조좌진 롯데카드 대표 대고객 사과…해킹은 예고된 인재?

[사진=롯데카드]

[필드뉴스 = 유호석 기자] 최근 발생한 롯데카드 해킹 사고와 관련, 조좌진 대표이사가 직접 사과문을 올린 가운데, 일각에서는 예고된 인재가 아니냐는 설이 돌고 있다. 보안인력도 타사 대비 적었던데다, 회사가 정보보호 투자 비중을 매년 줄여왔던 것이 드러나면서 사고가 나올 수 밖에 없었던게 아니냐는 지적이다.

4일 조좌진 롯데카드 대표이사는 "최근 발생한 저희 회사의 사이버 침해 사고로 인해 고객 여러분들께 많은 불편과 심려를 끼쳐드린 점, 대표이사로서 무거운 책임을 통감하며 머리 숙여 깊이 사과 드린다"면서 대고객 사과문을 발표했다.

조 대표는 "이번 사태는 저희 회사의 보안 관리가 미흡했던 데에서 비롯된 것이며, 그에 따른 모든 책임은 저와 롯데카드에 있다"면서 "고객 여러분의 소중한 개인정보를 관리하는 시스템에 외부 해킹에 의한 침투가 있었다는 것만으로도 변명의 여지가 없다"고 했다.

이어 "현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았다"면서도 "현재 저희들은 고객 피해 예방을 최우선으로 이번 사고로 인한 고객 불안을 조금이라도 덜어 드리고, 혹시라도 있을지 모를 피해 예방을 위해 전사적 비상대응체계를 가동하고 있다"고 설명했다.

이어 "만에 하나라도 있을 수 있을 피해를 적극적이고 사전적으로 예방한다는 차원에서, 외부 침입이 있었던 시기에 해당 서버를 통해 온라인 결제를 하셨던 고객분들에 대해서는 최우선적으로 카드를 재발급하는 조치를 즉각 진행하다"며 "혹시라도 이번 침해 사고로 인해 발생한 피해에 대해서는 저희 롯데카드가 책임지고 전액을 보상해 드릴 것을 대표이사로서 고객 여러분께 약속 드린다"고 했다.

조 대표는 "이번 사건을 계기로 다시는 이러한 일이 발생하지 않도록, 제 모든 책임을 다해 회사의 변화를 이끌어 나가겠다"면서 "심려를 끼쳐드린 점 깊이 사과 드리며, 고객 여러분의 신뢰를 되찾기 위해 최선을 다하겠다"고 덧붙였다.

다만 시장에서는 언제고 롯데카드에 일어날 수 밖에 없던 일이 아니냐는 지적이다. 조 대표가 대고객 사과문에서 "보안 관리가 미흡했던 데에서 비롯된 것"이라고 해명했듯, 정보보호 투자 비중 감소 문제, 타사 대비 적은 보안 인력, 지난해에도 금융당국으로부터 전산 문제로 과태료를 부과받은 사건 등이 있었기 때문이다.

롯데카드가 지난해 5월 공개한 '지속가능경영보고서'를 보면 이 회사의 IT 예산 대비 정보보호 투자 비중은 2021년 12%에서 2022년 10%, 2023년 8%로 매년 감소했다.

또한 금융감독원이 공공데이터포털에 공개한 자료에 따르면 2022년 9월 기준 롯데카드의 정보보호인력은 78명으로 전체 인력 1446명의 5%에 불과했다. 8개 카드사 중 가장 적은 숫자다. 타 카드사들은 100~300여명의 IT 인력을 보유했다. 롯데카드 홀로 IT 인력이 두자릿수였다.

심지어 롯데카드는 지난해 8월 2일 신용정보전산시스템의 안전보호 위반으로 금융당국으로부터 기관주의와 3600만원의 과태료도 부과받은 것으로 나타났다.

금융감독원의 '금융회사 경영유의사항' 공시에 따르면 롯데카드는 지난 2022년 6월 14일부터 16일까지 이틀간 본인인증에 필요한 필수 전문이 누락된 상태로 개발한 프로그램을 신규 모바일 앱에 반영했다.

이로 인해 모바일 앱의 휴대폰 본인인증 서비스를 27분간 운영하는 과정에서 이용자의 인증정보가 다른 이용자에게 잘못 매칭돼 롯데카드를 보유한 고객들의 카드결제 내역등이 포함된 개인신용정보가 열람권한이 없는 각각 다른 고객에게 노출된 적이 있다.

이 같은 문제들과 관련, 롯데카드 관계자는 예산 집행 금액 자체는 매년 늘어났으며, 인력 또한 증가 추세라고 해명했다. 2022년 금액기준으로 927억9000만원이었던 IT·정보보호 예산은 2023년에 1066억9000만원으로 늘었고, 2024년(1193억원)에도 늘었으며, 올해는 1246억8000만원이 예산으로 잡혀 있다는 설명이다.

특히 이 중에서 정보보호 예산은 2022년만 해도 88억5000만원에 불과했으나, 매년 늘려가고 있어 올해에는 128억1000만원까지 늘었다고 했다. 다만 올해 정보보호 예산은 전체 IT 예산의 10%에 불과하다. 비중만 놓고 보면 2023년보다는 늘어난 것이나, 2021년(12%)에는 미치지 못한다.

인력 문제 또한 2022년에는 65명에 불과했으나, 2023년에는 98명, 2024년에는 132명, 올해는 150명까지 늘었으며, 이 중 내부 정보보호 인력은 23명에서 30명으로 증가한 상황이라고 설명했다.

한편 이재명 대통령은 이날 용산 대통령실에서 열린 수석보좌관회의 모두발언을 통해 "통신사와 금융사의 해킹 사고가 이어지고 있어 국민들이 매우 불안해하고 있다"면서 "해킹 보안사고 반복 기업에 징벌적 과징금 등 강력한 대처를 해야한다"고 일침을 놨다.

<저작권자 Copyright ⓒ 필드뉴스 무단전재 및 재배포 금지>