해킹으로 인한 금융사 업무정지라는 전례 없는 제재가 롯데카드에 내려졌다. 금융위원회가 오늘(31일) 고객 297만명의 정보유출 사고를 일으킨 롯데카드에 1.5개월 업무정지와 과징금 50억원을 부과했지만, 당초 금융감독원 제재안에서 3개월이나 감경된 처분이어서 그 배경과 파장이 주목된다.
금융위원회는 이날 정례회의를 열고 롯데카드에 대한 최종 제재를 의결했다. 이는 지난해 9월 1일 발생한 해킹 사고로 고객 정보 297만건이 유출된 데 따른 것이다. 금융위는 롯데카드에 다음 달 1일부터 9월 15일까지 1.5개월간 신규 회원 모집 업무정지를 명령하고, 과징금 50억원을 부과했다. 해킹으로 정보가 유출된 금융사에 업무정지 제재가 내려진 것은 이번이 최초 사례다.
이번 사고는 2025년 9월 1일 롯데카드 전산망에 대한 외부 해킹으로 발생했다. 당시 롯데카드는 다수의 보안 의무를 위반한 것으로 드러났다. 시스템 미패치, 중요 정보 암호화 미이행, 백신 미설치 등 기본적인 보안 관리가 소홀했다는 지적이다.
금융위의 이번 결정은 당초 금융감독원이 권고했던 4.5개월 업무정지안보다 3개월 감경된 것으로, 제재 수위를 놓고 금융당국 내부의 깊은 고심이 있었음을 시사한다. 특히 롯데카드는 2014년 직원 정보유출 사고로 3개월 영업정지를 받은 전례가 있어 '반복 위반' 논란이 제기되기도 했다.
그러나 금융위는 「기존 제재 사례와의 형평성, 사측의 사후 수습 노력, 금융시장 및 소비자 영향」 등을 종합적으로 고려해 감경했다고 밝혔다. 한 금융당국 관계자는 '해킹으로 인한 영업정지 사례는 세계적으로도 찾기 어려운 강력한 제재'라며 금융위의 고충을 내비쳤다. 조좌진 전 롯데카드 대표에 대한 문책 경고 조치는 금융감독원 전결사항으로 확정됐다.
[사진=연합뉴스]
롯데카드의 업무정지 기간은 2026년 8월 1일부터 9월 15일까지다. 이 기간 동안 롯데카드는 신규 회원 모집이 전면 제한된다. 다만 기존 회원들은 카드 사용 및 제반 서비스 이용에 어떠한 영향도 받지 않는다. 또한, 국가적 재난 상황 발생 시 정부 및 공공기관의 요청에 따라 공공 목적으로 카드를 발급하는 등 예외적인 경우는 허용된다.
금융당국은 이번 사태를 계기로 금융권 사이버 보안 관리 체계를 강화하기 위한 후속 대책 마련에 나선다는 방침이다. 위법 행위에 대한 징벌적 과징금 상향(전체 매출액의 3% 이내)과 CISO(정보보호 최고책임자)의 독립성과 권한 강화 등을 골자로 하는 전자금융거래법 개정안 추진 의지를 밝혔다.
한편, 롯데그룹은 MBK파트너스가 롯데카드를 인수한 지 10년 가까이 됐음에도 '롯데' 브랜드 사용으로 이번 사태에 따른 유무형의 피해를 입은 것으로 알려졌다. 이는 지분 20%를 보유한 롯데쇼핑 등 롯데그룹 전반에 영향을 미칠 수 있다는 분석이다.
이번 롯데카드 제재는 해킹 등 갈수록 고도화되는 사이버 위협에 대한 금융권 전반의 보안 경각심을 높이는 중요한 계기가 되어야 한다. 금융당국이 추진하는 전자금융거래법 개정안 통과 지원 등 보안 관리 체계 강화 노력이 차질 없이 진행되어, 향후 유사 사고 재발 방지 및 금융소비자 보호가 최우선 과제로 자리매김해야 할 것이다.
