롯데카드 “297만명 정보유출… 28만명은 CVC도 털렸다”

해킹사고로 회원 30% 피해
“28만명 정보 부정사용 가능성
피해 발생땐 전액 보상할 것”

조좌진 롯데카드 대표이사 사장 등이 18일 서울 중구 부영태평빌딩 컨벤션홀에서 열린 언론 브리핑에서 롯데카드 대규모 해킹 사고 관련 대고객 사과를 하고 있다. 전영한 기자 scoopjyh@donga.com

롯데카드 해킹 사고 조사 결과 약 960만 명의 회원 가운데 297만 명의 정보가 유출된 것으로 확인됐다. 특히 이중 28만 명은 카드번호·유효기간·CVC 번호 등 핵심 결제정보가 유출돼 부정 사용 위험이 있는 것으로 파악됐다. 롯데카드 조좌진 대표는 “죄송하다”며 대국민 사과를 했다.

롯데카드는 18일 “고객정보 유출 사실이 확인돼 알려드린다”며 “정보가 유출된 총 회원 규모는 297만 명”이라고 밝혔다.

롯데카드에 따르면 유출된 정보는 7월 22부터 8월 27일까지 온라인 결제 과정에서 생성·수집된 데이터로, ▲연계 정보(CI) ▲주민등록번호 ▲가상 결제코드 ▲내부 식별번호 ▲간편결제 서비스 종류 등이다. 롯데카드 측은 “오프라인 결제와는 무관하다”고 밝혔다. 회원별 유출 정보는 롯데카드 홈페이지의 ‘개인신용정보 유출 여부 확인’에서 조회할 수 있다. 이와 함께 롯데카드는 정보가 유출된 회원에게 개별 안내메시지를 발송하고 있다.

(롯데카드 어플리케이션 ‘디지로카’ 화면 갈무리)

유출된 고객 중 269만 명의 경우 CI, 가상 결제코드 등이 유출된 것으로 확인됐다. 롯데카드 측은 “해당 정보만으로는 카드 부정사용이 불가능하다”며 “카드 재발급을 진행하지 않아도 된다”고 안내했다.

카드 부정 사용이 발생할 가능성이 있는 고객은 총 28만 명으로, 유출 정보 범위는 카드번호, 유효기간, CVC 번호 등이다.

이중 CVC(Card Validation Code) 번호는 보통 신용카드 뒷면에 표기된 세 자리 숫자다. 보안을 목적으로 기재된 숫자인데 온라인 결제를 할 때 필요한 경우가 많다.

롯데카드는 다만 현재까지 실제 부정 사용 사례가 확인되지는 않았다는 입장이다. 롯데카드 측은 “재발급 안내 문자를 추가로 발송하고, 안내전화도 병행해 ‘카드 재발급’ 조치가 최우선적으로 이뤄지도록 하겠다”고 강조했다.

롯데카드 측은 이번 해킹 사고로 인해 발생한 피해에 대해서는 피해액 전액을 보상한다는 방침이다. 고객정보 유출로 인한 2차 피해에 대해서도 연관성이 확인된 경우 전액 보상하겠다고 밝혔다.

롯데카드는 피해 보상 방안의 일환으로 정보가 유출된 회원 전원에게 연말까지 금액과 관계없이 무이자 10개월 할부 서비스를 무료로 제공하겠다고 밝혔다. 또 피싱, 해킹 등의 금융사기 또는 사이버 협박에 의한 손해 발생 시 보상해 주는 금융피해 보상 서비스 ‘크레딧케어’도 연말까지 무료로 제공할 방침이다. 카드사용 내역을 실시간 확인할 수 있는 카드사용 알림서비스도 연말까지 무료로 제공하겠다고 했다. 특히 최우선 재발급 대상이 되는 회원 28만 명에게는 카드 재발급 시 내년도 연회비를 한도 없이 면제하겠다고 했다.

조좌진 롯데카드 대표이사가 18일 서울 중구 부영태평빌딩 컨벤션홀에서 열린 언론 브리핑에서 롯데카드 대규모 해킹 사고 관련 대국민 사과문을 발표하고 있다. 전영한 기자 scoopjyh@donga.com

대대적인 인적쇄신도 약속했다. 롯데카드 측은 ”현재의 기능 중심적으로 구성된 조직을 고객 중심, 고객가치 중심, 고객보호 중심으로 대전환 시키도록 할 것“이라며 ”대표이사를 포함해 대대적인 인적쇄신을 연말까지 완료하겠다“고 했다.

정보보호 관련 투자도 확대한다는 방침이다. 향후 5년간 1100억 원의 투자를 집행해 정보보호 예산 비중을 업계 최고 수준인 15%까지 늘린다는 계획이다. 이를 통해 자체 보안관제 체계를 구축해 24시간 실시간 통합보안 관제체계를 강화하고, 전담 레드팀을 신설해 해커의 침입을 가정한 예방 활동을 상시화하겠다고 설명했다. 현재의 전사 IT 시스템 인프라를 정보보호 중심으로 전면 개편하겠다고도 했다.

앞서 롯데카드는 지난달 31일 온라인 결제 서버에서 외부 해커의 정보 반출 시도 흔적을 발견하고, 이달 1일 금융당국에 해킹 사실을 신고했다. 이후 금융감독원, 금융보안원 등이 해킹 사고를 조사한 결과, 당초 보고된 수준의 약 100배인 200GB(기가바이트)에 달하는 데이터가 유출된 것으로 파악됐다.

김혜린 기자 sinnala8@donga.com