금융위원회가 해킹으로 고객 297만 명의 신용정보가 유출된 롯데카드에 대해 1.5개월 업무정지와 과징금 50억 원 부과를 의결했다.
금융위는 31일 오후 정례회의를 열고 롯데카드에 대해 이같은 최종 제재 수위를 확정했다. 롯데카드는 지난해 9월 1일 해킹 침해사고로 인한 정보 유출 사실을 금융당국에 신고했다. 이에 따라 금감원은 지난해 9월부터 10월까지 검사를 진행했다.
금감원 검사 결과 롯데카드는 온라인 결제시스템 운영 과정에서 보안 패치 미실시, 주민등록번호·비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 보안 의무를 위반한 것으로 확인됐다. 해킹 사고에 대해 업무정지 처분이 내려진 것은 이번이 처음이다.
업무정지는 8월 1일부터 9월 15일까지 적용된다. 기존 회원은 교체발급, 카드론·현금서비스·리볼빙 신규 신청, 이용한도 증액 등 카드 관련 서비스를 정상 이용할 수 있다. 신규 회원의 신용·체크·선불카드 발급만 금지된다.
금융당국은 중대한 보안사고 발생 시 전체 매출액의 3% 이내 징벌적 과징금을 부과하고 정보보호최고책임자(CISO) 권한을 강화하는 내용의 전자금융거래법 개정안의 국회 통과를 적극 지원할 방침이다.
앞서 금감원은 지난 4월 두 차례 제재심의위원회를 거쳐 롯데카드에 영업정지 4.5개월과 과징금 50억 원, 조 좌진 전 대표 문책 경고 등이 담긴 제재안을 결정한 바 있다. 애초 금융당국이 정보유출 사고에 대한 '일벌백계'를 강조해 왔던 만큼 롯데카드에 강도 높은 중징계가 내려질 것이라는 관측이 지배적이었다.
하지만 금융위는 롯데카드가 사고 발생 직후 적극적으로 수습에 나선 데다, 추가 2차 피해가 발생하지 않은 점 등을 참작했다. 금융위는 두 차례의 안건검토소위원회에서 금감원부터 넘겨받은 제재안의 타당성을 검토해 최종적으로 영업정지 기간을 대폭 줄였다.
금융위 관계자는 "해킹 사고에 대해서는 최초로 업무 정치 처분을 부과하고 신용정보법 위반에 따른 과징금 50억 원을 부과했다"고 밝혔다. 다만 "업무정지 기간은 기존 제재 사례와의 형평성, 회사 측의 사후 수습 노력, 금융시장 및 금융소비자 영향 등 다양한 측면을 고려해 1.5개월로 의결했다"고 부연했다.
롯데카드는 피해 최소화를 위해 신속한 고객 안내와 보상 절차를 진행하는 한편, 향후 사고 재발 방지를 위해 정보보호 조직을 강화하는 조직개편과 인적 쇄신을 단행했다.