“297만 명 고객정보, 28만 명 CVC 유출” 고개 숙인 롯데카드

-사고로 발생한 피해액 전액 보상

조좌진 대표(왼쪽 다섯번째) 등 롯데카드 임원들이 해킹 사고에 대해 고개 숙여 사과하고 있다. 뉴시스

회원 960만 명을 보유한 롯데카드의 해킹 피해 규모가 297만 명에 달하는 것으로 나타났다. 전체 회원의 3분의 1 수준으로, 이중 28만 명은 부정 사용 가능성이 있는 것으로 파악됐다.

이 회사는 18일 서울 중구 소재 부영태평빌딩에서 언론브리핑을 열고, 해킹 관련 경위와 대국민 사과를 진행했다.  조좌진 롯데카드 대표는 “금융감독원과 금융보안원의 현장 조사 과정에서 200GB 분량의  데이터가 추가적으로 반출된 정황을 발견했다”며 “고객정보가 유출된 총 회원 규모는 297만 명으로, 사고로 발생한 피해액 전액을 보상하겠다”고 밝혔다.

유출 정보는 7월 22일과 8월 27일 사이 해당 온라인 서버를 통한 온라인 결제 과정에서 생성·수집된 데이터로 한정되며, 오프라인 결제와는 무관하다. 세부 유출 항목은 CI(Connecting Information·연계 정보), 주민등록번호, 가상결제코드, 내부식별번호, 간편결제 서비스 종류 등이다. 고객 이름은 유출되지 않았다. 특히 28만 명의 경우 카드번호와 비밀번호 2자리, CVC번호 등이 유출돼 특수 결제 방식을 통한 부정 사용이 가능하다. 현재까지 부정 사용 사례는 없는 것으로 알려졌다.

해킹 사고에 대한 사과와 함께 피해보상 및 재발방지 대책에 대해 설명하고 있는 조좌진 롯데카드 대표. 뉴시스

●경영 전반 메커니즘 혁신

사고로 인해 발생한 피해에 대해서는 피해액 전액을 보상한다는 방침이다. 고객정보 유출로 인한 2차 피해에 대해서도 연관성이 확인된 경우 전액 보상한다. 고객 피해 제로화를 최우선 과제로 삼고 대표이사 주재로 전사적 비상대응체계를 가동한다.

고객정보가 유출된 297만 고객 전원에 대해서는 개별적으로 고객정보 유출 안내 메시지를 전송한다. 특히 부정사용 가능성이 있는 고객 28만 명에게 재발급 안내 문자를 추가로 발송하고, 안내전화도 병행해 카드 재발급 조치가 최우선으로 이뤄지도록 한다. 카드 재발급 시 차년도 연회비를 한도 없이 면제한다.

이번 사태로 인한 지원방안도 마련했다. 정보가 유출된 고객 전원에게 연말까지 금액과 관계없이 무이자 10개월 할부 서비스, 금융피해 보상 서비스인 크레딧케어, 카드사용 알림서비스를 무료 제공한다.

FDS(이상거래탐지시스템) 모니터링을 격상해서 시행한다. 해외 온라인 결제 시 기존 결제 이력이 없는 가맹점에서의 결제 건은 전화 본인 확인 후에만 승인한다. 국내 결제 또한 강화된 사전 사후 모니터링을 시행해 부정 결제 가능성에 대비하고 있다.

모바일 앱 메인 화면 상단에 고객이 손쉽게 보안조치를 하도록 카드 재발급, 해외결제 차단, 비밀번호 변경 관련 메뉴를 배치한다. 원활한 앱 이용을 위한 동시 접속 인원도 60만 명까지 확대 운영한다. 침해사고 전용 24시간 상담센터의 인력도 확충했다.

시스템 보안 강화 작업도 진행 중이다. 온라인 결제 시스템의 서버, 운영체제, 소프트웨어 환경을 전면 교체해 보안 수준을 강화하고, 주요 시스템 계정 접속 및 인증 체계 강화, 네트워크 보안 및 데이터 암호화 관리도 3개월 내 고도화를 완료한다. 또 관계 기관의 조사에 적극 협력해 사고 원인을 명확히 규명한다. 추후 진행 상황도 투명하게 공개하고 필요한 사안은 신속히 안내한다.

향후 5년 간 1100억 원의 정보보호 관련 투자를 집행함으로써 정보보호 예산 비중을 업계 최고 수준인 15%까지 확대한다. 이를 통해 자체 보안관제 체계를 구축해 24시간 실시간 통합보안 관제체계를 강화하고, 전담 레드팀을 신설해 해커 침입을 가정한 예방 활동을 상시화한다는 게 회사 측 설명이다. 

조 대표는 “이번 사태를 단순 해킹사건 및 보안문제로 보지 않고, 경영 전반의 메커니즘을 근본부터 혁신하는 계기로 삼겠다”며 “침해사태에 대한 책임은 롯데카드 대표인 제가 가장 크게 느끼고 부담해야 한다고 생각한다. 연말까지 대표이사인 저를 포함해 대대적인 인적쇄신을 완료하겠다”고 했다.



정정욱 기자 jjay@donga.com