해킹 금융사 첫 업무정지…금감원 제재안서 3개월 줄어·과징금은 50억 유지
롯데카드 "기존 회원 서비스 이용에는 영향없어…정보보안 만전"
(서울=연합뉴스) 조민정 김지연 기자 = 금융위원회가 지난해 해킹사고로 고객 297만명의 정보가 유출된 롯데카드에 1.5개월 업무정지와 과징금 50억원을 부과했다.
해킹으로 정보가 유출된 금융사에 가하는 첫 업무정지 제재다. 다만 영업정지 4.5개월을 결정한 금융감독원 제재안에선 감경됐다.
금융위원회는 31일 14차 회의에서 롯데카드 정보유출과 관련해 해킹사고에 최초로 '업무정지' 처분을 부과하고, 신용정보법 위반에 따른 과징금 50억원을 부과하기로 의결했다고 밝혔다.
해킹 피해에 영업정지 제재는 전례 없는 일이다.
롯데카드가 작년 9월 1일 해킹 침해사고로 정보 유출사실을 신고한 이후 금융감독원은 작년 9∼10월 정보유출 해킹사고 점검을 위한 검사를 진행했다.
검사 결과 롯데카드의 온라인 결제시스템 운영과정에서 정보처리시스템 보정(패치) 작업 미실시, 주민등록번호·비밀번호 암호화 미이행, 바이러스 백신 소프트웨어 미설치 등 현행법상 보안의무 위반사항이 확인됐다고 금융위는 전했다.
금융위는 그간 회사 측 의견진술, 안건소위 등 심도 있는 논의를 거쳤다고 설명했다.
다만 지난 4월 말 롯데카드 영업정지 4.5개월과 과징금 50억원 등을 결정한 금감원 제재안과 비교해 영업정지 기간은 3개월이 줄었다.
롯데카드는 2014년 직원에 의한 정보유출 사태로 영업정지 3개월 제재를 받은 전례가 있어 이번 일을 '위반행위 반복'으로 볼 수 있는지가 쟁점이었다.
현행법상 위반행위 횟수 등을 고려해 업무정지 기간을 50% 범위에서 조정할 수 있어 영업정지 4.5개월까지 받을 수 있다는 추측이 나왔다.
다만 금융위는 기존 제재사례와의 형평성, 사측의 사후수습 노력, 금융시장 및 금융소비자 영향 등 다양한 측면을 고려해 1.5개월로 결정했다고 설명했다.
특히 금융사가 해킹을 당했다가 영업정지 제재를 받은 사례가 세계적으로도 찾기 어려운 만큼 신중해야 한다는 공감대가 있던 것으로 전해졌다.
금융당국 관계자는 "위법행위 정도나 사후 수습 노력, 2차 피해, 사회적인 논란 등이 2014년 때보다는 덜하다고 판단했다"며 "영업 행위에 직접적으로 영향을 미치는 업무정지를 해킹에 따른 정보 유출에 부과하는 것은 신중해야 되지 않냐(는 점이 고려됐다)"고 말했다.
업무정지 처분은 다음 달 1일부터 오는 9월 15일까지 적용된다.
영업정지 기간에 회사는 신규 회원 모집이 제한돼 영업에 타격이 생긴다.
금융위는 정보유출 사고에 귀책사유가 없는 고객이 업무정지로 불편을 겪는 것은 바람직하지 않은 만큼 업무정지 범위와 관련해 신규회원 관련 카드 업무를 정지하도록 했다고 설명했다.
다만 공공목적으로 발급되는 햇살론카드(2종), 부산시 노약자 무료 지하철 카드, 군장병 관련 카드 등은 예외적으로 발급이 가능하다.
기존회원은 카드 관련 서비스 신청·이용이 모두 가능하다. 카드결제와 이용한도 증액, 카드 갱신·교체 등을 위한 재발급, 카드론·현금서비스·리볼빙 신청 등도 가능하다. 다만 기존 회원의 신규카드 추가 발급은 제한된다.
금감원 제재안에 포함됐던 조좌진 전 롯데카드 대표 문책 경고 조치는 금감원 전결사항으로 그대로 확정됐다. 조 대표는 현재 하나투어 최고경영자(CEO)로 내정됐다.
금융위는 "금융당국은 향후 이번과 같은 정보유출 사태가 재발하지 않도록 금융회사의 보안관리 체계를 근본적으로 강화하기 위한 제도개선을 차질 없이 추진할 예정"이라고 밝혔다.
금융회사의 보안 위규행위 경각심 강화를 위해 중대한 보안사고 발생시 일반적 과징금 수준을 뛰어넘는 징벌적 과징금(전체 매출액의 3% 이내 부과)을 도입하고 정보보호최고책임자(CISO) 권한을 강화하는 내용 등을 포함한 전자금융거래법 개정안 통과를 지원할 예정이다.
또 이번 업무정지로 금융소비자의 카드서비스 이용에 불편함이 발생하지 않도록 업무정지 영향을 지속해 모니터링하는 등 금융소비자 보호에도 최선을 다한다고 덧붙였다.
롯데카드 관계자는 "금융당국의 결정을 겸허히 받아들인다"며 "이번 사태로 심려를 끼쳐드려 고객 여러분께 진심으로 사과의 말씀을 드린다"고 전했다.
그러면서 "이번 영업정지는 신규 영업 일부에 해당하는 조치로 기존 회원의 서비스 이용에는 영향이 없다"며 "향후 이 같은 사례가 발생하지 않도록 정보보안 등 필요한 모든 조치에 더욱 만전을 기해 신뢰받는 금융기관으로 거듭나도록 노력하겠다"고 밝혔다.
한편, 롯데그룹은 브랜드 가치 훼손으로 상당히 당혹스러워하는 것으로 알려졌다.
롯데는 2017년 지주사 출범이후 2019년 MBK파트너스에 롯데카드 지분을 매각하고 현재 롯데쇼핑이 20%만 보유하고 있다. MBK파트너스가 롯데카드를 인수한지 10년 가까이 됐지만 롯데카드가 '롯데' 브랜드를 사용하고 있어 상당수 고객들은 아직도 롯데카드를 롯데그룹 계열사로 잘못 인식하는 경우가 많다.
업계 관계자는 "실제로 이번 사태로 인해 롯데그룹이 적지 않은 유무형의 피해를 입은 것으로 알고 있다"고 전했다.
롯데그룹은 지난해 9월 해킹사건 발생 당시 롯데카드 측에 항의하고, 고객 피해 최소화를 위한 신속한 조치를 촉구하기도 했다.
kite@yna.co.kr
Copyright ⓒ 연합뉴스 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
