롯데카드 제재심 결론 못 내…해킹피해 특수성 반영될까

금감원 16일 제재심 열고 영업정지·과징금 수준 논의
''반복 위반'' 반영돼 영업정지 기간 가중된 것으로 풀이
2014년은 내부직원 소행, 2025년은 해킹 피해
롯데카드 영업정지 기간 경감에 집중

[이데일리 이수빈 기자] 금융감독원이 개인정보 유출 사고를 낸 롯데카드에 대한 제재 절차에 착수했으나 첫 회의에서 결론을 내지 못하고 추가 논의를 이어가기로 했다. 롯데카드는 내부통제 미흡이 아닌 해킹으로 인한 피해였다는 점과 즉각 신고하고 피해 보상안을 마련했다는 점을 강조해 제재 수위를 낮추는 데 집중하고 있다.

17일 금융권에 따르면 금융감독원은 전날 제재심의위원회를 열고 롯데카드 개인정보 유출 사고에 대한 제재 안건을 상정했으나 결론을 내지 못했다. 일부 사안에 대한 법리 적용을 두고 추가 검토가 필요하다는 의견이 나온 것으로 전해졌다.

앞서 금감원은 지난해 9월 롯데카드에 영업정지 4.5개월과 과징금 50억원 수준의 중징계를 통보했다. 신용정보법에 따르면 개인정보를 분실·도난·누출·변조 및 훼손하면 전체 매출 3% 이하에 해당하는 과징금이 부과된다. 단 단서조항에 따라 외부 해킹이나 분실 등 제3자의 불법적인 정보가 유출되면 50억원 이하의 과징금을 부과받는다.

이번 제재안에서 가장 주목받는 것은 영업정지 기간이다. 여신전문금융업법에 따르면 정보유출 같은 위반 행위 발생 시 해당 금융사에 최대 6개월의 영업정지 처분을 내릴 수 있다. 롯데카드는 2014년에도 KB국민카드, NH농협카드와 함께 정보 유출로 인해 3개월의 영업정지를 부과받은 바 있다. 이번에는 반복 위반이 반영돼 영업정지 기간이 50% 가중된 것으로 보인다. 다만 2014년 정보유출은 내부 직원 소행으로 벌어진 사고였으나 지난해 대규모 개인정보 유출은 해킹으로 인한 피해였다는 점에서 반복 사고로 보기 어렵다는 의견도 있다.

롯데카드 측은 제재 수위 경감에 집중하고 있다. 해킹 피해 사실을 인지한 후 즉각 금융당국에 신고했으며 보상안 및 대응 방안도 마련했다는 점이다.

롯데카드 해킹은 지난해 8월 14일부터 16일까지 벌어졌다. 이후 롯데카드가 8월 26일 자체적인 서버 점검을 실시하던 중 특정 서버에서 악성코드 감염 사실을 확인하고 전체 서버 정밀조사를 실시해 악성코드 등을 삭제 조치했다. 이후 추가 조사를 이어가던 중 31일 온라인 결제 서버에서 외부 공격자가 자료 유출을 시도한 흔적을 발견하고 다음날인 9월 1일 금융당국에 신고했다. 이로 인해 297만명의 고객정보가 유출됐으며 이 가운데 45만명은 주민번호가 함께 노출된 것으로 조사됐다. 카드번호와 유효기간, CVC 등 핵심 결제정보가 유출된 고객도 약 28만명에 달했다.

롯데카드는 사고 발생 후 연말까지 금액과 관계없이 무이자 10개월 할부 서비스, 금융 피해 보상 서비스, 카드 사용 알림 서비스 등을 무료로 제공하는 보상안을 발표했다. 회사 내부적으로는 정보보호 조직을 최고경영자(CEO) 직속으로 격상하고 정보보호부문에 5년간 1200억원을 투자하기로 했다.

당초 금감원이 통보한 대로 4.5개월의 영업정지가 내려질 경우 수백억원대의 피해가 날 수 있다. 업계에서는 롯데카드의 영업정지로 인한 한 달 손실액을 50억원 이상으로 추산한다. 영업정지 기간에는 회원 및 가맹점 확보 같은 신규 모집 활동이 제한되며 카드론, 현금서비스 등 대출성 상품 신규 취급도 중단된다. 이 기간 시장 점유율 약화로 인한 수익 감소는 장기간 영향을 미칠 수 있다. 신용도 저하도 피하기 어렵다.

카드업계에서는 롯데카드 제재 수위를 관심 있게 보고 있다. 우리카드와 신한카드가 정보유출 관련 제재를 앞두고 있기 때문이다.

금감원 제재심에서 논의된 징계안이 경징계에 해당할 경우 금감원 단계에서 마무리되지만 영업정지와 같은 중징계는 금융위원회 정례회의 안건으로 상정돼 추가 심의를 거친다. 금감원 제재심이 통상 한 달에 2회 열리는 점을 감안하면 앞으로 2주 이상의 시간이 필요할 전망이다.