사건의 배경
한 가상자산 거래소(의뢰인)의 이용자가, 자신의 계정에서 보관 중이던 암호화폐가 제3자에 의해 외부로 유출됐다며 거래소를 상대로 손해배상을 청구했습니다. 거래소는 앞서 외부의 해킹(스피어피싱)으로 일부 회원의 개인정보가 유출되는 사고를 겪은 바 있었는데, 이용자는 그 사고와 자신의 자산 유출을 연결지어 책임을 물었습니다. 1심은 거래소의 손을 들어주었고, 이용자가 항소했습니다. 창천은 항소심에서 거래소(피고)를 대리했습니다.
쟁점 — 기망·과실·인과관계가 인정되는가
핵심은 ① 거래소가 이용자를 기망하거나 고지의무를 위반했는지, ② 자산 유출에 대한 거래소의 과실(예견가능성)이 있는지, ③ 거래소의 행위와 자산 유출 사이에 인과관계가 있는지였습니다.
창천의 조력
창천(윤제선·박경석 변호사)은 ① 거래소가 개인정보 유출 사실을 은폐하거나 보험 가입·보안 강화를 들어 이용자를 기망한 사실이 없고 오히려 유출 사실을 통지하고 보호조치를 안내한 점, ② 개인정보 유출(스피어피싱)·비밀번호 추정 공격·계정 탈취는 각각 별개의 사건으로, 앞선 사고만으로 거래소가 이 사건 자산 유출을 예견할 수 없었던 점, ③ 자산 유출은 이용자의 아이디·비밀번호는 물론 휴대전화로 전송된 인증번호까지 제3자에게 넘어간 것이 원인이어서 거래소의 행위와 인과관계가 없는 점, ④ 거래소가 아이디·비밀번호와 2차 인증을 확인한 뒤 출금을 처리한 것은 '채권의 준점유자에 대한 변제'로서 유효한 점을 입증했습니다.
결과
1심에 이어 항소심도 이용자의 청구를 받아들이지 않아(항소 기각), 거래소의 승소가 확정됐습니다.
해킹으로 자산이 유출됐더라도, 사업자의 기망·과실·인과관계가 입증되지 않으면 배상 책임은 인정되지 않습니다. 보안 사고의 경과와 각 공격이 서로 독립된 사건이라는 점을 정밀하게 입증하는 것이 승패를 가릅니다. (개별 사안은 사실관계에 따라 결론이 달라질 수 있습니다.)