30일 금융권에 따르면 금융위원회는 지난달 25일과 이달 23일 두 차례 안건검토소위원회를 열어 롯데카드 제재안을 논의했다. 금융위는 31일 정례회의에서 제재안을 의결할 전망이다.
금감원은 지난 4월 제재심의위원회를 열어 롯데카드에 영업정지 4.5개월과 과징금 50억원을 부과하는 안을 의결했다. 사고 당시 대표였던 조좌진 전 대표에게는 문책경고를 내리기로 했다. 금융위가 원안을 확정하면 롯데카드는 일정 기간 신규 회원 모집과 카드 발급, 카드론 등 일부 신규 영업이 제한된다.
━
2014년 정보 반출과 외부 해킹…반복 위반 놓고 공방━
최대 쟁점은 2014년 고객정보 유출 사고를 이번 해킹의 반복 위반으로 볼 수 있는지다. 롯데카드는 당시 KB국민카드·NH농협카드와 함께 3개월 일부 영업정지를 받았다. 금융권에서는 금감원이 이를 과거 위반 이력으로 판단해 영업정지 기간을 50% 가중한 것으로 보고 있다.다만 두 사고의 발생 방식은 다르다. 2014년에는 카드사 전산망에 접근 권한이 있던 신용평가사 파견 직원이 USB로 고객정보를 반출했지만 이번에는 외부 공격자가 온라인 결제 시스템에 침투했다. 롯데카드는 이 같은 차이를 고려하지 않고 동일한 위반의 반복으로 판단하는 것은 과도하다는 입장이다. 외부 해킹 사고를 이유로 금융회사에 영업정지를 부과한 전례가 사실상 없다는 점도 소명한 것으로 전해졌다.
한 금융권 관계자는 "2014년 사고는 접근 권한을 가진 사람이 정보를 고의로 빼낸 사건이지만 이번 사고는 외부 해킹에 따른 침입"이라며 "두 사안을 동일 선상에서 보고 가중 처벌하는 것은 신중할 필요가 있다"고 말했다. 이어 "과거 해킹 사고에는 기관경고나 주의 수준의 조치가 내려진 경우가 많았다"고 덧붙였다.
롯데카드는 사고 이후 카드 재발급과 고객보상, 부정사용 방지 조치에 나섰고 현재까지 직접적인 2차 피해가 확인되지 않았다는 점도 감경 사유로 제시한 것으로 전해졌다. 정보보호 조직과 투자를 확대했고 개인정보보호위원회 등 다른 기관에서 이미 별도 제재를 받은 점도 고려해야 한다는 주장이다.
━
당국은 관리 책임 강조…영업정지 땐 실적 타격━
금융당국은 외부 해킹이라는 이유만으로 회사 책임이 가벼워지는 것은 아니라는 입장이다. 해킹 자체보다 공격의 통로가 된 보안 취약점을 제대로 관리했는지 고객정보를 불필요하게 보관하거나 암호화하지 않았는지, 사고를 신속하게 탐지하고 신고했는지를 종합적으로 따져야 한다는 것이다.이번 사고로 약 297만명의 개인신용정보가 유출됐다. 이 가운데 약 45만명은 주민등록번호, 약 28만명은 카드번호와 유효기간, CVC 등 결제 관련 정보까지 노출된 것으로 파악됐다. 금융당국은 유출 규모와 정보의 민감성, 보안 관리 미흡 등을 고려하면 중징계가 불가피하다고 보는 분위기다.
시장의 관심은 과징금보다 영업정지의 실질적인 영향에 쏠린다. NICE신용평가에 따르면 롯데카드는 2014년 영업정지 당시 실질회원 수가 803만명에서 720만명으로 줄었고 총카드 이용실적 점유율도 8.1%에서 7.7%로 하락했다.
김상봉 한성대학교 경제학과 교수는 "과징금보다 중요한 건 영업정지 여부"라며 "영업정지는 신규 회원 유입을 막기 때문에 카드사 입장에서는 실질적인 매출 감소로 이어질 수밖에 없다"고 말했다. 이어 "카드사 매출 구조상 신규 유입 비중을 감안하면 영업정지 기간 동안 수백억원 규모의 매출 공백이 발생할 수 있다"고 설명했다.
이번 결정은 롯데카드뿐 아니라 향후 금융권 해킹 사고의 제재 수위를 정하는 기준으로 작용할 가능성이 있다. 한 금융권 관계자는 "사이버 공격을 받은 금융회사에도 관리 책임을 엄격히 물어야 한다는 당국 취지에는 공감할 수 있다"면서도 "내부자에 의한 고의적인 정보 반출과 외부 해킹을 같은 반복 위반으로 볼 수 있는지는 신중하게 판단할 필요가 있다"고 말했다.
<저작권자 © ‘존중받는 개인, 부강한 대한민국’ 시대, 무단전재 및 재배포 금지>