금감원, 297만 명 뚫린 롯데카드 해킹 대응에 "미흡"…가맹점 관리·탈회 절차도 도마 위

[녹색경제신문 = 박금재 기자] 금융감독원이 대규모 해킹 사고를 겪은 롯데카드에 대해 사고 대응 체계와 가맹점 관리, 카드 회원 탈회 절차 전반에서 미흡한 점을 확인하고 개선을 요구했다. 지난달 31일 금융위원회가 이 사건과 관련해 1.5개월 업무정지와 과징금 50억 원을 확정한 데 이어, 금감원이 별도의 수시검사를 통해 구체적인 운영상의 허점을 짚은 것이다.

4일 금융당국에 따르면 금감원은 3일 롯데카드 수시검사 결과와 개선 사항 3건을 발표했다. 제재 조치일은 지난달 31일이다. 앞서 금감원은 정기검사를 통해 롯데카드에 경영유의사항 20건과 개선 사항 34건을 통보한 바 있는데, 이번 발표는 해킹 사고 대응 과정에 초점을 맞춘 수시검사의 후속 조치 성격이 짙다.

롯데카드는 지난해 8월 13일부터 28일까지 발생한 해킹으로 온라인 결제 서비스 이용 고객 297만 4778명의 신용정보가 유출됐다. 이 중 카드번호와 유효기간, CVC번호까지 노출돼 부정사용 가능성이 있는 고객은 28만 명에 달하는 것으로 파악됐다. 롯데카드는 해당 사고와 관련해 지난해 9월 1일 금융당국에 신고했고, 이후 금감원과 금융보안원의 현장검사가 수 차례 연장되며 장기화됐다. 금융위원회는 지난달 31일 이 사건에 대해 여신전문금융업법과 신용정보법 위반을 이유로 신규 회원 대상 업무정지 1.5개월과 과징금 50억 원을 의결했다. 검사 과정에서는 정보처리시스템 보정(패치) 작업 미실시, 주민등록번호·비밀번호 암호화 미이행, 바이러스 백신 소프트웨어 미설치 등 기초적인 보안 의무 위반 사항도 확인된 바 있다.

이번에 금감원이 지적한 대목은 사고 이후 대응 체계다. 금감원은 개인 정보 유출 시 사후 대응책 개선이 필요하다고 봤다. 롯데카드는 개인(신용)정보 유출 대응 매뉴얼을 운영하고 있었지만, 정작 해킹사고 발생 시 취해야 할 세부 조치 사항과 소비자 보호 방안은 구체적으로 마련하지 않은 것으로 나타났다. 이 때문에 대규모 정보 유출 사고가 발생했음에도 홈페이지와 콜센터의 비상운영체계를 신속히 마련·가동하지 못했고, 소비자 피해 보상 방안도 미리 준비하지 못했다고 금감원은 지적했다.

가맹점 관리도 허술했다는 게 금감원의 판단이다. 롯데카드는 장기간 카드 거래 실적이 없는 가맹점을 식별·관리하기 위한 내부 기준과 시스템을 아예 마련하지 않았다. 무실적 가맹점에 대한 정기 점검이나 계약 해지 검토도 실시하지 않았다. 실제로 2022년 6월 UPOP(유니온페이 온라인 결제) 서비스의 가맹점 매입이 중단돼 장기간 카드 매출 실적이 없었는데도, 회사는 해당 서비스에 대한 외부 접근을 차단하지 않았고 웹해킹 방어 등 보안관제 대상에서도 제외했다. 결과적으로 해커는 이 UPOP 경로를 통해 온라인 결제시스템에 침입해 고객정보를 탈취한 것으로 드러났다. 사실상 관리 사각지대가 해킹의 통로가 된 셈이다.

카드 회원 탈회 절차도 개선이 필요하다는 지적을 받았다. 지난해 9월 2일 기준 롯데카드는 탈회를 원하는 고객에게 미납대금 완납, 포인트 현금 전환, 연회비 환급 안내 등이 필요하다는 이유로 반드시 콜센터 상담을 거쳐야만 탈회할 수 있도록 운영해왔다. 해킹 사고로 고객 이탈 우려가 커진 상황에서 이 같은 절차가 소비자의 탈회 선택권을 사실상 제약했다는 지적이 나온다.

금감원은 롯데카드에 해킹 사고 발생 시 조치 사항과 소비자 보호 방안을 매뉴얼에 구체적으로 반영하고, 관련 부서에 배포·교육할 것을 요구했다. 아울러 장기 무실적 가맹점 관리 및 계약 해지 기준을 마련하고, 가맹점 결제시스템의 보안 업데이트 이행 여부를 정기적으로 점검하라고 했다. 잇단 제재와 개선 요구가 겹치면서, 롯데카드는 8월 1일부터 9월 15일까지 이어지는 업무정지 기간 동안 신규 영업 공백과 함께 내부통제 전반을 다시 손봐야 하는 이중 부담을 안게 됐다.