홈플러스 기업회생·롯데카드 해킹…MBK식 기업경영 리스크 부각

2일 서울 중구 롯데카드 카드센터에서 고객이 상담을 받고 있다. 뉴시스

롯데카드, 2017년 취약점 해킹으로 1.7GB 데이터 유출 흔적
금융감독원·금융보안원, 고객정보 유출 여부 현장검사 진행
해킹 후 17일 지나서야 인지…내부통제 부실 도마 위에
홈플러스 사태와 겹치며 MBK 경영방식 비판 여론 확산

롯데카드 해킹 사고가 발생해 고객 960만여 명의 개인정보 유출 우려가 제기됐다. 홈플러스 기업회생과 함께 대주주 MBK파트너스의 경영방식에도 비판이 쏟아지고 있다.

롯데카드는 지난달 말 온라인 결제 서버에서 해킹 침투 흔적을 발견했고, 이달 1일 금융감독원에 사고를 신고했다. 금융감독원과 금융보안원은 2일부터 현장검사에 착수해 고객정보 유출 여부와 내부 통제 적절성을 조사 중이다. 금융위원회는 유출된 내부 데이터가 약 1~2GB 수준일 것으로 추정했다.

문제는 해킹 방식이었다. 보안업계에 따르면 롯데카드 서버는 이미 2017년 오라클이 패치를 배포한 웹 애플리케이션 서버 ‘웹로직(WebLogic)’의 취약점 ‘CVE-2017-10271’을 통해 공격당했다. 해커는 해당 취약점을 이용해 관리자 권한을 탈취하고 웹셸을 설치해 내부파일을 외부로 반출한 것으로 알려졌다. 업계에서는 “8년 전 공개된 취약점으로 해킹을 당한 것은 기본 보안이 미흡했음을 보여준다”는 지적을 내놓고 있다.

또한 롯데카드가 내부파일 유출 발생일로부터 17일이나 지나 해킹 사실을 인지한 것으로 드러나 내부 보안 관리 체계 전반에 대한 비판이 확산되고 있다. 강민국 국민의힘 의원실에 제출된 금융감독원 보고서에 따르면 해킹은 지난달 14일부터 16일까지 세 차례 시도됐고, 14일과 15일 두 차례에 걸쳐 내부파일이 외부로 유출됐다. 롯데카드는 26일 일부 서버에서 악성코드를 확인했고, 31일에는 1.7GB 분량의 데이터 유출 흔적을 파악했지만 개인정보 유출 여부는 끝내 확인하지 못한 상태다.

이번 사고는 홈플러스 기업회생과 겹치면서 MBK파트너스의 기업 지배구조와 경영 철학 전반에 대한 회의론으로 이어지고 있다. 국회 인사청문회에서도 MBK 책임론이 거론됐다. 더불어민주당 김남근 의원은 이억원 금융위원장 후보자 청문회에서 “금감원이 MBK를 제대로 제재했다면 홈플러스와 같이 10만 명이 걸린 사업장을 청산시키려는 무책임한 시도는 없었을 것”이라고 지적했다.

금융당국은 롯데카드 해킹과 관련해 고객 데이터베이스(DB) 관리 계정과 서버 보안 수준을 집중 점검 중이다. 고객정보 유출이 확인될 경우, 금융권 전반에 보안 강화와 대주주 MBK 경영방식에 대한 근본적 논의가 불가피할 전망이다.


양형모 기자 hmyang0307@donga.com