[뉴스토마토 신수정 기자] 롯데카드가 향후 5년간 1206억원 규모의 정보보호 투자 계획을 내놨지만, 개인정보 유출 사고에 따른 금융당국 제재가 확정될 경우 큰 타격이 불가피할 전망입니다. 영업정지가 유력한 가운데 그에 따른 영업 손실과 과징금, 정보 유출 피해 관련 손해배상, 홈플러스 미회수 채권의 익스포저(위험노출액) 부담까지 떠안은 상황입니다.
'정보보호 비전 2030' 수립, 실무조직 재정비도
30일 금융권에 따르면 롯데카드는 최근 발표한 '2026년 지속가능경영보고서'에서 보안 체계를 강화하고 정보유출에 신속한 대응력을 갖추기 위해 정보보호 조직을 개편·재정비했습니다. 정보보호 및 개인정보 보호 업무의 체계적 관리와 신속한 의사결정을 위해 전사적 거버넌스 체계도 구축한 것으로 풀이됩니다.
먼저 정보보호와 정보통신(IT) 보안에 관한 주요 사항을 심의하고 의결하는 정보보호위원회와 산하 정보보호실무위원회를 대표이사 직속 조직으로 배치했습니다. 팀장급으로 구성된 사내 정보보호위원을 임원급으로 격상하고, 팀장급으로 구성된 정보보호실무위원회를 신설해 의사결정 사항에 대한 책임성을 강화하는 방향으로 위원회 구성 기준을 개편했습니다. 정보보호실무위원회 산하에는 보안정책팀과 침해위협대응팀을 신설해 침해 사고 예방부터 발생 시 대응까지 전체 과정을 전담하도록 했습니다.
또한 객관적인 직무 수행을 위해 영업·마케팅 등 타 업무와의 이해상충을 방지하고 정보보호 업무에 전념할 수 있는 독립적 지위를 부여한 정보보호최고책임자(CISO)를 위원장을 통해 정보보호위원회와 정보보호실무위원회를 운영키로 했습니다. CISO는 IT 또는 정보보호 분야에 석·박사 학위 소지자 또는 IT 경력 10년 이상이면서 보안 경력 5년 이상 등 법적 기준을 충족하는 실무 경력 보유자를 대상으로 선발합니다.
동일한 사고가 발생하지 않도록 '정보보호 비전 2030'을 수립하고 정보보호 체계 고도화에 대규모 투자도 약속했습니다. 롯데카드는 향후 5년간 약 1206억원을 정보보호 체계 고도화에 집중 투자할 계획입니다.
연도별 단계적으로 △침해 위협 대응 기반 마련(2026년) △침해 위협 대응 고도화(2027년) △외부 위협과 자산을 연계한 예방적 침해 위협 대응 강화(2028년) △위협·탐지·대응·자산·취약점을 연계한 통합 가시성 확보(2029년) △사전 예방 관점의 침해 대응 체계 성숙도 제고(2030년)의 로드맵을 구상했습니다.
지난해 롯데카드는 전체 IT 예산 중에서 정보보호 투자에 11%를 썼는데, 올해부터는 IT투자 예산 중에서 정보보호 예산이 차지하는 비중을 금융회사 정보기술 투자액 권고 기준인 7%의 두 배 수준인 15%까지 확대해 업계 최고 수준으로 끌어올릴 계획입니다.
실제로 정보보호 체계 개선에 성과도 입증했습니다. 롯데카드는 이달 초에 국내 카드사 중 최초로 통신 3사의 인공지능(AI) 기반 보이스피싱 탐지 솔루션(SIRPASS·서패스)를 롯데카드의 이상거래탐지시스템(FDS)와 연계해 보이스피싱 피해 예방 체계를 강화했습니다. 지난해 7월부터 올해 5월까지 예방한 보이스피싱 피해 규모만 3억2000만원 상당에 달한 것으로 알려졌습니다.
(뉴스토마토)
정보유출 과징금·손해배상에 홈플러스 채권도 '발목'
롯데카드는 지난해 7월 말부터 8월 사이 해킹으로 인해 297만명 개인정보가 유출되는 사고가 발생했습니다. 유출 피해 고객 중 28만명은 카드번호와 보안코드(CVC) 등 민감정보가 포함됐고, 개인정보보호위원회 조사 결과 45만명은 주민등록번호까지 유출된 것으로 확인됐습니다. 이 일로 결국 조좌진 전 대표는 대국민 사과 이후 사임했습니다.
개보위는 지난 3월11일 전체회의를 열고 롯데카드에 주민번호 처리 의무 위반과 암호화 조치 미흡에 대해 과징금 96억2000만원과 과태료 480만원을 부과했습니다. 이어 지난 4월 말에는 금융감독원이 영업정지 4.5개월과 과징금 50억원, 조좌진 전 대표에 ‘문책경고’ 등을 내리는 제재안을 결정하고 금융위로 최종 의결을 넘겼습니다. 금융위의 결정은 오는 31일 예정됐습니다.
업계에서는 롯데카드의 금융위 제재가 확정되면 매달 약 50억원의 손실이 발생될 것으로 추정합니다. 4.5개월의 영업정지가 진행될 동안 단순 손실 규모는 250억원에 달할 것으로 예상됩니다. 카드업계에선 해킹 사고로 영업이 제한되는 첫 사례가 되는 불명예도 안게 됩니다.
게다가 정보유출 사태로 진행되는 손해배상 소송 향방에 따라 일부 손실이 확대될 여지도 있는 상황입니다. 약 2725명의 개인정보 유출 피해 손해배상 공동소송의 변론기일이 지난달 시작됐습니다. 피해자들은 롯데카드의 보안 관리 소홀 책임을 물어 1인당 50만원의 손해배상액을 요구하고 있으며, 이들의 대리인으로 나선 법무법인 도울은 지난해 10월 소송인단을 모집해 소송을 제기했습니다. 가정한 손해배상액만 13억6250만원에 달합니다.
설상가상 홈플러스 사태로 미회수 채권에 대한 손실에도 이미 많은 비용을 투입했습니다. 홈플러스 회생계획안에 포함된 기업구매전용카드채권과 매입채무유동화채권은 총 4811억원인데, 롯데카드가 2286억원으로 가장 많은 비중을 차지하고 있습니다.
홈플러스의 회생절차가 장기화하면서 2020년부터 구매전용카드 이용계약을 맺고 협력업체 물품대금을 선결제 했던 롯데카드가 지급한 자금을 회수할 수 있을지 불투명한 상황입니다. 롯데카드는 채권 793억원 가운데 204억원을 대손충당금으로, 나머지 589억원을 대손준비금으로 적립해 뒀습니다. 당장의 타격은 막았지만, 개보위와 금융당국의 과징금 약 160억원에 대한 대비가 필요한 상황에서의 출혈로 적잖은 파장이 있을 것으로 보입니다.
카드업계 관계자는 "롯데카드는 정보 유출 사고에 따른 과징금과 영업정지에 더해 손해배상 소송 결과에 따른 추가 비용 가능성, 홈플러스 관련 미회수 채권 부담까지 여러 변수가 동시에 존재하는 상황"이라며 "보안 투자 확대까지 병행해야 하는 만큼 당분간 비용 관리가 중요한 과제가 될 것 같다"고 말했습니다.
롯데카드의 대표 브랜드 로카 CI(왼쪽)와 롯데카드 사옥. (사진=뉴시스, 챗GPT 합성)
신수정 기자 newcrystal@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지