송을 냈습니다.

법원은 현금서비스가 카드 투입과 비밀번호 입력으로 이루어졌고, D씨가 카드를 잃어버린 적 없이 계속 갖고 있었다고 주장하며, 부정사용이라는 인출 사이사이에 D씨가 인정하는 정상 인출이 섞여 있고 시간도 매우 가깝고 같은 기기에서 인출된 경우도 있다는 점을 들어 D씨 본인 인출로 보았습니다. 카드 위·변조는 증거가 없고, 비밀번호 유출에 과실이 없다는 점도 증명되지 않았다고 했습니다. 카드사가 문자 알림을 보내지 않았다는 주장도 별도 약정이 없으면 확인 의무가 없다며 배척했습니다.

D씨는 변론이 끝난 뒤에야 골프장 이용 기록, 비행기 탑승 내역, 마그네틱 복제 사고 기사, 출입국 사실조회 신청을 내며 변론재개를 신청했지만, 법원은 항소 후 10개월 동안 자료를 내지 않았다며 받아들이지 않았습니다. 1심(수원지방법원 성남지원 2017가단1454)에 이어 항소도 기각되었고, 대법원 2018다236678 심리불속행기각으로 확정되었습니다. 해외결제 피해라면 결제 시각에 내가 어디에 있었는지를 보여 주는 자료를 처음부터 내야 합니다.

여섯 번째 사례 — 휴대폰 소액결제는 카드와 다른 법이 적용됩니다

서울중앙지방법원 2026. 1. 9. 선고 2025나7893 판결의 E씨는 2024. 4. 20. 아들을 사칭한 카카오톡 메시지를 받고 신분증, 신용카드 앞뒷면, 계좌번호와 비밀번호를 보낸 뒤 원격제어 프로그램까지 설치했습니다. 범인은 E씨 휴대전화 회선으로 이틀간 게임·상품권 소액결제 742,120원을 하고, E씨 명의 휴대전화를 비대면으로 개통했습니다. E씨는 2024. 4. 23.과 4. 24. 통신사에 피해를 알리고 소액결제 차단을 요청했습니다.

E씨는 여신전문금융업법 제16조 제5항 제2호와 전자금융거래법 제9조를 근거로 들었지만 법원은 받아들이지 않았습니다. 휴대폰 소액결제는 정보통신망법상 통신과금서비스여서 같은 법 제5조 단서에 따라 전자금융거래법보다 정보통신망법이 우선 적용되고, 여신전문금융업법 제16조 제5항은 신용카드 사용에 관한 규정이라는 것입니다. 정보통신망법 제60조 제1항은 이용자의 고의 또는 중과실이면 통신과금서비스제공자가 배상하지 않도록 하는데, 법원은 아들인지 확인하지 않고 정보를 넘기고 원격조정 앱까지 설치한 것을 중과실로 보았습니다. 1심(2024가단5443654)에 이어 항소도 기각되었습니다(확정 여부 미확인).

같은 날 같은 범인이 카드와 휴대폰 소액결제를 함께 썼다면, 카드 부분은 여신전문금융업법·전자금융거래법으로, 소액결제 부분은 정보통신망법으로 따로 다퉈야 합니다. 정보통신망법 제58조 제3항의 정정 요구도 이용자에게 고의 또는 중과실이 있으면 대상에서 빠집니다.

카드를 건넸다면 결론이 달라집니다

회원 책임이 가장 분명한 경우는 카드나 비밀번호를 스스로 넘긴 경우입니다. 춘천지방법원 강릉지원 2022. 12. 14. 선고 2021가단31404 판결에서 배우자가 회원 명의 주민등록증을 재발급받고 휴대전화를 개통해 여러 금융회사에서 대출을 받은 사건에서, 법원은 회원이 직접 발급받은 카드를 배우자에게 주었다는 진술에 회원이 반박하지 않았다며 카드 사용대금은 카드 양도로 생긴 것으로 보고 회원 책임을 인정했습니다(확정). 여신전문금융업법 시행령 제6조의9 제2항 제2호의 '양도' 사유입니다. 스미싱 피해에서도 범인이 "카드 보안 점검", "환불 처리"라며 카드 번호와 유효기간, CVC, 비밀번호를 직접 불러 달라고 해서 알려 준 경우라면 '누설'로 평가될 위험이 커집니다.

판결들을 나란히 놓으면 보이는 기준

첫째, 정보가 '빼앗긴 것'인지 '건넨 것'인지입니다. 링크를 눌러 악성 앱이 몰래 설치되고 비밀번호가 빠져나갔다면 휴대전화에 대한 침입으로 평가될 여지가 있고 중과실도 부정될 수 있습니다(서울남부지방법원 2024나69331). 지시에 따라 원격제어 앱을 직접 설치하고 신분증·카드 사진을 보냈다면 침입이 부정되거나 중과실이 인정되기 쉽습니다(서울중앙지방법원 2022가단5340379, 2025나7893).

둘째, 결제에 쓰인 비밀번호가 누구의 것인지입니다. 회원이 신고한 비밀번호가 입력되었다면 약관상 합의된 절차를 따른 것으로 거래가 유효해지기 쉽고, 범인이 새로 등록하거나 바꾼 비밀번호라면 거래 자체가 회원에게 효력이 없을 수 있습니다(인천지방법원 2018가단260724, 서울남부지방법원 2024나69331).

셋째, 결제 수단입니다. 신용카드 결제는 여신전문금융업법 제16조, 카드론·현금서비스는 전자문서법 제7조와 전자금융거래법 제9조, 휴대폰 소액결제는 정보통신망법 제60조로 판단이 갈립니다.

넷째, 회원에게 과실이 일부 있어도 전부 회원 부담이 되는 것은 아닙니다. 법원은 50%(서울남부지방법원 2024나69331), 30%(서울중앙지방법원 2022가단5340379)처럼 책임을 나누었습니다. 카드사가 '중대한 과실'이라며 전액 보상을 거절했더라도 소송에서는 비율로 다툴 수 있습니다.

내 사건 직접 점검해 보기

1. 링크를 누른 뒤 내가 직접 한 일을 시간순으로 적으십시오. 링크만 눌렀는지, 앱 설치를 허용했는지, 비밀번호·인증번호·카드번호를 직접 입력하거나 불러 주었는지가 중과실 판단의 출발점입니다(대법원 2013다86489).

2. 카드사 앱의 '등록 기기'와 '결제비밀번호 변경' 이력을 확인하십시오. 처음 보는 기기에서 앱카드가 등록되었거나 결제비밀번호가 새로 설정되었다면, 회원이 신고한 비밀번호가 아니라는 주장이 가능합니다(인천지방법원 2018가단260724).

3. 내 휴대전화가 개통 해지되거나 같은 번호로 새 휴대전화가 개통되었는지 확인하십시오. 카드사가 범인 휴대전화로 본인인증을 했다면 '등록된 전화로 확인했다'는 항변을 깰 수 있습니다(서울남부지방법원 2024나69331).

4. 피해를 결제 수단별로 나누십시오. 신용카드 결제, 카드론·현금서비스, 은행 대출, 휴대폰 소액결제는 적용 법이 다릅니다(서울중앙지방법원 2025나7893).

5. 해외결제라면 그 시각 내 위치를 보여 줄 자료를 모으십시오. 출입국 기록, 국내 카드 사용 내역, 교통카드 기록, 회사 출근 기록 등이 뒤늦게 나오면 받아들여지지 않을 수 있습니다(수원지방법원 2017나67988).

6. 카드사의 보상 거절 통지서에 적힌 사유를 확인하십시오. 회원약관의 어느 조항, 어떤 중과실 사유를 근거로 했는지가 적혀 있어야 하고, 중대한 과실은 계약서에 적힌 것만 해당합니다(여신전문금융업법 제16조 제7항).

문자 링크를 누른 날부터 할 일

• 당일 즉시 — 휴대전화를 비행기 모드로 바꾸고, 다른 기기로 모든 카드사에 분실·도난 신고와 사용 정지를 요청하십시오. 신고 시 접수자와 접수번호를 받아 두십시오(여신전문금융업법 제16조 제4항). 카드사는 통지를 받은 때부터 책임을 지고, 본인 것이 아니라는 통지를 받고 조치할 상당한 시간이 지난 뒤의 거래는 회원 것으로 보기 어려워집니다(전자문서 및 전자거래 기본법 제7조 제3항 제1호).

• 당일~다음 날 — 은행·보험·증권 계좌의 지급정지와 비대면 거래 차단, 통신사의 소액결제 차단과 명의도용 개통 확인을 함께 요청합니다. 경찰에 사이버 사기 피해로 신고해 접수증을 받습니다. 악성 앱이 설치된 휴대전화는 초기화하지 말고 그대로 보관하십시오. 침입의 증거가 그 안에 있습니다.

• 1주 안 — 카드사에 부정사용 보상 신청서를 내면서 결제 내역 중 내가 하지 않은 건을 하나하나 특정하고, 문자 화면, 링크 주소, 경찰 신고 접수증을 붙입니다. 여신전문금융업법 제16조 제10항에 따라 서면·전화·전자문서로 이의를 제기하면 카드사는 조사를 마칠 때까지 그 금액을 받을 수 없습니다.

• 보상 거절 통지를 받으면 — 결제일이 다가와 일단 내더라도 "이의를 유보하고 납부한다"는 뜻을 문자나 서면으로 남겨 두십시오. 부득이 낸 카드대금은 돌려받은 판결이 있습니다(인천지방법원 2018가단260724). 이후 금융감독원 분쟁조정이나 채무부존재확인·부당이득반환 소송을 검토합니다.

기억이 아니라 기록으로

이긴 회원에게는 시간이 찍힌 기록이 있었습니다. 서울남부지방법원 2024나69331 사건에서는 은행 거래 시각, 링크 클릭 시각, 범인의 카드사 앱 로그인·결제비밀번호 등록·상품권 결제·대출 시각이 분 단위로 확정되었고, 그 기록이 '침입당한 휴대전화'라는 구성을 가능하게 했습니다. 인천지방법원 2018가단260724 사건에서는 범인의 형사판결과 비밀번호 변경 기록이 결정적이었습니다. 진 사건에서는 해외 인출 시각에 다른 곳에 있었다는 자료가 너무 늦게 나왔거나(수원지방법원 2017나67988), 회원이 원격제어 앱을 설치하고 사진을 보낸 대화가 그대로 남아 있었습니다(서울중앙지방법원 2025나7893). 문자 화면 캡처, 링크 주소, 카드사 앱의 결제·등록 기기 이력, 통신사의 개통 이력, 신고 접수번호를 날짜별로 정리해 두십시오.

여기서부터는 변호인이 필요합니다

피해액이 크지 않고 카드사가 보상 심사에서 전액을 인정한다면 소송까지 갈 일은 없습니다. 그러나 카드사가 '중대한 과실'을 이유로 거절했거나, 카드 결제와 카드론, 은행 대출, 소액결제가 한꺼번에 일어났거나, 피해액이 수백만 원에서 수천만 원에 이른다면 사정이 다릅니다. 같은 택배 문자 사건에서 1심은 카드사 책임을 전부 부정했고 항소심은 3,609,584원을 인정했습니다. 차이를 만든 것은 휴대전화를 침입당한 전자적 장치로, 카드번호와 비밀번호를 접근매체로 구성한 주장과 결제 수단별로 합의된 확인 절차를 따진 주장이었습니다.

상대도 여럿입니다. 카드사, 은행, 저축은행, 보험사, 통신사마다 적용 법과 본인확인 의무가 다르고, 채무부존재확인을 구할지 이미 낸 돈의 반환을 구할지, 손해배상채권으로 상계할지에 따라 청구취지가 달라집니다. 보험약관대출처럼 채무부존재확인을 구하면 각하되는 유형도 있습니다(서울중앙지방법원 2022가단5340379).

신용정보와 대금 연체가 걱정된다면

보상 심사 중에도 결제일은 옵니다. 여신전문금융업법 제16조 제10항의 이의제기를 해 두면 조사가 끝날 때까지 카드사는 그 금액을 받을 수 없으므로, 이의제기 사실과 날짜를 기록으로 남겨 두는 것이 연체 불이익을 막는 첫 단계입니다. 그래도 연체 위험 때문에 일단 냈다면 앞서 본 대로 반환 청구가 가능합니다. 범인이 내 명의로 계좌를 열고 휴대전화를 개통했다면, 개설된 계좌와 회선을 정리하지 않으면 2차 피해와 추가 대출이 이어질 수 있으니 함께 확인해야 합니다.

자주 묻는 질문

택배 문자 링크를 눌렀다가 신용카드가 부정사용됐다면 카드값을 제가 내야 합니까?

원칙적으로 내지 않아도 되지만, 카드사가 회원의 고의 또는 중대한 과실을 증명하면 일부 또는 전부를 부담할 수 있습니다. 여신전문금융업법 제16조 제5항 제2호는 부정한 방법으로 얻은 카드 정보를 이용한 사용을 카드사 책임으로 정하고, 같은 택배 문자 사건에서 서울남부지방법원 2024나69331 판결은 회원의 중과실을 부정했습니다. 다만 같은 사건 1심(2023가단249863)은 중과실을 인정했으므로 사실관계 정리가 결론을 좌우합니다.

스미싱으로 해외에서 신용카드가 결제됐는데 카드사가 보상을 거절하면 어떻게 합니까?

거절 사유를 서면으로 받고, 이의를 제기한 뒤 채무부존재확인이나 부당이득반환 소송을 검토할 수 있습니다. 해외결제는 결제 시각에 국내에 있었다는 자료와 범인이 등록한 기기·비밀번호 기록이 핵심 증거이며, 이런 자료를 뒤늦게 내 진 판결이 있습니다(수원지방법원 2017나67988, 대법원 2018다236678 심리불속행기각).

카드사가 '회원의 중대한 과실'이라고 하면 그대로 끝입니까?

아닙니다. 중대한 과실은 카드사가 증명해야 하고, 계약서에 적힌 사유만 해당합니다(여신전문금융업법 제16조 제6항·제7항). 법원은 사고 경위, 수법에 대한 일반인의 인식 정도, 이용자의 직업과 금융거래 경력을 함께 보며(대법원 2013다86489), 과실이 일부 인정되어도 카드사 책임을 50%로 나눈 판결이 있습니다(서울남부지방법원 2024나69331).

원격제어 앱을 제가 직접 설치했다면 카드사에 책임을 물을 수 없습니까?

책임을 묻기가 훨씬 어려워집니다. 지시에 따라 원격제어 프로그램을 설치하고 신분증·카드 사진을 보낸 사건에서 법원은 정보통신망 '침입'을 부정하거나 중과실을 인정했습니다(서울중앙지방법원 2022가단5340379, 2025나7893). 다만 설치 경위와 이후 범인이 한 일, 금융회사의 본인확인 절차에 따라 일부 책임이 인정된 판결도 있으므로 금융회사별로 따로 따져야 합니다.

범인이 제 명의로 카드론까지 받았다면 그 대출금을 갚아야 합니까?

경우에 따라 다릅니다. 회원이 신고한 비밀번호와 약관상 인증 절차를 거친 카드론은 유효하다고 본 판결이 많지만(서울중앙지방법원 2022가단5340379, 2022나28620), 대출이 유효해도 휴대전화 침입으로 얻은 접근매체가 쓰였다면 전자금융거래법 제9조에 따라 카드사가 손해의 일부를 배상해야 한다는 판결이 있습니다(서울남부지방법원 2024나69331). 2025. 11. 11. 개정 통신사기피해환급법 시행령 시행 이후 신청된 카드사 대출에는 본인확인조치 의무 위반에 따른 손해배상 조항도 적용됩니다.

휴대폰 소액결제로 빠져나간 돈도 카드처럼 돌려받을 수 있습니까?

적용 법이 달라 같은 방식으로는 어렵습니다. 휴대폰 소액결제는 정보통신망법 제60조가 우선 적용되어 이용자에게 고의 또는 중과실이 있으면 통신과금서비스제공자가 배상하지 않으며, 여신전문금융업법 제16조는 적용되지 않는다고 본 판결이 있습니다(서울중앙지방법원 2025나7893). 다만 이용자에게 중과실이 없다면 같은 조 제1항에 따라 배상을 구할 수 있으므로 피해 경위를 먼저 정리해야 합니다.

이 글에서 인용한 판결과 법령

• 대법원 2014. 1. 29. 선고 2013다86489 판결 — 전자금융거래법상 중대한 과실의 판단 기준, 금융거래정보 전부 노출 시 중과실 인정 (원심 광주지방법원 2013. 10. 18. 선고 2013나9358 판결 유지)

• 대법원 2015. 5. 14. 선고 2013다69989 판결 — 전자금융거래법 제9조의 취지와 '사고'의 의미 (원심 일부 파기환송, 법리 부분만 인용)

• 대법원 2009. 10. 15. 선고 2009다31970 판결 — 실물 카드 도난 시 회원의 무과실 증명책임, 무과실 회원에게 전부 부담시키는 약관 해석은 무효

• 서울남부지방법원 2024. 11. 27. 선고 2023가단249863 판결 — 택배 사칭 문자, 카드사 청구 전부 기각 (항소심에서 카드사 부분 변경)

• 서울남부지방법원 2025. 9. 26. 선고 2024나69331 판결 — 같은 사건 항소심, 카드사에 3,609,584원 지급 명령(대출 손해 50%, 상품권 결제 전액), 보험약관대출 50% (엘박스 기준 확정)

• 인천지방법원 2019. 7. 11. 선고 2018가단260724 판결 — 제3자가 변경·신규 등록한 비밀번호는 '신고된 비밀번호' 아님, 이미 낸 카드대금 반환 (확정)

• 서울중앙지방법원 2024. 12. 3. 선고 2022가단5340379 판결 — 원격제어 설치·사진 전송, 카드론·현금서비스 유효·카드사 책임 부정, 은행 30% 책임 (확정)

• 서울중앙지방법원 2023. 11. 30. 선고 2022나28620 판결 — 약관상 절차를 거친 카드론 유효 (1심 2021가단5192016, 확정)

• 서울서부지방법원 2024. 6. 14. 선고 2023나43126 판결 — 아들 사칭 문자 후 저축은행 비대면 대출 유효 (상고 결과 미확인)

• 수원지방법원 2018. 4. 26. 선고 2017나67988 판결 — 필리핀 현금인출 부정사용 주장 배척, 변론재개 불허 (1심 수원지방법원 성남지원 2017가단1454, 대법원 2018다236678 심리불속행기각)

• 서울중앙지방법원 2026. 1. 9. 선고 2025나7893 판결 — 휴대폰 소액결제는 정보통신망법 우선 적용, 중과실로 청구 기각 (1심 2024가단5443654, 확정 여부 미확인)

• 춘천지방법원 강릉지원 2022. 12. 14. 선고 2021가단31404 판결 — 카드를 배우자에게 양도한 경우 회원 책임 (확정)

• 법령 — 여신전문금융업법 제16조, 같은 법 시행령 제6조의9; 전자금융거래법 제2조, 제9조, 같은 법 시행령 제8조; 전자문서 및 전자거래 기본법 제7조; 전기통신금융사기 피해 방지 및 피해자산 환급에 관한 특별법 제2조의4, 같은 법 시행령 제2조(2025. 11. 11. 개정 부칙 제2조); 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제5조, 제58조, 제60조 (2026년 10월 16일 korean-law 조회 기준 현행)

법무법인 도모는 이 사건을 이렇게 진행합니다

첫 상담에서 확인하는 것

첫 상담에서는 받은 문자와 링크, 그 뒤 휴대전화에서 무엇을 눌렀고 무엇을 입력했는지를 분 단위로 다시 맞춰 봅니다. 그다음 카드사 앱의 결제 내역과 등록 기기, 결제비밀번호 변경 이력, 통신사의 개통·해지 이력을 대조해 범인이 언제 어떤 수단으로 무엇을 했는지 표로 만듭니다. 카드 결제, 카드론·현금서비스, 은행·보험 대출, 휴대폰 소액결제를 나누고, 각 금융회사에 언제 신고했는지, 보상 거절 통지에 어떤 약관 조항이 적혀 있는지 확인합니다.

고준용 변호사의 대응 방식

저는 이 사건을 '거래가 내 것인가'와 '내 것이라도 누가 손해를 지는가'의 두 축으로 나누어 봅니다. 첫째, 거래의 효력입니다. 범인이 쓴 비밀번호가 회원이 신고한 것인지 새로 등록한 것인지, 결제 수단마다 회원과 합의된 확인 절차가 있었는지, 없었다면 비대면 실명확인 절차를 거쳤는지를 따져 결제·대출 자체가 회원에게 효력이 없다는 주장을 먼저 세웁니다(인천지방법원 2018가단260724, 서울남부지방법원 2024나69331). 둘째, 손해의 분담입니다. 거래가 유효하더라도 휴대전화가 침입당한 전자적 장치이고 카드번호와 비밀번호가 접근매체라는 점을 근거로 전자금융거래법 제9조, 여신전문금융업법 제16조 제5항의 책임을 구성하고, 카드사가 내세우는 중대한 과실에 대해서는 대법원 2013다86489 판결의 기준에 맞춰 회원의 직업, 금융거래 경력, 수법의 정교함을 정리합니다. 이미 낸 돈은 부당이득반환으로, 남은 대금은 채무부존재확인과 상계로 청구취지를 나눕니다.

함께할 때 결과가 달라지는 이유

같은 택배 문자, 같은 휴대전화 기록을 두고도 1심과 항소심의 결론이 갈렸습니다. 이 유형은 사실보다 법리 구성과 결제 수단별 청구 설계에서 승부가 나는 경우가 많습니다. 법무법인 도모도 금융사고와 관련된 민사 분쟁을 다루고 있지만, 결과는 사건마다 다르므로 휴대전화와 카드사 기록을 정확히 맞춰 보는 것에서 출발합니다. 결제일이 지나고 증거가 사라지기 전에 상담하시는 것이 손실을 줄이는 순서입니다.

법무법인 도모가 함께하겠습니다

문자 하나를 눌렀을 뿐인데 수백만 원, 수천만 원의 청구서가 내 이름으로 날아오는 일은 금액보다 자책이 더 큽니다. 그러나 이 글의 판결들이 보여 주듯, 법은 링크를 누른 사람에게 모든 책임을 지우지 않고, 카드사가 회원의 중대한 과실을 증명하도록 하고 있습니다.

카드사의 보상 거절 통지를 받고 그대로 결제하기 전에, 휴대전화를 초기화하기 전에, 결제일이 지나기 전에 법무법인 도모로 문의해 주십시오. 결제 수단별로 무엇을 다툴 수 있는지, 어디에 먼저 이의를 제기할지 함께 정리해 드리겠습니다.

수원·경기 남부에서 상담이 필요하시다면

법무법인 도모는 수원 광교와 서울 양재에 사무소를 둔 로펌입니다. 수원지방법원과 가까운 광교중앙로에 자리하고 있으며, 수원·용인·화성·성남·안양·오산·평택 등 경기 남부 전역의 민사 사건을 맡고 있습니다. 서울에 계신 분은 서울 서초구 강남대로 212 보은빌딩 7층의 양재 사무소에서도 상담을 받으실 수 있습니다. 대표변호사를 포함한 8인의 변호사가 사건을 직접 담당합니다.

수원지방법원 본원과 성남·안양·안산·평택·여주지원 관할에서 스미싱·원격제어 앱 피해로 카드사와 다투고 계시거나, 카드 부정사용 보상 거절 통지를 받으셨다면 초기 대응이 결과를 가릅니다. 상담 때에는 받은 문자 화면과 링크 주소, 카드사별 결제·이용 내역서, 카드사 앱의 등록 기기·비밀번호 변경 내역 캡처, 보상 신청서와 보상 거절 통지서, 경찰 신고 접수증, 통신사 개통·소액결제 내역, 해외결제라면 그 시각의 출입국 기록이나 국내 카드 사용 내역, 그리고 악성 앱이 설치된 휴대전화를 초기화하지 않은 상태로 가져오시면 첫 상담에서 누구를 상대로 무엇을 청구할지와 다음 단계를 함께 짚어 드립니다. 수원 법무법인 도모로 문의해 주시기 바랍니다.