게임 계정 해킹당하면 게임사가 물어줄까 — 4분 만에 사라진 아이템 24개, 법원이 청구를 기각한 이유

일요일 오후 5시 34분, A씨는 게임 도중 갑자기 강제 로그아웃됐습니다. 다시 접속하려니 비밀번호가 바뀌어 있었습니다. 휴대폰 본인인증으로 6분 뒤 계정을 되찾았지만, 그 사이 캐릭터가 갖고 있던 아이템이 모두 사라져 있었습니다. 고객 문의란에 글을 남기자 “계정도용 신고센터로 신고하라”는 답이 왔고, 저녁 8시 20분에 센터에 신고했지만 그날은 처리할 직원이 없었습니다.

이 이야기는 서울고등법원 2010나77530 판결(2011년 5월, 게임메카 칼럼 소개)의 사건을 재구성한 예시입니다. 등장인물은 실존 인물이 아닙니다.

해킹을 당하면 대부분 “게임사가 보안을 제대로 안 했으니 물어내야 한다”고 생각합니다. 이 사건의 A씨도 아이템 원상복구와 위자료 300만 원을 청구했습니다. 그런데 법원은 청구를 전부 기각했습니다. 해킹 피해에서 게임사 책임이 인정되는 범위가 생각보다 좁다는 것, 그리고 피해를 줄이는 건 결국 이용자 쪽 대응 속도라는 걸 이 판결이 보여줍니다.

예시 사건의 실제 결과 — 게임사 책임은 인정되지 않았다

사건의 시간표는 이렇습니다. 2009년 11월 1일 오후 5시 34분 계정 도용, 5시 34분부터 38분 사이 아이템 소멸, 5시 40분 A씨 재접속, 8시 20분 신고센터 신고, 다음 날 게임사 조사 시작. 게임사는 도용자 C가 아이템을 가져가 다른 이용자 D에게 넘겼고, 그 뒤 판매·교환·강화 과정에서 대부분 없어졌다는 걸 확인했습니다. C와 D 계정을 임시로 막고 회수할 수 있는 아이템은 회수했지만 일부는 되찾지 못했습니다.

A씨는 두 가지를 주장했습니다. 게임사가 계정 보호 의무를 소홀히 했다는 것, 그리고 신고를 받고도 바로 조치하지 않아 아이템을 잃었다는 것입니다. 법원은 둘 다 받아들이지 않았습니다. 보안 의무를 소홀히 했다는 건 증거가 없다고 봤습니다. 신고 지연에 대해서는 고객 문의 담당자가 신고센터에 대신 알려줄 의무는 없고, 게임사가 24시간 대기하며 신고를 처리할 의무도 없으며, 신고만 받고 다른 이용자 계정을 바로 정지시킬 수는 없다고 판단했습니다.

결정적인 건 시간이었습니다. 사라진 아이템 24개 가운데 19개는 신고 전에 이미 없어졌고, 나머지 5개도 신고 후 2시간 안에 없어졌습니다. 법원은 로그 분석 없이 2시간 안에 조치하기는 어렵다고 보고, 게임사의 대응과 아이템 손실 사이에 인과관계가 없다고 결론 내렸습니다. 게임사가 회수할 수 있는 건 다 회수했다는 점도 고려됐습니다.

게임사가 책임지는 경우와 아닌 경우

이 판결을 기준으로 보면 게임사 책임이 인정되려면 게임사 쪽 잘못이 구체적으로 드러나야 합니다. 서버가 뚫려 여러 이용자의 정보가 한꺼번에 새어 나갔다거나, 게임사가 알려진 보안 문제를 방치했다거나, 신고를 받고도 한참 동안 아무 조치를 하지 않아 그 사이 피해가 커졌다는 식입니다. 반대로 이용자 비밀번호가 다른 사이트에서 유출됐거나, 피싱 링크에 로그인했거나, 같은 비밀번호를 여러 곳에 쓴 경우라면 게임사 책임을 묻기 어렵습니다.

2011년 한 소비자 고발 게시물에도 비슷한 답이 달렸습니다. 메이플스토리 계정을 해킹당해 해킹범이 캐시를 포인트로 바꿔 버렸는데, 고객센터는 계정 주인이 직접 바꾼 기록으로 남아 있어 복구가 어렵다고 답했다는 사연이었습니다. 그 게시판 담당자는 해킹은 정보통신망법 위반 행위이고, 손해배상 책임은 민법 750조에 따라 해킹한 사람에게 있으며, 게임사가 예방 주의 의무를 다했다면 따로 책임을 묻기 어렵다는 의견을 남겼습니다. 법원 판단과 같은 방향입니다.

그렇다고 게임사가 아무것도 안 해도 되는 건 아닙니다. 위 판결에서도 게임사는 조사를 했고, 도용자와 아이템을 받은 계정을 막았고, 회수할 수 있는 건 회수했습니다. 법원은 이 대응이 통상의 주의를 다한 것이라고 본 것입니다. 이용자가 게임사에 요구할 수 있는 건 “배상”보다 “조사와 회수”에 가깝다고 보는 게 현실적입니다.

이 판결을 소개한 변호사는 게임사들이 도용 신고를 처리하는 방식이 두 갈래라고 설명했습니다. 신고가 들어오면 피해자와 의심 계정을 바로 함께 정지시키는 방식, 그리고 먼저 조사한 뒤 도용자만 제재하는 방식입니다. 이 사건의 게임사는 뒤의 방식을 택했고, 법원은 그 선택을 존중했습니다. 변호사는 도용된 아이템이 몇 분 만에 사라질 수 있다는 점이 충분히 고려되지 않은 것 같다는 아쉬움을 남겼습니다. 약관에 “고객 불만은 즉시 처리한다”는 조항이 있었지만, 법원은 그 조항이 이용자 관리 소홀로 생긴 피해까지 즉시 책임지겠다는 뜻은 아니라고 봤습니다. 결국 해킹 피해에서는 약관 문구보다 실제로 무엇이 언제 일어났는지, 게임사가 보통의 주의를 기울였는지가 판단 기준이 됩니다.

해킹당했을 때 순서 — 시간이 전부다

판결의 시간표가 말해 주는 건, 아이템이 사라지는 데 4분이면 충분하다는 것입니다. 그래서 해킹을 알아챈 순간부터는 순서대로 빠르게 움직여야 합니다. 먼저 계정을 되찾고 비밀번호를 바꾸고, 2단계 인증이 꺼져 있었다면 바로 켭니다. 같은 비밀번호를 쓰던 다른 사이트와 이메일 비밀번호도 함께 바꿔야 다시 털리지 않습니다. 연결된 이메일 계정이 먼저 털린 경우가 많기 때문입니다.

그다음 게임사의 계정도용(해킹) 신고 창구로 바로 신고합니다. 일반 문의란이 아니라 전용 창구가 있으면 그쪽이 빠릅니다. 위 사건에서도 일반 문의를 거쳐 전용 센터로 다시 가느라 시간이 흘렀습니다. 신고할 때는 해킹당한 시각, 사라진 아이템 목록, 마지막으로 정상 접속한 시각을 적고, 게임사가 아이템이 넘어간 계정을 추적해 제한해 달라고 요청합니다. 로그는 게임사만 볼 수 있어서, 조사를 요청하는 것 자체가 회수의 출발점입니다.

피해가 크면 경찰에도 신고합니다. 경찰청 사이버범죄 신고시스템(ECRM)에서 온라인으로 접수하거나 가까운 경찰서 사이버수사팀에 갈 수 있습니다. 남의 계정 정보를 무단으로 쓰거나 바꾸는 행위는 정보통신망법 위반으로 처벌될 수 있습니다. 경찰 신고 기록은 게임사에 “내가 한 거래가 아니다”를 보여주는 자료도 됩니다. 신고할 때는 해킹당한 시각, 게임 아이디, 사라진 아이템과 대략의 가치, 게임사에 신고한 접수 번호를 함께 적어 내면 수사 쪽에서 게임사에 기록을 요청하기가 쉬워집니다. 미성년자라면 보호자와 함께 신고하는 게 절차가 빠릅니다.

계정 거래 사기는 또 다르다

해킹과 자주 헷갈리는 게 계정·아이템 거래 사기입니다. 돈을 보냈는데 계정을 안 넘겨주거나, 넘겨받은 계정을 원래 주인이 다시 찾아가는 경우입니다. 한 법률사무소 칼럼은 2024년 온라인 사기 신고가 30만 건을 넘었고, 그중 게임 계정 거래 사기가 15% 정도이며 피해자의 78%가 10~20대라고 정리했습니다. 이 경우는 형법상 사기죄 문제이고, 대화 내용, 송금 내역, 상대 계정 정보, 거래 글 캡처가 증거가 됩니다. 송금 계좌는 은행이나 경찰에 지급정지를 요청할 수 있습니다.

문제는 계정 거래 자체가 대부분 게임 약관 위반이라는 점입니다. 사기를 당해 계정을 되찾더라도 게임사가 약관 위반으로 그 계정을 제재할 수 있습니다. 거래로 산 계정이 원래 주인의 “해킹 신고”로 회수되는 일도 흔합니다. 게임사가 영구정지를 내렸을 때 다퉈볼 여지가 있는지는 게임 계정 영구정지 판결 글에 따로 정리했습니다. 미성년자가 부모 몰래 결제한 경우는 해킹이 아니라 결제 취소 문제라서 부모 동의 없는 게임 결제 글을 봐야 합니다.

미리 해둘 것 세 가지

판결이 기각된 이유가 “이용자 관리 영역”이었다는 건, 거꾸로 이용자가 막을 수 있는 부분이 많다는 뜻입니다. 2단계 인증(OTP나 앱 인증)을 켜 두면 비밀번호가 새도 바로 털리지 않습니다. 게임 계정 비밀번호는 다른 곳과 겹치지 않게 따로 쓰고, “무료 아이템”, “이벤트 당첨” 같은 링크로 들어간 로그인 화면에는 계정을 입력하지 않습니다.

그리고 가치 있는 아이템이 있다면 아이템 목록을 가끔 캡처해 두는 게 좋습니다. 해킹 후 신고할 때 무엇이 사라졌는지 정확히 적을수록 게임사가 로그에서 찾기 쉽고, 회수 가능성도 올라갑니다. 정리하면, 해킹 피해에서 게임사에 배상을 받기는 어렵고, 현실적으로 할 수 있는 건 빠른 신고로 회수 가능성을 높이는 것과 2단계 인증으로 애초에 막는 것입니다.

이 글은 공개된 판결 소개와 사례를 정리한 일반 정보이며 법률 자문이 아닙니다. 게임마다 약관과 복구 정책이 다르니 해당 게임 고객센터 안내를 함께 확인하세요.

출처: 게임메카 2011.9.27 「계정도용·해킹에 대한 게임회사의 책임은?」(서울고법 2010나77530) / 소비자뉴스 2011.12.29 넥슨캐시 복구 고발 / 알법 「게임 계정 거래 사기」 칼럼