롯데카드는 지난 8월 26일 온라인 결제 서버에서 외부 해커의 침입 흔적을 처음 발견했고, 정밀 점검 과정에서 악성코드와 웹쉘이 확인돼 즉시 삭제 조치를 취했다. 그러나 8월 31일과 9월 2일 추가 조사에서 1.7GB에 이어 200GB 분량의 데이터 반출 정황이 확인됐으며, 결국 9월 17일 특정 고객의 일부 정보가 실제 유출된 사실을 최종 확인했다.

이번 사고로 유출된 고객은 총 297만명에 달한다. 유출 정보는 온라인 결제 과정에서 생성된 CI(Connecting Information), 가상결제코드, 내부식별번호, 간편결제 서비스 종류 등으로, 개인별 유출 범위는 상이하다.

이 가운데 카드번호·유효기간·CVC번호까지 포함돼 부정사용 가능성이 있는 고객은 약 28만명으로 파악됐다.

다만 조 대표는 “유출된 정보만으로는 오프라인 카드 복제나 현금서비스 이용은 불가능하며, 대부분의 온라인 결제에서도 추가 본인 인증 절차가 있어 부정사용 위험은 제한적”이라고 설명했다. 현재까지 실제 피해 사례는 확인되지 않았다.

롯데카드는 피해 최소화를 위해 전사적 비상대응체계를 가동하고 있다. 우선 유출 고객 전원에게 개별 안내 메시지를 발송하고, 부정사용 우려가 큰 28만명에게는 카드 재발급 절차를 최우선으로 진행한다. 이와 함께 이상거래탐지시스템(FDS)을 강화해 해외 및 국내 온라인 거래에 대해 엄격한 모니터링을 시행하고, 앱 내에 카드 재발급·해외결제 차단·비밀번호 변경 메뉴를 전면 배치해 고객이 직접 보안조치를 취할 수 있도록 했다.

보상 대책도 마련됐다. 롯데카드는 피해 고객 전원에게 연말까지 금액과 관계없이 무이자 10개월 할부 서비스를 제공하고, 금융사기 피해를 보상하는 ‘크레딧케어’ 서비스와 카드사용 알림 서비스를 모두 무료로 지원한다. 특히 최우선 재발급 대상 고객 28만명은 카드 재발급 시 차년도 연회비가 전액 면제된다.

조 대표는 “사고로 인한 피해액은 전액 롯데카드가 책임지고 보상하겠다”며 “그 어떠한 손실도 고객에게 전가하지 않겠다”고 약속했다.

보안 강화 투자도 대폭 확대한다. 롯데카드는 온라인 결제 시스템을 서버와 운영체제, 소프트웨어 환경까지 전면 교체하고, 3개월 내 네트워크 보안과 데이터 암호화 관리 체계를 고도화할 계획이다. 또한 향후 5년간 1,100억원을 정보보호 분야에 투자해 IT 예산 대비 보안 예산 비중을 업계 최고 수준인 15%까지 끌어올린다는 방침이다. 이를 통해 24시간 실시간 통합보안관제체계를 강화하고, 해커의 침입을 가정한 모의 침투를 전담하는 레드팀을 신설하는 등 보안 역량을 근본적으로 강화한다.

조 대표는 “현재의 기능 중심적 조직을 고객 중심, 고객가치 중심, 고객보호 중심으로 대전환하고, 연말까지 대표이사를 포함한 대대적인 인적쇄신을 완료하겠다"면서 "앞으로 고객 피해를 제로화하고, 고객분들의 불편을 최소화하는 임무가 제가 롯데카드 대표이사로서의 마지막 책무라는 결연한 마음가짐으로최선을 다할 것을 약속드린다"고 말했다.