[딜사이트 최지혜 기자] 회원 297만명의 개인정보가 유출된 '롯데카드'가 천문학적 과징금과 영업정지 가능성에 직면했다. 카드 재발급·보상 비용만 수십억 원에 이르는 가운데 신용등급 하락까지 겹칠 경우 자금 조달과 수익성에 치명타가 예상된다.

19일 금융권에 따르면 지난달 롯데카드에서 발생한 해킹사고로 전체 회원수 960만명의 30.9%에 해당하는 297만명의 회원의 개인정보가 유출됐다. 이 중 75만명은 주민등록번호·생년월일·전화번호 등 민감한 정보가 유출돼 2차 피해 우려가 크다.

롯데카드는 지난 18일 피해자 전원에게 유출 사실을 안내했다. 특히 부정 사용 피해 우려가 있는 28만명에 대해서는 문자와 전화 등을 통해 카드 재발급·비밀번호 변경을 안내하고 있다. 또 이들에게 차년도 연회비를 전액 면제해 주기로 했다. 전체 유출 회원 297만명에게는 10개월 무이자 할부 등의 보상책을 시행 중이다.

그러나 피해 규모와 보상안 발표가 마무리된 뒤에도 금융당국 제재가 남아 있다. 금융위원회는 이날 권대영 부위원장 주재로 긴급 대책회의를 열고 롯데카드의 개인정보·정보보안 관리 위규 사항에 대해 엄정하게 조치한다는 계획을 밝혀 최고 수준의 제재를 예고했다.

금융위는 "허술한 개인정보·정보보안 관리 사항에 대해 최대 수준의 엄정한 제재가 이뤄지도록 할 방침"이라며 "중대한 보안사고 발생 시 징벌적 과징금을 도입하고 금융사가 정부의 보안수준 개선요구를 제대로 이행하지 않으면 지속적인 이행강제금을 부과할 방침"이라고 밝혔다.

이번 사고의 원인은 롯데카드가 일부 서버의 보안 패치를 누락한 데서 비롯됐다. 롯데카드는 2017년 온라인 결제서버 취약점을 발견해 48개 결제서버의 보안 패치 업데이트를 진행했다. 하지만 이번에 해킹당한 소규모 서버는 제외했다. 외부 해커가 해당 서버의 취약점을 파고들면서 사고가 발생했다.

영업정지 가능성도 거론된다. 카드사가 개인정보 유출 등으로 소비자 보호에 실패한 경우 여신전문금융업법에 따라 최대 6개월의 영업정지를 부과할 수 있다. 영업정지 시 신규 회원 모집이 중단된다.

앞서 롯데카드는 2014년 카드 고객 정보 유출 사태 당시 3개월의 영업정지를 받은 바 있다. 당시에는 신용평가사를 통한 정보 유출이었고, 유출된 정보의 범위도 비교적 넓지 않았다. 하지만 이번 유출사고에는 부정사용으로 이어질 수 있는 카드번호, 비밀번호, CVC, 주민번호 등이 유출된 만큼 영업정지 강도가 높을 것이란 업계의 관측이 나온다.

단기 비용 부담도 만만치 않다. 롯데카드는 카드 재발급에 따른 연회비 보상에 드는 비용만 약 60억원으로 추산했다. 또 고객상담 인력 확대, 카드 재발급, 피해 고객의 무이자 할부 등에 필요한 부수적 지출 증가도 불가피하다.

장기적으로는 신용등급 하락과 핵심회원 이탈이 구조적 재무 리스크를 가져올 전망이다. 이미 피해 회원 중 5만명 이상이 탈퇴했으며, 피해가 없는 회원 사이에서도 해지 움직임이 확산되는 분위기다.

여신전문금융업 평가 항목에서도 '정보보호·내부통제' 항목이 강화된 점을 고려하면 시장 신인도와 외부 신용평가 하락이 불가피하다. 나이스신용평가는 이번 사고로 최대 800억원의 과징금 부과 가능성을 언급하며 회원 수 변동과 제재 결과를 등급에 반영하겠다고 밝혔다.

롯데카드는 이미 낮은 신용등급으로 불리한 자금조달 입지에 놓인 상태다. 현재 롯데카드의 회사채 신용등급은 'AA-(안정적)'으로, MBK파트너스에 인수된 2019년 하향조정된 것이다. 추가 신용등급 하락을 겪을 경우 수익성 차질이 불가피한 상황이다. 

롯데카드는 올해 상반기 416억원의 순이익을 올렸다. 이는 롯데카드가 MBK파트너스에 인수되기 이전인 2019년 상반기(478억원) 수준이자 카드사 최하위에 해당한다. 지난해 같은 기간과 비교해도 33.8% 줄어든 수치다. 상반기 실적 악화에 해킹사고로 인한 각종 비용부담과 당국의 수백억원대 과징금이 겹칠 경우 하반기 실적 악화는 불가피할 전망이다.