롯데카드, 297만명 정보유출에 1.5개월 업무정지⋯과징금 50억

해킹 정보유출 사고 관련 첫 업무정지⋯8월 1일~9월 15일
신규 신용·체크·선불카드 발급 중단⋯기존 회원 서비스는 유지
패치·암호화·백신 설치 의무 위반⋯롯데카드 “겸허히 수용”

▲(사진=AI 생성)

고객 297만명의 신용정보가 유출된 롯데카드가 1개월 반 동안 신규 회원을 대상으로 카드 발급을 할 수 없게 됐다. 기존 회원은 카드 결제와 재발급은 물론 카드론·현금서비스·리볼빙 등 기존 서비스를 정상적으로 이용할 수 있다.

금융위원회는 31일 제14차 회의를 열고 롯데카드에 1.5개월의 업무정지와 과징금 50억원을 부과하기로 의결했다고 밝혔다. 해킹 사고에 따른 정보유출을 이유로 업무정지 처분을 내린 것은 이번이 처음이다.

롯데카드는 지난해 8월 해커의 공격으로 고객 297만명의 신용정보가 유출된 사실을 같은 해 9월 금융당국에 신고했다. 금융감독원은 지난해 9월부터 10월까지 정보유출 사고와 관련한 검사를 진행했다.

검사 결과 롯데카드는 온라인 결제시스템을 운영하면서 정보처리시스템 보정(패치) 작업을 하지 않은 것으로 나타났다. 주민등록번호와 비밀번호 암호화, 바이러스 백신 소프트웨어 설치 의무도 이행하지 않았다. 금융당국은 이를 여신전문금융업법과 신용정보법상 보안 의무 위반으로 판단했다.

당초 금융감독원은 4월 제재심의위원회에서 롯데카드에 4.5개월의 영업정지와 과징금 50억원을 부과하는 제재안을 결정해 금융위에 넘겼다. 심의 과정에서는 2014년 고객정보 유출 전력을 반복 위반으로 볼 수 있는지가 주요 쟁점으로 거론됐다. 금융위는 기존 제재 사례와의 형평성, 회사의 사후 수습 노력, 금융시장과 금융소비자에게 미치는 영향 등을 고려해 최종 의결했다.

업무정지 기간은 다음 달 1일부터 9월 15일까지다. 이 기간 신규 회원을 대상으로 한 신용카드와 체크카드, 선불카드 발급이 중단된다. 이달 31일까지 카드 신청을 완료한 신규 회원은 발급받을 수 있지만 이후에는 9월 16일부터 신규 카드 신청이 가능하다.

다만 햇살론카드와 부산시 노약자 무료 지하철 카드, 군 장병 관련 카드 등 공공 목적 카드는 예외적으로 발급할 수 있다. 법인 고객의 임직원 복지카드와 업무용 법인카드 발급도 허용된다.

기존 회원이 이용하는 서비스에는 제한이 없다. 카드 결제와 포인트 적립·사용, 이용한도 증액이 가능하며 유효기간 만료나 분실·도난 등에 따른 갱신·교체 발급도 할 수 있다.

카드론과 현금서비스, 리볼빙을 새로 신청하거나 기존 이용한도를 늘리는 것도 가능하다. 다만 기존 회원이 다른 종류의 카드를 추가로 발급받는 것은 신규 계약에 해당해 업무정지 기간 중 제한된다.

금융당국은 이번 사고를 계기로 금융회사의 보안 관리 체계를 강화하기 위한 제도 개선도 추진한다. 중대한 보안 사고가 발생하면 전체 매출액의 3% 이내에서 징벌적 과징금을 부과하고 정보보호최고책임자(CISO)의 권한을 강화하는 내용의 전자금융거래법 개정안 통과를 지원할 계획이다.

롯데카드 측은 “금융당국의 결정을 겸허히 받아들인다”며 “이번 사태로 심려를 끼쳐드려 고객 여러분께 진심으로 사과드린다”고 밝혔다.

이어 “향후 이 같은 사례가 발생하지 않도록 정보보안 등 필요한 모든 조치에 더욱 만전을 기해 신뢰받는 금융기관으로 거듭나도록 노력하겠다”고 덧붙였다.