'영업정지 1.5개월' 롯데카드, MBK 인수 후 정보보호 예산 비율 급감

(서울=뉴스1) 김도엽 기자 = 297만 명 해킹사고가 발생한 롯데카드의 총예산 대비 정보보호 예산 비율이 대주주 변경(MBK파트너스) 전후로 크게 감소한 것으로 나타났다.

해커 침입 경로인 '온라인 결제 서버'의 경우 교체 시점이 두 차례나 연기된 것으로도 드러났다. 경영진 등이 교체 연기에 따른 보안 공백이나 대체 통제 수단을 챙기지 않았다는 것이 감독당국의 판단이다.

3일 금융권에 따르면 금융감독원은 최근 롯데카드에 대한 경영유의사항 20건, 개선사항 34건을 공개했다. 지난해 11월 10일부터 롯데카드를 상대로 착수한 정기검사에 대한 금감원의 결론이다.

해킹 사고 당시 롯데카드는 당국으로부터 수시검사를 받았으며, 수시검사 종료 직후 금감원은 정기검사에도 나섰다. 정기검사에선 롯데카드에 대한 영업 전반과 함께 IT·정보보호 업무, 경영 실태 등 전방위적으로 들여다봤다.

그 결과 총체적인 부실이 있었다는 것이 금감원의 판단이다.

우선 롯데카드의 대주주가 MBK파트너스로 변경되기 전후 총예산 대비 정보보호 예산 비율이 반토막 수준으로 하락했다. MBK로 최대 주주가 변경된 2019년을 기점으로 2015~2019년에는 해당 비율이 0.55%였다면 2020~2024년에는 0.36%로 0.19%포인트(p) 감소했다.

정보보호 인력 비중도 2015~2019년 대비 2020~2024년엔 6.1%p 감소했다.

해커의 침입 루트로 활용된 온라인 결제 서버의 경우, 교체 시점이 두 차례나 연기된 것으로 드러났다. 경영진 및 리스크관리위원회는 보안 공백이나 대체 통제 수단을 면밀히 검토·승인하지도 않았다.

금융보안원 등 보안 권고에 대해 구체적인 위험도 분석 기준이나 조치 기한 설정 기준을 마련하지 않았으며, 취약점 조치 이력을 엑셀 등 수기 관리해 누락이나 검증이 제대로 이뤄지지도 않았다.

담당자 퇴직 등에 따른 업무 공백에도 인력확보·운용 방안이 마련되지 않아 신규 담당자에게 업무 인수인계 및 직무 교육도 실시되지 않았다.

정보보호부문 자체감사 실효성도 지적됐다. 회사 내규에 따라 정보보호 자체감시인을 지정·운영 중이나 점검 범위·방법 등에 대한 구체적인 기준이 마련돼 있지 않았다.

자체감사인은 미조치 취약점이 조치 완료 시까지 추적·관리되지 않는데도 개선 요구를 하지 않는 등 정보보호업무 수행의 적정성에 대한 검토도 충분히 이뤄지지 않았다.

한편 금융위원회는 297만 명의 신용정보가 유출된 롯데카드에 대해 '여신전문금융업법', '신용정보의 이용 및 보호에 관한 법률'에 따라 1.5개월 업무정지 및 과징금 50억 원 부과를 의결했다. 조좌진 전 대표의 문책경고 제재안도 그대로 확정했다.

doyeop@news1.kr