롯데카드에서 고객 297만 명의 개인 신용정보가 해킹으로 유출된 사고로, 금융당국이 내린 1.5개월 영업정지 처분이 9월 15일 종료됐습니다. 금융감독원 조사 결과 보안 패치 미적용, 주민등록번호와 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 기본적인 보안 의무 위반이 확인됐고, 로그 파일에 개인정보가 평문으로 기록돼 있었습니다. 금융위원회와 개인정보보호위원회는 각각 50억 원, 96억 2천만 원의 과징금을 부과했습니다. 해킹으로 인한 정보유출을 이유로 금융회사가 업무정지를 받은 것은 이번이 처음으로, 금융권 전체에 보안관리 책임을 강화하는 선례가 됐습니다. 9월 11일부터는 개정 개인정보보호법이 시행돼 반복·고의 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있습니다.
롯데카드 온라인 결제 시스템이 해킹돼 297만 명의 개인 신용정보와 45만 명의 주민등록번호가 유출됐다. 로그 파일에 개인정보가 평문으로 기록된 상태에서 암호화 없이 노출됐다.
금융위원회로부터 1.5개월 업무정지(신규 카드 발급 중단)와 과징금 50억 원, 개인정보보호위원회로부터 과징금 96억 2천만 원 및 시정명령을 받았다. 해킹으로 인한 금융회사 업무정지 첫 사례로 금융권 전반에 강력한 선례를 남겼다.
보안 패치 미적용, 주민등록번호·비밀번호 암호화 미이행, 바이러스 백신 미설치 등 기본적인 보안통제 의무 위반이 복합적으로 작용했다. 로그 파일 내 개인정보 최소화 원칙도 지켜지지 않았다.
금융위원회는 8월 1일~9월 15일 업무정지 및 과징금 50억 원을 부과했고, 개인정보위는 과징금 96억 2천만 원과 함께 CPO 권한 강화·개인정보 처리 전반 개선 시정명령을 내렸다. 개정 개인정보보호법(9월 11일 시행)은 향후 유사 사고에 최대 매출액 10% 징벌적 과징금을 적용할 수 있도록 했다.
패치 관리, 중요 데이터 암호화, 로그 내 개인정보 최소화는 기본 보안통제 항목이지만 이번 사고에서 모두 누락돼 대규모 유출로 이어졌다. CISO·CPO 중심의 책임체계 구축과 로그 설계 단계에서의 개인정보 배제가 실무적으로 가장 시급한 대응 포인트다.
본문
고객 297만 명의 신용정보가 유출된 해킹 사고로 롯데카드에 내려진 1.5개월 업무정지 처분이 15일 종료된다. 해킹에 따른 정보유출을 이유로 금융회사가 업무정지 처분을 받은 첫 사례라는 점에서 금융권 보안관리 책임을 강화한 선례로 남게 됐다.
금융위원회는 지난 7월 31일 제14차 회의에서 롯데카드에 대해 여신전문금융업법과 신용정보법에 따라 1.5개월 업무정지와 과징금 50억 원을 부과했다. 업무정지는 8월 1일부터 9월 15일까지 적용됐다. 이에 따라 롯데카드는 이 기간 신규 회원을 대상으로 신용·체크·선불카드를 발급할 수 없었다. 기존 회원의 카드 이용과 교체·갱신 발급, 카드론·현금서비스·리볼빙 등의 이용은 가능했다.
따라서 별도 후속 조치가 없다면 16일부터 신규 회원 모집과 카드 발급이 다시 가능해진다. 롯데카드는 앞서 업무정지 종료 이후 영업채널을 다각화하고 신상품을 출시해 고객 기반을 확대하겠다는 계획을 밝힌 바 있다.
패치 안 하고, 중요정보 암호화 미흡…기본 보안통제 문제 확인
이번 사고에서 주목할 부분은 공격 기법 자체보다 금융당국 검사에서 확인된 기본적인 보안관리 문제다.
롯데카드는 2025년 9월 1일 해킹 침해사고에 따른 정보유출 사실을 금융당국에 신고했다. 이후 금융감독원이 9~10월 검사를 진행한 결과 온라인 결제시스템 운영 과정에서 △정보처리시스템 보안 패치 미실시 △주민등록번호와 비밀번호 암호화 미이행 △바이러스 백신 소프트웨어 미설치 등 보안의무 위반사항이 확인됐다.
개인정보보호위원회 조사에서는 또 다른 문제가 확인됐다. 온라인 간편결제 시스템의 로그 파일에 약 297만 명의 개인신용정보가 포함돼 있었으며, 이 가운데 약 45만 명의 주민등록번호도 유출됐다. 특히 롯데카드가 온라인 결제 관련 로그에 주민등록번호를 포함한 개인정보를 평문(암호화하지 않은 원문 텍스트)으로 기록하고, 로그 파일에 충분한 암호화 조치를 하지 않은 사실이 확인됐다.
이에 개인정보위는 지난 3월 롯데카드에 과징금 96억 2천만 원과 과태료 480만 원을 부과했다. 개인정보 처리 현황을 전반적으로 점검·개선하고 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하도록 하는 시정명령도 내렸다.
금융당국의 과징금 50억 원과 개인정보위의 96억 2천만 원 과징금은 같은 사고를 두고 동일 법률을 중복 적용한 것이 아니다. 금융당국은 개인신용정보 유출과 안전조치 의무 등을 신용정보법·여신전문금융업법에 따라 조사했고, 개인정보위는 주민등록번호 처리 등 개인정보보호법 적용 사항을 별도로 조사했다.
4.5개월에서 1.5개월로 감경…그래도 '해킹 첫 업무정지'
당초 금융감독원 단계에서는 4.5개월 업무정지가 논의됐지만 금융위 최종 의결에서는 1.5개월로 줄었다.
금융위는 기존 제재 사례와의 형평성, 롯데카드의 사후 수습 노력, 금융시장과 금융소비자에게 미치는 영향 등을 종합적으로 고려했다고 밝혔다. 다만 업무정지 자체는 유지했다. 해킹에 따른 정보유출 사고에 금융회사 업무정지 처분이 내려진 것은 처음이다.
9월 11일부터 개인정보 유출 제재 기준도 대폭 강화
롯데카드 업무정지 종료와 함께 금융권이 주목해야 할 부분은 지난 11일부터 시행된 개정 개인정보보호법이다.
개정법은 반복적이거나 고의·중과실로 개인정보가 유출된 경우 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 했다. 동시에 개인정보 보호를 위한 사전 예방 투자를 과징금 감경에 반영하고, 최고경영자(CEO)의 개인정보 보호 최종 책임과 개인정보 보호책임자(CPO)의 권한·책임도 강화했다.
다만 이 제도를 롯데카드에 내려진 금융위 제재와 직접 연결해 '롯데카드가 지금 사고가 났다면 매출액 10% 과징금을 받는다'고 단정해서는 안 된다. 이번 롯데카드 금융위 제재는 여신전문금융업법·신용정보법에 따른 것이고, 개정 개인정보보호법의 10% 과징금은 적용 요건과 법 위반 시점 등을 별도로 따져야 한다.
금융당국 역시 금융회사 보안사고 제재 강화를 추진하고 있다. 금융위는 중대한 보안사고 발생 시 전체 매출액의 3% 이내에서 징벌적 과징금을 부과하고 정보보호최고책임자(CISO)의 권한을 강화하는 전자금융거래법 개정을 추진하겠다고 밝혔다.
결국 업무정지 종료 자체보다 중요한 것은 롯데카드가 사고 이후 보안통제를 실제로 어느 수준까지 개선했는지다. 특히 사고에서 확인된 패치 관리, 중요정보 암호화, 백신 설치, 로그 내 개인정보 최소화와 암호화, CISO·CPO 중심의 관리체계 개선 여부가 핵심 점검 대상이다.
현재 공개된 금융당국 자료만으로는 이들 개선 과제가 각각 어느 수준까지 완료됐는지 구체적으로 확인하기 어렵다. 업무정지가 끝난 뒤 금융당국이 개선 이행 상황을 추가 점검하거나 이번 사례를 계기로 카드사와 금융회사 전반으로 보안점검을 확대할지도 지켜볼 부분이다.
롯데카드 사건은 단순히 1.5개월간 신규 영업을 하지 못한 제재 사례를 넘어섰다. "기본적인 보안통제를 지키지 않아 대규모 정보유출로 이어질 경우 실제 영업제한까지 받을 수 있다"는 첫 선례를 금융권에 남겼다는 점에서 의미가 크다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
