[앵커]?
회원수 1천만 카드사 롯데카드의 300만 명 고객 정보가 유출됐습니다.
문제는 수년간 보안 업데이트를 방치했고, 이번 해킹이 벌어지는 2주간도 눈치를 못 챘다는 겁니다.
대주주인 MBK 책임론까지 확산되고 있습니다.
금융 2부 오서영 기자와 자세한 얘기 해보겠습니다.
오서영 기자, 해킹 사태가 한 달째 파장이 크군요.
해킹 발견도 늦고, 애초에 밝혔던 것보다 규모도 대폭 커졌죠?
[기자]?
그렇습니다.
롯데카드 해킹은 9월 들어서면서 알려졌는데요.
실제로 해킹이 벌어진 건 8월 14일부터입니다.
롯데카드 공동중개 는 이를 2주 뒤에야 발견했고, 금융당국에 1.7기가바이트 데이터가 유출됐다고 신고했습니다.
그런데 금융감독원과 금융보안원 조사가 시작되자 유출된 데이터 크기는 200기가바이트로 늘어납니다.
다만 이렇게 조사가 진행되는 동안에도 롯데카드는 "현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았다"라고 강조했 hk119머니 습니다.
[앵커]?
그런데 당국 조사 보름 만에 고객 정보가 유출됐다는 사실을 밝힌 거죠?
[기자]?
최근 롯데카드 대표가 돌연 대국민 사과에 나섰는데요.
"고객 정보가 유출된 사실을 확인했다"는 겁니다.
이 사실 확인까지 시간이 걸린 건 "해커가 유 무직자저신용자대출 출한 압축 파일을 교묘하게 삭제를 해서 그 안에 어떤 정보가 들어 있는지 몰랐다"라는 게 롯데카드 설명입니다.
대외적으로 고객들에겐 "정보 유출 확인이 안 됐다"면서 내부적으론 개인정보 유출을 가정해 정보 유출 가능성이 높은 고객군을 인지하고 있었는데요.
금융당국과 금융보안원도 함께 쉬쉬한 것 아니냐고 질문하자 금융위는 공동명의 대출 "포렌식에 시간이 걸렸다"면서 감추려 한 것은 아니라고 밝혔습니다.
당국과 롯데카드는 현재 "카드 부정사용 사례는 없다"라고 강조하고 있습니다.
만약 고객의 금전적 피해가 생긴다면 전액 보상한다는 게 롯데카드 방침입니다.
[앵커]?
해킹은 됐지만 유출은 없었다더니, 이제는 유출은 됐지만 새마을금고전세금담보대출 피해는 없다는 거네요.
그래도 부정사용될 수 있는 고객들은 불안하겠네요?
[기자]?
정보가 유출된 고객은 총 297만 명이 넘습니다.
주민등록번호부터 CVC까지 회원별로 유출된 정도는 모두 다른데요.
문제는 암호화도 되지 않고 CVC까지 유출돼 카드 부정사용이 우려되는 28만 명입니다.
이들은 단말기에 카드정보를 직접 입력하는 키인(key-in) 방식으로 도용당할 위험이 있는데요.
실제 유출된 고객 반응 들어보시죠.
[롯데카드 유출 피해 고객 : 제 개인정보와 카드 관련 정보들이 다 유출됐다고 안내받았어요. 어떻게 대처해야 하는지도 당황스럽고 피해금액에 대한 구제방안에 대해선 카드사가 발표한 바가 있지만 (정보가) 유출된 걸 어떻게 책임질지에 대한 얘기는 특별하게 없었던… 보안이 취약해서 유출된 것에 대한 심각성을 모르고 있다는 (생각이 듭니다.)]
롯데카드에 따르면 9월 1일부터 23일간 카드 해지한 고객은 4만 2천 명, 정지한 고객은 11만 명에 달합니다.
아예 탈퇴한 회원도 1만 5천 명인데요.
고객 이탈에 속도가 붙고 있습니다.
[앵커]?
소 잃고 외양간 고치는 격인데 이번 사고, 예고된 인재라는 얘기도 나오죠?
[기자]?
금융보안원은 이번 사고 발생 이전부터 롯데카드 서버에 보안 취약점이 있다고 3차례나 경고했습니다.
2018년 보안 업데이트를 권고했고요.
이후에도 여러 번 안내를 했지만, 롯데카드는 이 서버를 쓰면서도 7년 넘게 방치한 셈입니다.
롯데카드도 이 부분을 놓쳤다는 것을 인정했는데요.
들어보시죠.
[조좌진 / 롯데카드 대표이사 (9월 18일) : 패치상 문제가 있어서 업그레이드해서 보강하라는 부분이 2017년에 내려왔거든요. 업데이트를 했어야 했는데 한 개를 놓쳤단 말이죠.]
[앵커]?
그러니까 충분히 막을 수도 있었던 것으로 보이는데, 앞으로 어떻게 하겠다는 건가요?
[기자]?
신속한 카드 재발급, 추가적인 본인인증과 같은 보호 조치뿐 아니라 FDS 모니터링도 강화하고 향후 5년간 1100억 원의 정보보호 투자를 하겠다고 밝혔습니다.
시스템 보안 강화도 3개월 내로 고도화하겠다고 말했는데요. 추가 지원책까지 내놨습니다.
롯데카드는 고객정보가 유출된 전원에게 연말까지 무이자 10개월 할부 서비스를 제공하고, 각종 알림 서비도 무료로 제공합니다.
특히 문제의 28만 명에게는 카드 재발급 시 다음년도 연회비를 한도 없이 면제해 줍니다.
이런 수습에도 이번 사고로 금융당국 제재는 불가피할 전망인데요.
당국 발표 내용 들어보시죠.
[권대영 / 금융위원회 부위원장 (9월 19일) : 보안사고 발생 시 사회적 파장에 상응하는 엄정한 결과책임을 질 수 있도록 징벌적 과징금 도입 등 방안을 신속히 추진하겠습니다.]
금융당국은 또 유사 공격으로 인한 추가 피해가 확산될 수 있으니 전 금융권에 이번 사고 관련 유의사항을 신속히 전파하고, 전체 카드사 대상으로도 점검을 실시할 예정입니다.
[앵커]?
롯데카드는 연말까지 대대적인 인적쇄신을 하겠다고 했는데, 단순히 대표를 교체하는 게 아니라 대주주의 책임도 묻지 않을 수 없잖아요?
[기자]?
롯데카드는 현재 '롯데' 이름을 유지하고 있지만, 소유주는 롯데그룹이 아닌 MBK파트너스입니다.
사모펀드인 MBK파트너스가 롯데카드를 인수한 건 2019년 10월인데요. MBK 소유가 된 2020년부터 2025년까지 롯데카드의 정보보호 예산을 좀 뜯어봤습니다.
인건비를 포함한 실제 집행 기준으로 보면 2022년 감소한 것 외 계속 증가세입니다.
다만 인건비를 뺀 장비나 시스템에 편성한 예산은 오히려 축소된 적이 많고 업계 대비 낮은 수준인데요.
또 정보기술 예산 내 정보보호 예산에 투자한 건 10% 수준이었습니다.
사모펀드인 MBK의 경우 다시 롯데카드를 팔아서 투자금을 회수하고 이익을 봐야 하는 입장이기 때문에 이런 보안 투자는 관심 밖이 아니었냐는 지적이 나오는 지점입니다.
특히 MBK는 홈플러스의 대주주로서도 경영 관리에 실패해 회생 절차를 피하지 못하게 되면서, 무분별한 기업 인수에만 급급한 것 아니냐는 비판을 받고 있습니다.
[앵커]?
MBK는 관리 소홀이 아니라는 입장이죠?
[기자]?
IT 투자 규모가 배당액의 1.5배 수준이라며 주주사 책임론을 일축했는데요.
MBK파트너스는 "단기 수익 추구 기조를 위해 주주사들이 보안과 경영 관리를 소홀히 했다는 주장은 사실과 다르다"라고 강조했습니다.
대규모 해킹 사고에 국회에서는 김병주 MBK파트너스 회장을 증인으로 채택했지만, 결국 불출석했습니다.
김병주 회장은 "롯데카드 경영에 관여하지 않는다"는 이유로 출석을 거부했는데요.
앞으로도 MBK 쪽 출석이 필요하면 "한국 지역 투자를 담당하는 MBK유한책임회사 대표가 출석해 증언할 수 있도록 협조하겠다"라고만 말하며 책임을 피했습니다.
국회에서는 MBK가 롯데카드 매각을 세워놓고 향후 1100억 원을 투자하겠다는 등의 약속은 '국민 우롱'이라며 앞서 내놓은 대책들의 실현 가능성이 낮다고 지적했습니다.
[앵커]?
오서영 기자, 잘 들었습니다.


당신의 제보가 뉴스로 만들어집니다.SBS Biz는 여러분의 제보를 기다리고 있습니다.홈페이지 = https://url.kr/9pghjn



저작권자 SBS미디어넷 & SBSi 무단전재-재배포 금지