롯데카드 정보유출 관련 긴급 대책회의 개최
- 현재까지 확인된 부정사용은 없으나 , 관련 피해 발생시 전액 보상 등 롯데카드의 소비자 보호 조치 면밀히 관리·감독
- 정보보호·전산보안 위규사항 낱낱이 파악해 일벌백계 원칙 下 엄정히 제재 하고, 재발방지 위해 전 금융권 점검 및 근본적 제도개선 방안 강구 금융위원회 는 ’25.9.18일 권대영 부위원장 주재 로 롯데카드 정보유출 과 관련해 관계기관, 전문가 등과 함께 구체적인 유출상황을 공유 하고 이에 대한 대응방안을 논의 하였다. 회의에서는 ▲ 무엇보다 국민들이 불안해하지 않도록 롯데카드가 정확한 정보유출규모 등 피해사실 을 신속하게 알리고, ▲ 정보유출에 따른 피해 방지방안 과 피해 발생시 면밀한 소비자 보호방안 을 차질없이 실행 하도록 하는 내용이 논의되었다. ▲ 또한, 금융보안·정보보호 미흡사항 등에 대한 철저한 조사를 통해 엄정한 제재 가 이뤄지도록 하는 한편, ▲ 국민들이 안심하고 금융서비스를 이용 할 수 있도록 금융보안·정보보호 관련 전 금융권 재발방지 대책 과 근본적인 제도개선 도 적극 추진 하기로 하였다. < 긴급 대책회의 개요 >
- 일시/장소 : ‘25.9.18.(목) 10:30 / 금융위원회 대회의실 (정부서울청사 16층)
- 참석자 (금융위) 부위원장 (주재) , 금융산업국장, 금융안전과장, 중소금융과장, 금융데이터정책과장 (금융감독원) 수석부원장, 디지털·IT 부원장보, 중소금융 부원장보 등 (금융보안원) 금융보안원장, 사이버대응본부장 등 (롯데카드) 조좌진 대표 등 [ 정보유출 경위·내용 ] 롯데카드는 지난 9.1일 , 8.14~15일경 발생한 해킹 침해사고 로 약 1.7GB 규모의 정보 가 유출되었음을 금융위원회 및 금융감독원에 신고 하였다. 금융위원회는 금융보안원을 통해 9.1일 침해신고 접수 즉시 금융회사 등이 유사 침해행위를 방지 할 수 있도록 공격자 IP 및 악성코드 대응방법 등을 全 금융권에 전파 하였으며, 9.2일부터는 금융감독원·금융보안원 이 현장조사 에 착수하여 정보유출 경위·내용 , 보안관리 위규사항 등에 대한 면밀한 조사 를 진행하는 한편, 금감원 내 비상대응체계 즉시 가동 , 롯데카드 측에 강도 높은 소비자 보호조치 주문 등 2차 피해 예방 을 위한 긴급조치 를 취한 바 있다. 아울러, 9.6일 금융위원회 부위원장 주재 관계기관 및 전문가 회의 , 9.16일 금융감독원장 여신업계 간담회 등을 통해 롯데카드 침해사고 대응 방안을 긴밀히 논의 하고 금융권에 정보보호 주의 당부 등을 지속해 온 바 있다.
롯데카드 측도 ▲ 정보유출 가능성 높은 고객군에 추가 보안 인증 ▲ 부정 사용시 전액 보상 ▲ 카드 재발급 지원 등 소비자 보호 조치 적극 시행 (9.3일) 금감원·금보원 조사 과정에서, 당초 신고된 1.7GB를 포함 해 총 200GB의 정보 유출 이 있었음이 확인되었다. 미상의 해커 가 롯데카드의 “ 온라인 결제 서버 (WAS
) ”에 침입하고 악성 프로그램 (웹쉘 ** ) 을 설치해 8.14~8.27일 기간 중 총 200GB의 정보를 유출 한 것으로 밝혀졌다.
WAS (Web Application Server) : 인터넷으로 들어온 온라인 결제요청 등을 처리하는 서버 ** 웹쉘 (Web Shell) : 해커가 웹 서버를 원격으로 제어하기 위해 설치하는 악성 코드 롯데카드 측은 금융보안원이 200GB 정보유출 정황 을 확인 한 즉시부터 해당 정보에 개인신용정보가 포함 되어 있는지 확인 작업에 착수 하였으며, 확인 작업이 완료 (9.17일) 된 다음 날인 9.18일 금융위원회 및 금융감독원에 해당 사실을 공식적으로 신고하고 각 개별 고객들에 안내를 개시 하였다. 유출된 정보 내에는 총 296.9만명의 개인신용정보 가 포함되어 있으며, 이 중 약 28.3만명 (9.5%) 은 카드비밀번호와 CVC도 유출 된 것으로 파악되었다. 다만, 롯데카드 측에서 사고를 확인한 즉시부터 부정결제 방지 를 위한 강화된 본인인증 조치 등을 취해 현재까지 부정결제 피해사실은 확인된 바 없으며 , 롯데카드 고객센터에 부정사용으로 신고된 내역도 없는 것 으로 나타난 바 있다. [ 정부의 향후 대응 ]
- 롯데카드가 실효성 있는 소비자 보호 조치 적극 시행하도록 관리·감독 정부는 무엇보다 정보유출 에 따른 소비자 피해 예방 에 가장 높은 우선순위를 두고 롯데카드 가 실효성 있는 소비자 보호조치 를 신속하고 차질없이 이행 해 나가도록 관리·감독 해 나갈 계획이다. 롯데카드 는 사고 발생을 인지한 직후인 9.3일 부터 개인정보 유출을 가정해 ▲ 정보유출 가능성 이 높은 고객군 에 대한 추가 본인인증 등을 통해 2차 피해를 사전적으로 차단하는 한편, ▲ 침해사고로 인한 부정사용 발생시 전액 선보상 , ▲ 비밀번호 변경, 해외결제 차단 , 카드 재발급 지원 등 조치를 취하였다. 롯데카드는 개인신용정보 유출 이 실제로 확인 된 만큼 ▲ 부정사용 발생시 보상 원칙을 다시 천명 하고, ▲ 2차 피해 문의, 재발급 수요 등에 대비하여 서버 및 콜센터 인력보강 등 조치를 신속히 취하기로 하였다. 이미 개인신용 정보 유출가능성이 제기된 시점에 비밀번호 등의 유출가능성이 있는 고객 중 약 17만명 에 대해서는 우선적 으로 온라인 결제시 추가 본인인증 , FDS 강화 등으로 부정사용 가능성을 차단 하고, 부정사용 우려를 원천 해소 하기 위한 카드 재발급 을 유도 (개별안내완료) 중이며, 비밀 번호가 유출된 나머지 약 11만명 에 대해서도 추가 본인인증, FDS 강화 등 조치는 이미 시행중 이며, 신속한 카드 재발급 도 유도 하기로 하였다. 아울러, 현장 혼선이 없도록 카드 재발급 역량 을 제고 하여 고객의 카드 재발급 수요에 순차적으로 대응 해 나갈 예정이다. 또한, 카드 이용한도 축소 , 해외사용 차단 , 일시 중지 , 카드 해지 등 소비자가 선택 가능한 모든 피해 예방 수단을 충실히 안내 하고, 소비자가 원하는 대로 즉각적인 조치 가 이루어질 수 있도록 준비하고 있다. 정부 는 이러한 롯데카드 측의 대고객 안내와 후속조치 이행 등 소비자 보호 조치 가 현장에서 차질없이 이뤄지고 있는지 지속적으로 면밀히 관리·감독 해 나갈 방침이다.
- 철저한 원인규명에 따른 엄정한 일벌백계 개인 신용정보 관리·정보보안 등 관련 위규사항 에 대해서는 금감원 검사 를 통해 위규사항을 낱낱이 파악 하여 엄정한 조치 를 취할 예정이다. 현재 웹서버 관리, 악성코드 감염 방지 등 사태 전반 에 대한 면밀한 검사가 진행중에 있으며, 허술한 개인정보·정보보안 관리 사항 에 대해서는 최대 수준의 엄정한 제재 가 이뤄지도록 할 방침이다.
- 전 금융권 금융보안·정보보호 전면점검 및 근본적 제도개선 또한, 이러한 사태가 재발하지 않도록 금융권 보안관리 태세 긴급점검 , 전산보안 관련 근본적 제도개선 도 즉시 착수한다. ▲ 초동 조사 과정에서 확인된 보안 취약점 은 9.2일 全 금융사에 旣 전파 해 자체 점검을 주문한 바 있으며 ▲ 추가 확인되는 취약사항 등도 즉시 전파 해 방비토록 할 계획이다. ▲아울러, 전체 카드사 보안 실태 에 대한 금감원 점검 을 즉시 개시하고, 위규사항 발견시 즉시 보완 및 제재 조치 토록 해 나갈 계획이다. 금융회사 보안관리 체계를 근본적으로 강화 하기 위한 제도개선 과제 도 신속히 추진한다. ▲ 보안 위규행위 에 대한 금융사의 사전적 경각심 강화 및 사후적 “일벌백계” 차원 에서 중대한 보안사고 발생시 일반적 과징금 수준을 뛰어넘는 징벌적 과징금 을 도입 하고, ▲ 금융회사가 정부의 보안수준 개선요구 를 제대로 이행하지 않은 경우 지속적인 이행강제금을 부과 하는 등으로 금융보안 관련 긴장감 있는 관리 가 이뤄지도록 할 것이다. 또한, ▲ 정보보호최고책임자(CISO)가 주도적으로 보안강화를 할 수 있도록 CISO의 권한 강화 , ▲ 소비자가 금융회사별 보안 수준을 비교 하고 서비스를 선택 할 수 있도록 관련 공시 강화 등을 통해 금융회사가 상시적으로 보안관리에 신경 써 나가도록 체계를 구축하는 한편, ▲ 불가피하게 침해사고가 발생하더라도 금융회사가 즉각적으로 시스템 복구 및 소비자 구제 등 조치 를 취할 수 있도록 전 금융권의 대응 매뉴얼 고도화 등도 추진할 방침이다. 금융위원회 권대영 부위원장 은 “ 금융보안·정보보호 는 금융회사의 작은 부주의 만으로도 막대한 소비자 피해 를 초래할 수 있으며, 금융의 신뢰성 을 흔들 수 있는 중대한 문제 ”라고 강조하면서, “특히 금융회사를 믿고 이용하는 소비자들이 피해를 입지 않으시도록 면밀히 대응 하는 것이 무엇보다도 중요하며, 이 과정에서 발생하는 소비자 민원 에 대해서도 정확한 사실을 기반 으로 대응요령을 친절히 안내 해 소비자들이 안심하고 대처 해 나갈 수 있도록 해달라”고 주문했다. 아울러, “ 全 금융회사 CEO 가 ‘ 보안 ’을 소비자 보호 와 금융 신뢰성 을 지키기 위한 가장 기본적이고 핵심적인 책무 ”라는 확고한 인식을 가져야한다“고 강조하면서, “ 보안투자 를 비용이나 가외업무 로 인식하는 안이한 태도 가 심각한 사태를 초래할 수 있는 만큼, CEO 책임하 에 전산 시스템 및 정보보호체계 전반을 전면 재점검 해 주시고, 불가피한 침해 발생시에도 즉시 시스템 복구 및 소비자 피해 구제 가 이뤄지는 만반의 태세 를 갖춰줄 것”을 주문했다. 아울러, “ 금감원·금보원 은 이러한 금융사의 점검결과를 면밀히 살피고 관리· 감독 해 침해사고가 재발하지 않도록 노력 해주실 것”을 당부했다.