롯데카드, 28만명 카드번호·CVC·주민번호 털려…총 297만명 고객정보 유출

[중앙이코노미뉴스 김수현] 최근 롯데카드에서 발생한 사이버 침해 사고로 인해 총 297만명의 회원의 개인정보가 유출됐고, 이중 28만명은 카드 부정사용이 가능할 정도의 중대한 정보가 해커의 손에 들어간 것으로 드러났다.

18일 롯데카드는 지난달 31일 발생한 사이버 침해 사고에 대해 금융당국과의 현장검사 결과와 향후 대책을 발표하는 긴급브리핑을 진행했다.

롯데카드는 지난달 31일 온라인 결제 서버에서 외부 공격으로 인해 1.2기가바이트(GB) 분량의 데이터 유출 시도를 확인하고 자체 정밀 조사를 진행했다. 다음날인 지난 1일 롯데카드는 해당 사실을 금융당국에 보고했고, 금융감독원과 금융보안원은 2일부터 현장검사를 진행했다. 그 결과 롯데카드에서 200GB 상당의 고객 정보가 유출된 것이 확인됐다.

조좌진 롯데카드 대표는 “고객 여러분의 소중한 정보를 관리하는 금융회사로서 보안관리에 있어 중대한 미흡과 부족함이 있었다는 것은 어떠한 이유로도 용서될 수 없는 일이다”라며 “이로 인해 고객들이 느낀 불편과 심려에 다시 한번 깊이 사과드린다”고 말했다.

이번 침해사고로 롯데카드에서 개인정보가 유출된 회원은 총 297만명 수준이다. 

이 중 카드 부정사용으로 이어갈 가능성이 있는 회원은 28만명이다. 이들의 온라인 신규 거래 등록 시 필요한 △카드번호 △유효기간 △CVC번호 등은 물론 각 고객의 △연결정보(CI) △주민번호 △생년월일 △전화번호 등이 유출됐다. 

롯데카드는 이들 가운데 5만5000명에 대해 지난 17일 저녁 카드 재발급 및 회원 탈퇴 등의 조치를 진행했고, 나머지 인원에 대해도 카드 재발급이 가능한 문자를 보냈다고 전했다.

또 47만명의 경우 △카드번호(암호화) △CI △주민번호 △온라인경제 정보 등이, 나머지 222만명은 △카드번호(암호화) △온라인결제 정보 등이 유출됐다.

조 대표는 유출 정도가 높은 28만명에 대해 “유출된 정보가 있더라도 오프라인 결제의 경우 IC 및 마그네틱 실물카드 복제에 필요한 정보가 담겨있지 않아 부정사용될 소지는 없다”며 “온라인 결제도 SMS인증, 지문인증 등 제2의 추가적인 본인인증 절차가 필요하기 때문에 부정사용이 어려운 수준”이라고 설명했다.

이어 조 대표는 “아직 부정사용 사례는 단 한건도 확인된바 없다”라며 “이번 침해 사고로 인해 발생한 피해는 그 어떤 손실도 롯데카드가 책임지고 전액을 보상하겠다”고 약속했다.

롯데카드는 부정사용 가능성이 고객 28만명에게는 재발급 안내 문자를 추가로 발송하고 안내전화도 병행해 카드 재발급 조치가 최우선적으로 처리한다는 방침이다. 또 평소 3만장까지 가능한 재발급 물량 2배인 6만장까지 늘려 교체에 속도를 높이고 있다고 했다.

롯데카드는 향후 이상거래탐지시스템(FDS) 모니터링을 한 층 더 격상하고, 온라인 결제시 기존 결제 이력이 없는 가맹점에 대해서는 전화로 본인확인 후 승인을 진행 방침이다. 또 정보가 유출된 고객 전원에게는 연말까지 금액과 관계없이 무이자 10개월 할부 서비스 무료 제공한다는 계획이다. 

또 금융피해 보상 서비스 크레딧케어 역시 연말까지 무료로 제공하고 카드사용 알림서비스도 연말까지 무료로 제공한다. 또 주요 피해고객 28만명에게는 카드 재발급시 내년 연회비를 한도 없이 면제한다는 방침이다. 롯데카드는 연회비 면제로 약 56억원이 소요될 것으로 보고 있다.

조 대표는 “본 침해사태에 대한 책임은 롯데카드 대표이사인 본인이 가장 크게 느끼고 부담해야 한다고 생각한다”며 “현재 기능중심적으로 구성된 조직을 고객 중심으로 대전환하겠다”고 했다. 이어 연말까지 조 대표의 사임을 포함한 대대적인 인적쇄신을 완료할 것을 약속하기도 했다.

아울러 롯데카드는 이번 사고의 근본적인 원인이 대주주의 MBK파트너스의 비용절감 때문이라는 지적에 대해서 부정적인 입장을 보였다.

조 대표는 “2021년부터 정보보호에 대한 투자를 지속적으로 확대하고 관련 인력 역시 30명 수준으로 지난 4년 사이 2배가량 늘렸다”며 “정보보호에 관해 상당한 수준의 관심과 투자를 했지만, 이번 침해를 막지 못한 것에 대해 반성하고 있고 그 책임은 대표인 자신에게 있다”고 전했다.