서울 종로구 롯데카드 본사 /사진 제공=롯데카드
롯데카드 해킹 사태를 둘러싼 제재 심의와 관련해 금융당국의 장고가 예상된다. 롯데카드 측에 사전 통보한 4개월 반의 영업정지 처분에 관한 타당성을 놓고 논란이 일면서다. 당국 내부적으로 쉽게 결론짓지 못하는 분위기가 감지된다.
사태 제재 수위를 결정할 핵심 포인트는 개인정보 유출의 주체다. 롯데카드의 경우 외부 해킹에 따른 사고였던 게 주지의 사실인데, 이를 내부통제가 미흡했다고 일축하기가 어렵다는 시각도 비쳐진다. 전 세계적인 인공지능(AI) 활성화에 따른 사이버 공격의 기술과 수준이 나날이 진화하고 있는 점도 고려해야 할 대상이다. 일각에서는 "해킹 사태에 초점을 맞출 게 아니라 '사후 복원력'에 무게를 둬야 한다"는 목소리도 나온다.
징계 수위 고심…추가 법리 검토 이어질 듯
23일 금융권에 따르면 금감원은 16일 제재심의위원회에서 롯데카드 제재 안건을 상정했으나 최종 결론을 내지 못했다. 위원들 사이에서 일부 사안에 대한 법리 검토가 더 필요하다는 의견이 나온 것으로 알려졌다. 통상 제재심이 한 달에 2회 열리는 것을 고려하면 5월 중 재논의가 이뤄질 것으로 예상된다.
금감원은 지난해 9월 롯데카드의 개인정보 유출 사태가 벌어진 뒤 현장검사 등을 거쳐 제재 논의에 착수했다. 현재 잠정적으로 내려진 결과는 4개월 반의 영업정지와 50억원의 과징금 부과다. 영업정지 기간의 경우 관련 법에서 규정하는 최대 수위(6개월)보다는 낮지만 상당한 부담을 느낄 수 있는 중징계에 해당한다.
영업정지가 확정되면 회원 모집과 신용카드 발급, 대출 등의 활동이 모두 제한된다. 카드사 본업과 관련한 신규 영업 없이 사실상 '현상 유지'만 가능한 셈이다. 이 경우 신용판매 시장 내 점유율 하락과 수익성 둔화는 불가피하다. 이미 롯데카드는 지난해 말 해킹 사태와 관련한 일회성 비용을 반영하며 실적이 뒷걸음질쳤다.
금감원이 제재심에서 제재안을 정하면 금융위원회 의결을 거쳐 최종 확정된다. 롯데카드는 이 기간 적극적인 소명으로 제재 수위를 낮추는 데 주력할 것으로 예상된다. 최고경영자(CEO)가 직접 사태 수습에 앞장서고 피해 고객 보상과 2차 피해 방지 등의 노력을 기울인 점을 피력 중인 것으로 전해졌다.
왼쪽부터 금융감독원 전경과 금융위원회 현판 /사진=블로터 DB
AI 시대, 해킹의 '완벽한 예방'은 허구
롯데카드 해킹 사태는 금융권 보안 체계에 또 다른 과제를 안겼다. 과거에는 주로 내부 직원의 일탈로 개인정보 유출 사태가 발생했지만 최근 들어서는 외부 공격 시도가 활발해지고 있기 때문이다. 특히 AI 기술이 고도화되며 해킹의 속도와 방식이 근본적으로 달라졌다는 평가도 나온다.
글로벌 컨설팅 업체 PwC가 발간한 '2026년 글로벌 사이버 위협' 보고서에 따르면 AI를 기반으로 한 해킹 도구의 무기화 속도는 2025년 대비 10배 이상 빨라졌다. 또 국내에서는 전자적 침해(해킹·디도스 등)가 2023년 6114만건에서 2024년 7280만건으로 증가했다는 통계도 있다.
금융사는 고객의 신용과 거래 정보를 보유하고 있기 때문에 해킹 공격의 표적이 된다. 업계 안팎에서는 앞으로 사이버 공격을 완벽히 예방하는 것은 불가능할 것이라는 목소리도 나온다. 이를 대비해 가장 중요한 것은 사후 복원력이 지목된다. 사고를 완벽히 막지는 못했더라도 얼마나 투명하고 빠르게 복구하느냐에 따라 시장의 신뢰가 좌우될 수 있다는 뜻이다.
금융권 관계자는 "사고를 미리 예방하지 못한 것에 대한 책임을 기업에게 묻는 것은 당연하다"면서도 "사고 후 고객을 보호하고 빠르게 회복한 기업에 대해서는 평가를 거쳐 인센티브를 부여하는 등의 정책도 필요하다"고 말했다.
구글 제미나이의 도움을 받아 시각화하고 기자가 최종 검토·확인해 제작한 그래픽입니다. 그래픽에 포함된 데이터와 내용은 기자가 직접 취재한 결과물입니다.
"끝까지 책임"... 수습 노력 인정되는 기류
당국도 롯데카드가 보여 온 해킹 사태 수습의 노력을 고려할 것으로 예상된다. 사안을 축소·은폐하지 않고 신속한 초동 조치 덕분에 2차 피해는 발생하지 않았다. 피해 가능성이 있는 고객군별로 맞춤형 보호 조치를 실시한 것이 주효했다. 이는 보안 사고가 곧 기업의 신인도 하락으로 직결된다는 고정관념을 깬 사례로 평가된다.
롯데카드의 대응 방향은 유럽연합(EU)이 2025년부터 시행한 '디지털운영복원력법(DORA)' 취지와 맞닿아 있다. DORA는 정보기술(IT) 위험 관리와 사고 보고, 디지털 복원력을 중점적으로 보는 것이 핵심이다. 사고 자체보다 사고 후의 '회복 능력'을 법적 기준으로 삼는다. 처벌 위주의 규제는 오히려 보안 사각지대를 키울 수 있다는 지적도 반영됐다.
이번 롯데카드에 대한 제재 수위는 사이버 침해 사고 대응의 기준선을 재정립하는 계기로 작용할 전망이다. 금융권 보안 패러다임 변화에 맞춰 감독·지도·제재 정책도 한 단계 더 고도화해야 한다는 목소리에 힘이 실리고 있다. 사고 이후 재발 방지책을 얼마나 현실적으로 설계하느냐가 향후 고객의 신뢰 회복과 보안 선진화를 좌우할 수 있기 때문이다.
금융권 관계자는 "금융사에 대한 사이버 공격이 불가항력 수준까지 고도화되면 현재의 보안 체계나 정책으로는 감당하기 어려운 수준에 이를 것"이라며 "앞으로는 얼마나 빨리 모니터링하며 신속한 보고와 효과적인 수습 대책을 마련하고 실행하는지가 더 중요해질 것"이라고 말했다.
댓글
0