[딜사이트 강울 기자] 금융위원회가 대규모 고객정보 유출 사고가 발생한 롯데카드에 1.5개월의 일부 업무정지와 과징금 50억원을 부과했다. 금융감독원이 건의한 업무정지 4.5개월보다 제재 기간이 3개월 줄어든 수준이다. 외부 해킹 사고를 이유로 금융회사에 업무정지 처분이 내려진 것은 이번이 처음이다. 기존 회원의 카드 이용은 대부분 허용하고 신규 회원 관련 업무만 제한했다.

금융위는 제14차 정례회의를 열고 롯데카드에 1.5개월의 업무정지와 과징금 50억원을 부과하는 제재안을 의결했다고 31일 밝혔다. 업무정지는 8월1일부터 9월15일까지 적용된다. 이번 조치는 지난해 8월 발생한 해킹 사고로 고객 297만명의 개인신용정보가 유출된 데 따른 것이다.

금융위는 기존 제재 사례와의 형평성, 롯데카드의 사고 수습 노력, 금융시장과 금융소비자에 미칠 영향 등을 종합적으로 고려해 업무정지 기간을 1.5개월로 결정했다고 밝혔다. 업무정지 범위도 신규 회원 관련 카드 업무로 한정했다. 해킹 사고에 대한 관리 책임은 묻되 귀책 사유가 없는 기존 고객의 서비스 이용까지 제한하는 것은 적절하지 않다고 판단했다.

이번 결정으로 업무정지 기간은 금감원 제재안보다 3개월 단축됐다. 금감원은 지난 4월 롯데카드에 업무정지 4.5개월과 과징금 50억원을 부과하는 안을 금융위에 넘겼다. 금융위는 지난달 25일과 이달 23일 두 차례 안건검토소위원회를 열어 제재 수위와 적용 범위를 조율했다.

제재 심의 과정에서는 2014년 개인정보 유출 사고를 이번 해킹의 반복 위반으로 볼 수 있는지가 핵심 쟁점이었다. 롯데카드는 2014년 외부 파견 직원의 고의적인 정보 반출로 3개월의 일부 업무정지 처분을 받았지만 이번 사고는 외부 공격자가 온라인 결제 시스템을 해킹해 발생한 사건으로 성격이 다르다고 주장했다. 동일한 유형의 반복 위반으로 보고 제재를 가중하는 것은 과도하다는 입장이다.

롯데카드는 카드 재발급과 고객보상, 부정사용 방지 등 사고 수습에 나선 점도 감경 사유로 제시했다. 직접적인 2차 피해가 확인되지 않았고 정보보호 조직과 투자를 확대했다는 점도 강조했다. 금융위는 반복 위반 적용 여부를 구체적으로 밝히지는 않았지만 제재 수위를 조정하는 과정에서 이 같은 사정을 함께 고려한 것으로 풀이된다.

반면 금융위는 외부 해킹이라는 점과 별개로 기본적인 보안 관리 의무를 소홀히 한 책임은 엄중하게 판단했다. 실제 금감원 검사 결과 롯데카드는 온라인 결제 시스템의 보안 패치를 제때 적용하지 않았고, 주민등록번호와 비밀번호를 암호화하지 않은 것으로 나타났다. 일부 시스템에는 바이러스 백신 소프트웨어조차 설치되지 않는 등 기본적인 정보보호 조치가 미흡했던 것으로 확인됐다.

업무정지에 따른 영업 제한은 신규 회원 관련 업무에 집중됐다. 업무정지 기간에는 신규 회원의 신용·체크·선불카드 발급이 중단되며 기존 회원도 새로운 카드를 추가로 발급받을 수 없다. 다만 유효기간 만료와 분실·도난에 따른 갱신·교체 발급은 가능하다. 햇살론카드와 군 장병 카드, 법인 임직원 복지카드 등 공공·업무 목적의 일부 카드는 예외로 인정된다.

기존 고객 서비스는 대부분 정상적으로 유지된다. 카드 결제와 이용한도 증액은 물론 카드론과 현금서비스, 리볼빙의 신규 신청도 가능하다. 포인트 적립·사용과 기존 약정한도 증액에도 제한이 없다.

이에 롯데카드가 받게 될 직접적인 영업 타격은 금감원 제재안이 그대로 의결됐을 경우보다 제한될 것으로 보인다. 기존 회원 대상 결제와 금융서비스가 정상 운영되는 만큼 단기적인 수익성 충격은 제한적일 것으로 예상된다. 다만 카드사의 성장이 신규 회원 확보에서 시작된다는 점을 고려하면 한 달 반 동안 신규 고객 모집이 중단되면서 회원 기반 확대와 신규 카드 이용실적에는 부담이 불가피할 전망이다.

롯데카드는 금융당국의 결정을 수용하고 정보보안과 재발 방지 조치를 강화하겠다는 입장이다. 롯데카드 관계자는 “향후 이 같은 사례가 발생하지 않도록 정보보안 등 필요한 모든 조치에 더욱 만전을 기해 신뢰받는 금융기관으로 거듭나도록 노력하겠다”고 말했다.

금융당국은 이번 제재와 별도로 중대한 보안사고가 발생할 경우 전체 매출액의 3% 이내에서 징벌적 과징금을 부과하고 정보보호최고책임자(CISO)의 권한을 강화하는 내용의 전자금융거래법 개정도 추진하고 있다.

금융권에선 이번 제재와 관련해 외부 해킹 사고라도 금융회사가 기본적인 정보보호 의무를 다하지 않았다면 업무정지까지 부과할 수 있다는 첫 기준을 제시했다는 점에서 의미가 있다고 보고 있다.

금융권 관계자는 “외부 해킹으로 발생한 사고라도 기본적인 보안 의무를 다하지 않았다면 업무정지까지 받을 수 있다는 기준이 제시된 것”이라며 “징벌적 과징금 도입까지 추진되는 만큼 금융회사들도 보안 투자를 단순 비용이 아닌 경영 리스크 관리 차원에서 강화할 수밖에 없을 것”이라고 말했다.