계정도용·해킹에 대한 게임회사의 책임은?

네이트와 싸이월드의 개인정보 약 3,500만 개가 유출되면서 게임업계의 긴장이 고조되고 있습니다. 개인정보 유출로 인해 계정도용이 발생하는 등 게임이용자의 2차 피해가 우려되기 때문입니다. 이런 상황에 맞서 게임업체들은 이용자에게 비밀번호를 변경하고, 일회용 비밀번호같은 2차 보안 서비스를 이용할 것을 요청하고 있습니다.

계정도용(해킹) 사건이 발생하면, 게임회사가 손해의 발생이나 확대를 방지하기 위한 최선의 노력을 다하였는지 다투어질 수 있습니다. 만약, 최선의 노력을 기울이지 않았다면, 이로 인한 손해에 대해 게임회사가 책임을 져야하기 때문입니다. 그래서 이번 시간에는 이와 관련된 판례를 하나 소개할까 합니다.(서울고등법원 2011.5.12. 선고 2010나77530 판결)

[사실관계]

A는 B사가 서비스하는 MMOPRG를 이용하던 사용자입니다. A는 일요일이었던 2009. 11. 1. 17:34경 계정을 도용 당하여 게임에서 강제로 로그아웃되었고, 비밀번호가 바뀌어 다시 접속할 수 없자, 휴대전화를 이용해 본인인증을 받고, 비밀번호를 변경한 후, 17:40:33경 다시 로그인하였습니다. 그런데, 다시 로그인을 해보니, A의 계정 안에 존재하던 아이템들은 17:34경부터 17:38경 사이에 이미 사라진 상태였습니다.

A는 게임 홈페이지 회원문의란에 계정도용 피해를 신고하면서, 사라진 아이템들의 유통 및 사용금지조치를 해달라고 요청하였는데, B는 회원문의와는 별도로 계정도용신고센터를 통하여 신고하라고만 답신하였습니다. A는 같은 날 20:20경 다시 계정도용신고센터에 신고를 하였는데, 일요일인 관계로 계정도용업무 담당직원이 근무하지 않는 상태였습니다.

B는 다음날 계정도용신고 건에 대한 조사에 착수했습니다. 계정도용자로 보이는 C가 A의 계정으로부터 대가 없이 아이템들을 취득한 후 다시 C와 관련이 있는 것으로 보이는 D에게 대가 없이 아이템을 넘겨준 뒤, C, D가 다른 이용자들에게 A의 아이템을 판매, 교환하거나, 아이템의 강화를 시도하다가 실패하여 A의 아이템이 대부분 소멸된 사실을 확인하였습니다. 이에 B는 C, D의 계정에 대해 계정이용임시제한조치를 취하고 추가적으로 로그기록을 확인하여 일부 아이템들은 회수조치하였으나, 몇 가지 아이템은 회수해주지 못했습니다.

이에 A는 ① B가 계정에 대한 보호의무를 소홀히 하여 계정도용의 피해를 당하였거나 또는 ② 약관에 따르면 고객의 의견이나 불만은 즉시 처리한다고 규정하고 있으므로, 계정도용신고에 대한 조치도 즉시 처리되어야 함에도 불구하고, A가 이 사건 계정도용 이후 회원문의란에 계정도용 피해를 신고하였는데도 피고는 계정도용신고센터로 신고하라고 답신만 한 채 아무런 조치를 취하지 아니하였고, 같은 날 20:20경 계정도용신고센터에 신고하였으나 그 다음날이 되어서야 계정도용신고 건에 대한 조사가 이루어졌으며, 계정도용신고가 되면 계정도용 의심 계좌에 대하여 즉시 이용제한조치를 취하여야 하는데도 그 조치를 지연함으로 인하여 아이템을 상실당하는 피해를 입었으므로, 아이템을 원상복구하고, 위자료로서 300만원 상당을 지급하라는 소를 제기하였습니다.

▲계정도용(해킹)에 언제나 노출되어 있는 게이머들

[법원의 판단]

그러나 서울고등법원은 A의 이와 같은 주장을 받아들이지 않았습니다. 우선 B가 보안의무를 소홀히 하여 계정도용의 피해가 발생했다는 주장은 이를 입증할만한 증거가 없다는 이유로 기각되었습니다. 다음으로, 계정도용신고에 대한 조치가 즉시 이루어지지 않아 아이템을 상실당하는 피해를 입게 되었다는 주장에 대해서는,

①고객문의 담당직원이 계정도용신고를 받았다 하여 계정도용신고센터에 통지해야 할 의무까지 있다고 보기 어렵다는 점,

②이용고객의 사정에 의한 계정도용의 경우까지 대비하여 B의 직원이 24시간 내내 대기하면서 계정도용신고를 처리하여야 할 의무가 있는 것으로 볼 수 없으며, 이용약관에 의하면, 피고는 이용고객으로부터 제기되는 의견이나 불만을 즉시 처리하여야 한다고 되어 있는데, 이용고객의 관리 소홀로 발생하였을 가능성이 있는 불만까지 즉시 조치하여야 한다고 보기는 어렵고, 당시의 상황을 판단하여 통상의 주의를 가지고 처리하면 그 주의의무를 다한 것이라고 보아야 한다는 점,

③MMORPG의 특성상 신고인의 주장만 믿고 정상적으로 이용할지도 모를 게임이용자들의 계정을 즉시 정지시킬 수는 없으며, B는 사건을 처리하면서 회수할 수 있는 아이템은 모두 회수하여 준 점까지 더하여 보면 B에게 귀책사유가 있다거나 적기에 조치하지 못한 과실이 있다고 보기 어렵고,

④설령 B에게 귀책사유가 있다손 치더라도, A가 보유하고 있던 24개의 아이템 중 19개의 아이템은 원고가 계정도용센터에 신고한 2009. 11. 1. 20:20 이전에 모두 소멸되었으므로, B가 그 즉시 조사를 하였다 하더라도 회수가 불가능하였고, 나머지 5개의 아이템의 경우도 2시간이 경과하기 전에 모두 소멸되었는데, MMORPG의 특성상 신고인의 주장만 믿고 정상적으로 이용할지도 모를 게임이용자들의 계정을 무조건 즉시 정지시킬 수는 없으므로, 게임이용자들이 생성하는 대규모 로그파일을 상세히 분석하여 아이템의 비정상적인 이동 여부를 검토한 후 도용자의 계정에 조치를 취하여야 할 것이므로, 이 사건과 같이 2시간 이내에 그와 같은 조치를 모두 취할 수 있다고 보기도 어려운 점에 비추어 B의 조치와 아이템의 상실 사이에 인과관계가 있다고 볼 수도 없다는 점 등을 들어 A의 청구를 기각하였습니다.

▲일단 계정도용(해킹) 피해가 발생하면 배상을 받기 힘든 것이 국내 판례

[의의 및 시사점]

계정도용의 문제는 사실 그리 간단한 문제는 아닙니다. 게임회사가 계정도용신고를 받은 경우 이를 해결하는데에는 크게 두 가지 방법이 있을 수 있습니다. 첫 번째 방법은 계정도용 신고가 들어오면 일단 피도용자의 계정과 도용자의 계정을 모두 정지시켜 도용된 계정의 아이템 등이 제3자에게 넘어가거나 멸실되지 않도록 하고, 추후에 계정의 도용여부를 조사하는 방법입니다. 이와 같은 방법을 취하면, 나중에 계정도용 주장이 사실로 밝혀진 경우, 피도용자의 아이템 등이 멸실될 가능성이 줄어들어 피도용자의 이익이 효과적으로 보호된다는 장점이 있습니다. 그러나, 악의적으로 허위신고를 한 경우와 같이 실제로는 계정도용이 발생하지 않은 경우라면, 아무런 잘못없는 제3자가 조사가 종료될 때까지 게임을 하지 못하는 결과가 발생하게 됩니다. 두 번째 방법은 게임회사가 계정도용 신고를 받더라도 조사를 통하여 도용여부가 확인될 때까지 도용자의 계정을 정지시키지 않고 기다렸다가 추후에 도용자에게 제재를 가하는 방법입니다. 이러한 방법을 취할 경우 무고한 제3자의 계정이 정지되는 피해가 발생할 가능성은 없지만, 계정도용에 대한 조사가 완료될 때까지 계정이 정지되지 않아, 피도용자의 게임머니나 아이템이 상실되는 등의 문제가 발생할 수 있습니다.

이 사건에서 B는 두 번째 방법을 선택하였습니다. B가 첫 번째 방법을 선택했다면 아이템 상실로 인한 피해를 최소화할 수 있었겠지만, B는 선의의 피해자가 발생하는 것을 우려해 즉시 이용정지조치를 취하지는 않았고, 법원도 이와 같은 B사의 선택을 존중해 과실을 인정하지 않았습니다. 이와 같은 법원의 판단에 공감은 하지만, 도용된 계정의 아이템이 처분 등으로 멸실되는데에는 오랜 시간이 걸리지 않는다는 점을 충분히 고려하지 않은 것 같아 아쉬움이 남기도 합니다. 그리고, 계정도용 신고가 접수된 경우 허위신고일 가능성보다는 정말 계정도용이 발생했을 확률이 높다는 점도 고려되지 않은 것 같습니다.

본 판결에 따르면 법원에서는 도용신고 이후에도 합리적이라고 인정되는 시간 동안 멸실된 아이템에 대해서는 게임회사의 과실을 인정하지 않고 있으므로, 이용자는 계정도용 사고가 발생하면 즉시 게임회사에 이를 신고하여 최대한 신속한 조치가 취해질 수 있도록 요청하는 것이 최선일 것입니다. 게임회사에서도 신고가 접수되면 최대한 빨리 조사를 종료하여 피도용자의 피해가 최소화되도록 노력하여야 할 것입니다.

얼마전, 중국 게임사 게임바는 온라인게임 <취선>의 유저 계정과 게임머니 보호를 위해 보험사인 양광보험그룹과 협력, 보험서비스를 제공한다고 밝힌바 있는데, 계정도용으로 인한 피해사례가 날로 늘어나고 있는 만큼, 국내에서도 보험사와의 제휴를 통해 계정도용으로 인한 피해를 보상받는 서비스를 제공하는 것에 대해 고려해볼 필요가 있을 것 같습니다.