'착신전환의 함정'...어느새 가해자가 됐고 피해자가 됐다 [신종 금융사기 '넘버피싱'·③]

여기 이상한 범죄가 있다.

당사자들은 '우리도 피해자'라고 주장하는데 금전적 손해를 입은 진짜 피해자들은 그들을 '가해자'라 부른다.

'넘버피싱'이 다른 피싱 범죄와의 차이를 가장 쉽게 말할 수 있는 부분이다. 피싱을 저지르려는 범죄자가 피해자를 끌어들이기 위해 전화번호라는 미끼를 사용하기 때문이다. 문제는 미끼가 되는 전화번호가 피싱 범죄자의 타깃이 돼 범죄 도구로 쓰여도 피해자도, 전화번호 소유자도 당장 알지 못한다는 점이다. 그 사이 피해자는 곳곳에서 발생한다.

범죄 사실이 알려지면 그제야 미끼가 된 전화번호를 소유한 사람이나 사업장은 "몰랐다"며 '자신들도 피해자'라 말한다. 자신들도 모르는 사이 범죄 도구가 됐다는 점에서 고객 신뢰가 무너지고 윤리적 부담까지 져야 한다는 게 이들의 주장이다.

그러면서 "모수 서울이나 경산묘목 등의 전화번호는 넘버피싱 범죄의 사실상 숙주 역할을 했기 때문에 책임은 있겠지만, 현행법으로 처벌하기는 어려울 것"이라며 "단언하기는 힘들겠지만, '이런 일이 발생돼 유감이다'하는 정도면 모를까 금전적으로 어떤 조치를 취하는 건 아마 쉽지 않을 것"이라고 전했다.

해킹 당한 SKT-번호 도용 당한 모수서울

지난 5월 유상임 당시 과학기술정보통신부 장관은 정부서울청사에서 진행한 월례 브리핑에서 SK텔레콤(SKT) 해킹 사태 대응 현황 발표를 하던 중 "문제를 일으킨 건 해커라는 점에서 SK텔레콤도 굉장한 피해자이면서도 고객을 방어할 책임이 있다”고 말했다.

해킹 사건 당사자인 SKT도 악의적인 해커에 의한 피해자라는 얘기였다.

SKT는 지난 4월 22일 이후 전 국민의 공분을 샀다. 사흘 전인 19일 오후 11시께 해커의 악성 코드 공격으로 유심(USIM) 등 정보가 유출된 게 사건의 본질이지만, 전 국민적 분노를 산 이유는 다른 데 있었다.

정보 유출 정황을 확인하고 한국인터넷진흥원(KISA)에 피해 사실을 신고한지 사흘이나 지나서야 가입자들에게 공개한데다 유심 교체 과정에서 물량 부족으로 가입자들이 '대리점 오픈런'을 하게 만들었다.

부실 대응에 다른 통신사로 이동하는 가입자에게 위약금을 물어줄 수 없다는 입장도 반복했다.

가입자들은 SKT를 상대로 손해 배상을 청구하는 집단 소송을 시작했다. 그런 가해자를 주무부처 장관이 피해자라고 말한 뒤 비난 여론이 들끓는 건 당연했다. 유 장관은 이재명 정부 출범과 함께 지난 16일 퇴임했다.

모수 서울을 대하는 대중의 자세는 SKT와 정반대였다.

지난 3월 모수 서울은 포털에 올라온 자신들의 전화번호가 착신전환 방식으로 금품을 갈취하는 '넘버피싱' 사건에 악용됐다는 걸 알게 됐다.

피싱 범죄자는 통신사 직원을 사칭해 모수 서울의 대표 번호를 자신의 휴대전화 번호로 착신전환하도록 했고 이후 모수 서울에 예약 전화를 걸었다고 생각한 피해자들은 착신전환으로 연결된 범죄자와 통화한 뒤 식사 비용을 선입금했다.

피해자들은 피싱 범죄자의 수사를 경찰에 요청한 데서 나아가 모수 서울에도 피해 보상을 요구했다. 범죄자의 전화에 확인도 안 하고 착신전환을 했다가 피해를 유발했다는 점에서 '관리의 책임'을 져야 한다는 게 피해자들의 주장이지만, 대중의 시선은 싸늘했다.

피해자와 가해자 사이

넘버피싱 범죄에 의도치 않게 공범이 된 브릿지를 가해자 또는 피해자로 규정하는 건 쉽지 않다.

피싱 범죄자가 착신전환을 요구할 때 제대로 확인도 하지 않은 탓에 전화번호를 뺏기고 범죄 도구로 쓰였다는 점에서 관리소홀의 책임을 물어야 한다는 목소리가 있는 데 반해 범죄자에게 번호를 도용 당했다는 점에서 피해자라는 얘기도 있다.

전문가들은 넘버피싱 브릿지를 가해자이면서 피해자라는 데 공감하면서도, '책임'을 두고는 의견차를 보였다.

배상훈 우석대 경찰행정학과 교수는 "가해의 고의성을 판단하고 그로 인해 이득을 얻었느냐를 따지는 게 범죄 여부를 확인하는 가장 기본적인 원칙"이라며 "고의도 없고 그로 인해 이득을 본 게 없다면 가해자로 지목하기는 어렵다. 다만 (모수 서울처럼) 전화번호 명의를 최대한 보안 속에서 관리할 의무가 있는데, 그 의무를 망각한 건 맞다고 본다"고 말했다.

그러면서 "해킹 사고가 발생한 SKT나 예스24의 경우 고객의 정보로 사업을 하는 곳이라면, 전화번호가 도용된 곳은 그게 아니라는 점에서 차이가 있다"며 "분명 책임은 있지만, 그 책임을 묻기에는 애매한 게 있다"고 설명했다.

정의롬 부산외대 경찰행정학과 교수 역시 "SKT 같은 경우 본인들이 보안 조치를 미흡하게 했다는 책임이 발생하지 않느냐"며 "그렇게 봤을 때 모수도 통신사 직원을 사칭한 사람이 착신전환 하라고 했을 때 적극적으로 확인하려는 노력을 취하지 않았다는 데에서 책임을 물을 수는 있다"고 강조했다.

이웅혁 건국대 경찰학과 교수는 "착신전환 범죄는 가로채기의 기본 형태 같다. (범죄) 공모를 한 게 없다면 그냥 이용만 당했으니 피해자"라고 설명했다.

넘버피싱 피해자들이 피해를 호소하는 과정에서 '벽'을 만나는 것도 이 같은 애매함 때문이다. 경찰이 수사 중인 피싱 범죄자와는 달리 전화번호 관리를 소홀히 한 이들에겐 책임을 물으려면 소송 뿐이기 때문이다.

모수 서울 피해자들의 집단 소송을 맡았던 법무법인 오윤의 윤형식 변호사는 "불법행위 손해배상의 경우 피해자가 그 손해를 입증해야 한다"며 "모수 서울 사건의 경우 모수 측에 고의가 아닌 과실에 의한 손해가 발생이 했지만, 그 과실을 입증하는 게 쉽지 않았다"고 전했다.

이어 "상대방(모수) 측에서는 저희 쪽에서 입증을 해야 하니 과실이 없다고 주장하며 배상에 나서지 않아 피해자의 피해는 계속될 수 밖에 없었다"고 덧붙였다.