암호화폐 전자지갑을 해킹당해 1000만원 가량을 피해 본 가입자가 운영업체를 상대로 소송을 제기했으나 패소 판결을 선고한 사례
1. 주문
(1) 원고의 항소를 기각한다.
(2) 항소비용은 원고가 부담한다.
2. 청구취지 및 항소취지
제1심 판결을 취소한다. 피고는 원고에게 1100만4875원과 이에 대하여 2019년 4월 19일부터 이 사건 소장 송달일까지는 연 5%의, 그 다음날부터 다 갚는 날까지는 연 15%의 각 비율로 계산한 돈을 지급하라.
3. 기초사실
가. 피고는 인터넷관련 소프트웨어 개발 및 제조 판매업 등을 영위하는 회사로서 온라인 암호화폐거래소인 'A'를 운영하고 있고, 원고는 A에 본인 계정 및 암호화폐 보관 전자지갑(이하 '이 사건 계정')을 생성하여 비트코인(BTC) 등 암호화폐를 보유하고 있었다.
나. 2019년 4월 18일 23시 3분경 이 사건 계정에서 원고가 보유하고 있던 1.72964646 BTC가 성명불상자에 의하여 불상의 다른 암호화폐 전자지갑으로 송금되는 거래(이하 '이 사건 거래')가 발생하였다.
4. 원고의 주장
가. 원고와 피고 사이에 체결된 서비스 이용계약에 따르면, 피고는 원고의 A 계정에 보관되어 있는 원화포인트 또는 암호화폐를 원고를 위하여 안전하게 보관해 줄 의무를 부담한다. 이는 일종의 유상임치계약으로서, 피고는 위 보관과 관련하여 선량한 관리자의 주의의무를 부담한다. 그런데도 피고는 개인정보 유출 방지, 해외 IP접속 차단조치, 가상화폐 출금시 OTP(One Time Password, 일회용 비밀번호) 등을 이용한 인증시스템 활용, 거래내용에 대한 알림 문자 전송, 보험 가입 등 보호조치를 사전에 구축하지 아니하는 등 선량한 관리자의 주의의무를 게을리함으로써 해커가 원고의 이 사건 계정에 침입하여 그곳에 있던 암호화폐를 인출해 가는 사고가 발생하였고, 그로 인해 원고는 그에 상응하는 원화 상당의 손해를 입었다. 따라서 피고는 원고가 입은 손해를 배상할 의무가 있다.
나. 피고는 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 '정보통신망법')에 따른 정보통신서비스의 제공자로서 이용자의 정보보호를 위하여 각종 인증수단을 동원하여 의도하지 않은 접속이나 거래로부터 고객의 정보를 보호할 의무가 있음에도 위 가.항에서 주장한 바와 같은 내용의 정보통신망법 상 주의의무를 게을리함으로써 발생한 원고의 손해를 배상할 의무가 있다.
다. 손해배상청구 금액은 1.72964646 BTC를 원화로 환산한 1100만4875원이다.
5. 판단
살피건대, 앞서 본 증거의 각 기재 및 변론 전체의 취지에 의하여 인정되는 다음과 같은 사실 및 사정을 종합하면, 피고가 암호화폐 거래소로서 이를 이용하는 원고의 계정을 해킹 등으로부터 보호할 선관주의의무(민법 제374조) 또는 정보통신망법상 주의의무를 다하지 못하였다고 인정하기 부족하고, 달리 이를 인정할 증거가 없다.
가. 원고의 회원정보 유출이 피고의 개인정보처리시스템 등의 관리 부실로 발생하였다고 인정할만한 증거가 없다. 현재까지도 이 사건 거래 당시 해커로 추정되는 성명불상자가 어떠한 방법으로 원고의 개인정보를 취득하여 이 사건 계정에 로그인하였는지 정확하게 알 수 없는바, 피고의 A 관리와 무관하게 원고의 휴대폰이 해킹당하거나 복제당하여 원고의 개인정보가 제3자에게 유출되었을 가능성도 배제하기 어렵다.
나. 피고는 2018년 12월 27일 한국인터넷진흥원으로부터 정보통신망법 상 정보보호 관리체계가 적합하다는 인증을 받았고, 그 이후로도 2019년, 2020년에 걸쳐 매년 한국인터넷진흥원으로부터 정보보호관리체계(ISMS)를 심사받고 그에 대한 '인증 유지' 결과를 통보받은 바, 피고가 정보통신망법 상 정보보호조치를 미흡하게 하였다고 볼만한 정황은 확인되지 아니한다.
다. 이 사건 거래 당시 성명불상자는 해외에 소재한 IP 주소(생략)로 접속한 것으로 보인다. 이와 관련하여 피고가 해외 IP 접속차단 등 정보통신서비스 제공자로서 기대되는 최소한의 거래 안전장치를 갖추지 아니하였는지에 관하여 살펴보면, 해외 IP의 접속을 차단하는 것이 이 사건 거래 당시 대한민국 법률 상 보호대상 자산이 아닌 암호화폐 등의 거래를 주선하는 피고의 영업에 대하여 법령상 부과된 의무는 아니고, 해외 IP 접속 차단이 익명의 모든 거래참여자에 의한 거래를 그 근본적 성격으로 하는 암호화폐 거래의 속성에 비추어 피고 측에서 사전에 불법에 관련되어 있다고 구체적으로 인지한 경우가 아닌 한 해외 IP 접속에 대하여 일반적으로 해외 IP 차단의무가 있다고 볼 수도 없으며, 피고의 거래소와 같은 영업에 있어 특정한 거래 안전장치가 일반적 거래관행으로 자리 잡았다는 입증도 없다. 따라서 피고가 평소와 해외 IP 주소를 통한 이용자의 접속을 막지 않았다고 하여 보호의무를 다하지 못한 것으로 보기는 어렵다.
라. 나아가 이 사건 거래 당시 성명불상자는 2019년 4월 18일 22시 35분경 A에 원고 명의로 로그인한 후 실패 없이 출금에 성공하였는데, 이는 성명불상자가 원고의 ID와 비밀번호 및 구글 OTP번호까지 모두 정확하게 입력했다는 것을 의미한다. 이러한 상황이라면 피고 측에서도 이 사건 거래 행위를 해킹에 의한 비정상적인 거래로 인지하기는 어려웠을 것으로 보인다.
마. 또한 피고가 암호화폐 거래소를 운영함에 있어서 고객의 출금요청이 있는 경우 문자메시지를 통하여 거래내역을 통지하는 등의 보안시스템을 갖추어야 한다거나 고객들의 해킹 피해에 대비한 보험에 가입하여야 할 법적 의무가 있다고 볼만한 근거는 없다.
6. 결론
그렇다면 원고의 이 사건 청구는 이유 없어 기각하여야 한다. 제1심 판결은 이와 결론을 같이하여 정당하므로 원고의 항소는 이유없어 이를 기각하기로 하여 주문과 같이 판결한다.