롯데카드㈜ 검사결과제재 (2024-08-02)

신용정보전산시스템의 안전보호 위반

｢신용정보의이용및보호에관한법률｣ 제19조 제1항, 동법 시행령 제16조 및 ｢신용정보업감독규정｣ 제20조 [별표3]에 의하면 신용정보회사등은 취급 중인 개인신용정보가 인터넷 홈페이지 등을 통해 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템을 설정 하여야 함

롯데카드㈜는 ㉮ 프로젝트 기간 중(2022.6.14. ~2022.6.16.) 본인인증에 필요한 필수 전문*이 누락된 상태로 개발한 프로그램을 신규 모바일 앱에 반영함에 따라 * 모바일 앱에서 본인인증시 이용자 매칭을 위해 롯데카드㈜와 B사가 주고받는 전문 내 필수 정보값으로 이용자의 인증요청 순서에 따라 생성되는 고유거래번호 2022.6.14. ~2022.6.16. 기간 중 동 모바일 앱의 휴대폰 본인인증 서비스를 해당 프로그램으로 총 27분간 임시로 운영하는 과정에서 이용자의 인증정보가 다른 이용자에게 잘못 매칭되어 롯데카드를 보유한 고객 총 ○○명의 카드결제내역 등이 포함된 개인신용정보가 열람권한이 없는 각각 다른 고객에게 노출되는 결과를 초래한 사실이 있음

｢신용정보의 이용 및 보호에 관한 법률｣ 제19조, 제1항 ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제16조 ｢신용정보업감독규정｣ 제20조, 별표3

프로그램 변경통제 등 전자금융거래의 안전성 확보 의무 위반

｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제7조, 제 27조 및 제29조 제6호에 의하면 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전후내용 자동기록 및 보존, 변경내용의 정당여부에 대한 제3자 확인 등이 포함된 전산원장 변경 절차를 수립·운용하여야 하고, 프로그램의 운영시스템 적용은 처리하는 정보의 기밀성‧무결성‧가용성을 고려하여 충분한 테스트 후 실시하여야 하며 ｢전자금융거래법｣ 제40조 제1항 및 ｢전자금융감독규정｣ 제60조 제1항 제2호에 의하면 전자금융거래의 안전성 및 신뢰성과 금융회사의 건전성을 확보할 수 있도록 전자금융거래를 위한 외부주문의 경우에는 원장 등 중요 데이터 변경을 금지 하여야 함

｢전자금융거래법｣ 제21조 제2항, ｢전자금융감독규정｣ 제7조, 제 27조 및 제29조 제6호에 의하면 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전후내용 자동기록 및 보존, 변경내용의 정당여부에 대한 제3자 확인 등이 포함된 전산원장 변경 절차를 수립·운용하여야 하고, 프로그램의 운영시스템 적용은 처리하는 정보의 기밀성‧무결성‧가용성을 고려하여 충분한 테스트 후 실시하여야 하며 ｢전자금융거래법｣ 제40조 제1항 및 ｢전자금융감독규정｣ 제60조 제1항 제2호에 의하면 전자금융거래의 안전성 및 신뢰성과 금융회사의 건전성을 확보할 수 있도록 전자금융거래를 위한 외부주문의 경우에는 원장 등 중요 데이터 변경을 금지하여야 하는데도, 롯데카드㈜는 2022.6.14. ~ 2022.6.16. 기간 중 신규 모바일 앱에 포함되어 있는 휴대폰 본인인증 프로그램을 추가 개발하는 과정에서 이용자 매칭 프로세스의 무결성 검증과 관련된 테스트*를 실시하지 아니하여, 이용자 매칭을 위한 필수 정보값인 기관전문관리번호**가 누락된 상태로 휴대폰 본인인증 프로그램을 신규 모바일 앱에 적용함에 따라, * B사의 휴대폰 본인인증 서비스를 백업용 프로그램으로 추가 개발 ** 모바일 앱에서 본인인증시 이용자 매칭을 위해 롯데카드㈜와 B사가 주고받는 전문 내 필수 정보값으로 이용자의 인증요청 순서에 따라 생성되는 고유거래번호 2022.6.14.~2022.6.16. 기간 중 모바일 앱의 기존 휴대폰 본인인증 프로그램을 추가 개발한 프로그램으로 임시 전환하는 과정에서 이용자의 인증정보가 다른 이용자에게 잘못 매칭되어 총 27분간 롯데카드㈜ 고객 ○○명의 개인 신용정보가 각각 다른 고객에게 노출된 사실이 있으며,

검사대상 기간 중 전산 장애 또는 오류 등의 사유로 총 ○○건의 중요 데이터가 저장된 전산원장을 변경하면서 전체 변경 건에 대하여 변경 전후 내용을 자동 기록‧보존하지 않았고, * 결제 금액, 결제 일자, 탈회 법인회원 정보 등 외부주문 업체 소속 직원이 동 전산원장에 저장된 중요 데이터를 직접 변경한 사실이 있음 < 관련법규 >

｢전자금융거래법｣ 제21조, 제2항 ｢전자금융거래법｣ 제40조, 제1항 ｢전자금융감독규정｣ 제7조, 제3호, 제4호, 제27조, 제1항, 제2항, 제29조, 제6호, 제60조, 제2호