'해킹 사고' 롯데카드 일벌백계 예고한 금융당국···경영진 대거 물갈이 되나(종합)

17일 지나 정보 유출 확인···"보고 지연 확인 시 엄정 제재"

롯데카드 "고객 혼선 방지 차원···부정사용 시 전액 선보상"

대대적 인적 쇄신 예고···MBK 이사진 책임론도 재차 대두

(왼쪽 다섯 번째)조좌진 롯데카드 대표이사를 비롯한 임직원들이 18일 오후 서울 중구 부영태평빌딩에서 기자회견을 열고 허리 숙여 해킹 피해 관련 대국민 사과를 하고 있다. 사진=강민석 기자 [e-mail]

사이버 공격 피해로 297만명 고객의 개인정보가 유출된 롯데카드에 금융당국이 엄정 제재를 예고했다. 롯데카드가 소비자 신뢰 제고를 위해 대대적인 인적 쇄신을 약속한 가운데, 임직원을 비롯해 대주주인 MBK파트너스 경영진의 책임론까지 다시금 대두되고 있는 상황이다.

18일 롯데카드는 부영태평빌딩 1층 컨벤션홀에서 진행된 롯데카드의 사이버 침해 사고에 대한 브리핑을 열고 대고객 사과를 비롯한 사이버 공격 경위, 향후 고객 보호 조치 등을 발표했다.

조좌진 롯데카드 대표는 브리핑에 직접 참석해 향후 고강도 인적 쇄신을 예고했다. 시장이 납득할 만한 수준의 인프라 개선을 예고했고 필요시 사임도 불사하겠다는 입장이다. 조 대표는 "고객 여러분께 실망을 끼쳐 무한한 책임을 느낀다"며 "고객 피해 제로화를 최우선 과제로 삼고 전사적 비상대응체계를 가동하겠다"라고 말했다.

앞서 롯데카드는 지난달 31일 해킹 피해 정황을 최초로 확인했다. 당시 온라인 결제 서버에서 외부 공격자가 1.7기가바이트(GB) 분량의 데이터를 시도했던 흔적을 발견한 뒤 지난 1일 금융당국에 해당 사실을 보고했다.

다만 보고 직후인 지난 2일 시행된 금융감독원과 금융보안원의 현장 검사에서 200기가바이트(GB) 분량의 데이터가 반출된 정황을 추가로 발견했다. 이후 관계기관과 정밀분석을 시행한 결과 전일에 고객정보 유출 사실을 최종 확인했다. 해킹 사실을 최초로 인지한 지 17일 만이다.

롯데카드에 따르면 고객 정보가 유출된 총 회원 규모는 297만명이다. 이들 가운데 카드 부정사용으로 이어질 가능성이 있는 고객은 총 28만명으로 집계됐다. 유출 정보는 지난 7월 22일과 8월 27일 사이 온라인 서버를 통한 온라인 결제 과정에서 생성·수집된 데이터다. 데이터는 ▲연계 정보(CI) ▲가상결제코드 ▲내부식별번호 ▲간편결제 서비스 종류 등으로 구성됐다.

롯데카드는 고객정보 유출 인지가 늦었던 것에 대해 "초기 유출 정황 확인 당시 해커가 관련 파일을 교묘하게 지워버렸기 때문"이라고 해명했다. 유출 파일이 대부분 암호화돼 있었고 고객 한 명 한 명의 정보가 트랜잭션 단위로 쪼개져 있었기 때문에, 이를 짜맞추는 데 상당한 시간이 소요됐다는 설명이다. 롯데카드 측은 "피해 대책 발표 전날 저녁까지 정보 복구 작업을 진행한 뒤 이튿날 사고 경위를 발표할 수 있었다"며 "해킹 피해를 책임질 수 있다는 전제 하에 고객에게 정확한 정보를 제공해 혼선을 최소화하려 했다"고 설명했다.

롯데카드는 부정 사용으로 발생한 피해액에 대해서도 전액 선보상할 방침이다. 최용혁 롯데카드 정보보호실장은 선제 결제 차단을 고려할 수는 없었는지 묻는 질의에 "고객의 동의 없이 카드 승인을 임의로 차단할 경우 자동결제 연체 등으로 인한 불이익을 받을 가능성이 높다고 판단했다"며 "다만 리스크가 상대적으로 큰 해외결제의 경우 관련 결제이력이 없는 고객에 한해 우선적으로 차단해둔 상황이다. 부정 사용 발생 가능성이 있는 키인(Key In) 결제의 경우도 해당 가맹점으로부터의 결제 차단을 마쳤다"고 말했다.

다만 금융당국은 롯데카드에 최대 수준의 제재를 예고했다. 이날 오전 금융당국은 롯데카드 정보유출 관련 긴급 대책회의를 열고 금융보안·정보보호 미흡사항 등에 대한 철저한 조사를 통해 엄정한 제재가 이뤄지도록 할 계획이라고 밝혔다.

여기에 보안 위규 행위에 대한 금융권의 사전적 경각심 강화 차원에서 중대 보안사고 발생 시 일반적 과징금 수준을 뛰어넘는 징벌적 과징금을 도입하겠다고도 부연했다.

롯데카드도 시장이 납득할 수 있는 수준의 인사 조치를 단행하겠다고 밝혔다. 연말 보안 인력을 포함한 임직원들의 대규모 '물갈이'가 예상되면서, 조좌진 대표이사의 연임 역시 사실상 불가능할 것이라는 의견도 나온다. 조 대표의 임기는 내년 3월까지다.

업계 일각에서는 이번 해킹 피해가 롯데카드의 대주주로 있는 사모펀드 MBK파트너스 이사진에까지 영향을 미칠 수 있을지 주목하고 있다. 인수 이후 꾸준히 이사회에 참여한 인물들이 이번 사고에 대한 책임을 피하기 어려울 것으로 보이기 때문이다. MBK파트너스에서는 현재 김광일 MBK파트너스 부회장과 이진하 MBK파트너스 부사장이 2019년 10월 기타비상무이사로 롯데카드 이사회에 진입한 뒤 6년 동안 자리를 지키고 있다.

한편 이날 롯데카드 앱을 통해 자신의 정보 유출 여부를 확인하려는 접속자들이 한꺼번에 몰려 접속 장애를 빚기도 했다.