롯데카드 8월 1일부터 신규 발급 정지 — 9월 15일까지, 쓰던 카드는 그대로

• 금융위원회가 7월 31일 정례회의에서 롯데카드에 업무정지 1.5개월과 과징금 50억 원을 확정했다. 정지가 걸리는 날짜는 8월 1일부터 9월 15일까지이고, 다섯 매체가 모두 같은 기간을 적었다.
• 멈추는 것은 새 회원에게 나가는 신용카드와 체크카드, 선불카드다. 이미 롯데카드를 쓰고 있으면 교체발급도, 카드론과 현금서비스 신규 신청도, 리볼빙도, 한도 증액도 그대로 된다(뉴스1·뉴시스·아시아경제).
• 금융감독원 원안은 영업정지 4.5개월이었는데 금융위를 거치며 기간만 3개월이 깎였고 과징금은 원안대로 남았다(뉴시스·헤럴드경제·아시아경제). 해킹을 이유로 금융회사 영업이 멈춘 것은 이번이 처음이다.

금융위원회가 7월 31일 제14차 정례회의를 열어 롯데카드에 대한 제재를 확정했다. 내용은 업무정지 1.5개월과 과징금 50억 원이다. 근거로 삼은 법은 여신전문금융업법, 그리고 신용정보의 이용 및 보호에 관한 법률 두 가지다(뉴스1·아시아경제). 정지가 걸리는 날짜는 8월 1일부터 9월 15일까지다. 노컷뉴스와 뉴시스, 헤럴드경제, 뉴스1, 아시아경제 다섯 곳이 모두 같은 기간을 적었다. 해킹을 이유로 금융회사 영업이 멈추는 처분이 나온 것은 이번이 처음이라는 설명도 다섯 곳 모두에 들어 있다.

출발점은 지난해 여름이다. 뉴시스와 뉴스1, 아시아경제는 지난해 8월 해커가 롯데카드를 뚫었고 고객 297만 명의 신용정보가 빠져나갔다고 전했다. 헤럴드경제는 같은 사고의 규모를 약 300만명으로 적었다. 회사가 이 사실을 금융당국에 알린 날은 지난해 9월 1일이다(노컷뉴스·뉴스1). 신고를 받은 금융감독원은 지난해 9월부터 10월까지 검사를 벌였다(노컷뉴스·뉴스1). 헤럴드경제는 이 기간을 약 한달이라고만 표현했다.

검사에서 걸린 것은 세 가지다. 바이러스 백신 소프트웨어가 깔려 있지 않았고, 주민등록번호와 비밀번호는 암호화되지 않은 채 놓여 있었으며, 정보처리시스템에는 보정 작업, 그러니까 보안 패치가 적용되지 않았다. 무대는 온라인 결제 쪽 시스템이었다. 이 세 가지가 여신전문금융업법과 신용정보법이 요구하는 보안 의무를 어긴 것으로 판정됐다. 노컷뉴스와 뉴시스는 이를 보안 패치 미실시로, 뉴스1과 헤럴드경제는 정보처리시스템 보정 작업 미실시로 표기했는데 가리키는 내용은 같다.

금감원이 처음 들고 온 안은 지금보다 훨씬 셌다. 올해 4월 제재심의위원회를 열어 영업정지 4.5개월, 과징금 50억 원, 여기에 조좌진 전 대표를 문책경고하는 안까지 함께 결정했다(노컷뉴스·헤럴드경제·아시아경제). 이 안이 금융위로 넘어가 안건검토소위원회와 회사 측 의견진술을 거치는 사이 정지 기간에서만 3개월이 깎였다. 과징금은 손대지 않고 원안 그대로 남았다고 아시아경제가 정리했다. 금융위가 밝힌 감경 근거는 세 갈래다. 비슷한 사건에 그동안 어떤 처분이 나갔는지, 회사가 사고 뒤 얼마나 수습에 매달렸는지, 이 처분이 금융시장과 금융소비자에게 어떤 파장을 남길지를 함께 놓고 저울질했다는 것이다.

매체마다 덧붙인 배경은 조금씩 다르다. 노컷뉴스는 금융위가 두 가지를 참작했다고 썼다. 롯데카드가 사고 직후 수습에 적극적으로 뛰었다는 것, 그리고 뒤따르는 2차 피해가 더 생기지 않았다는 것이다. 같은 기사는 금융위가 안건검토소위원회를 두 차례 열어 금감원에서 넘겨받은 제재안의 타당성을 따진 끝에 기간을 크게 줄였다고도 전했다. 헤럴드경제는 금융위원들 사이에서 해킹에 영업정지까지 물리는 것이 맞느냐는 말이 나왔다고 하면서, 해외에서도 해킹을 이유로 금융회사 영업을 세운 전례가 없다는 점이 감경에 작용했다고 덧붙였다. 노컷뉴스는 애초에 강도 높은 중징계가 나올 것이라는 관측이 지배적이었다고도 적었다.

사람에 대한 제재는 줄지 않았다. 조좌진 전 대표의 문책경고는 금감원이 정한 대로 확정됐다(뉴스1·헤럴드경제). 뉴스1은 퇴직 임원에 대한 주의와 경고, 문책 상당 등 일부 제재 권한이 여신전문금융업법에 따라 금융감독원장에게 위탁돼 있어 실제 조치는 금감원이 할 것으로 내다봤다. 헤럴드경제는 최고경영자 문책경고가 금감원장 전결 사안이라고 설명했다. 롯데카드는 같은 날 입장문을 내고 "금융당국의 결정을 겸허히 받아들인다"며 "이번 영업정지는 신규 영업 일부에 해당하는 조치"라고 밝혔다. 노컷뉴스에 따르면 회사는 고객에게 사실을 알리고 보상 절차를 밟으면서, 정보보호 조직을 키우는 조직개편과 인적 쇄신도 이미 마쳤다.

금융당국은 이번 사건을 계기로 제도도 손보겠다고 했다. 보안 사고가 크게 터지면 지금 수준을 넘어서는 징벌적 과징금을 물릴 수 있게 하고 그 상한을 전체 매출액의 3% 안쪽으로 두겠다는 것이 하나다. 다른 하나는 회사 안에서 보안을 총괄하는 정보보호최고책임자에게 더 큰 권한을 주는 것이다. 두 내용은 전자금융거래법 개정안에 담겨 있고, 당국은 이 법안이 국회를 넘도록 밀겠다고 했다. 업무정지가 걸린 동안 소비자 불편이 생기지 않는지도 계속 들여다보겠다는 계획을 뉴스1과 뉴시스, 아시아경제가 함께 전했다.

• 지난해 8월 — 해커가 롯데카드를 뚫었고 297만 명분의 신용정보가 빠져나갔다(뉴시스·뉴스1·아시아경제). 헤럴드경제는 약 300만명으로 적었다.
• 지난해 9월 1일 — 롯데카드가 정보를 털렸다는 사실을 금융당국에 신고했다(노컷뉴스·뉴스1).
• 지난해 9월~10월 — 금융감독원이 검사를 진행했다(노컷뉴스·뉴스1). 헤럴드경제는 약 한달로 표현했다.
• 올해 3월 11일 — 개인정보보호위원회가 전체회의에서 롯데카드에 과징금 96억2000만원과 과태료 480만원 부과를 의결했다(뉴시스 기사에 실린 사진 설명).
• 올해 4월 — 금감원 제재심의위원회에서 영업정지 4.5개월, 과징금 50억 원, 조좌진 전 대표 문책경고가 담긴 제재안이 결정됐다(노컷뉴스·헤럴드경제는 두 차례 개최, 뉴시스는 4월 말 건의로 표기).
• 7월 31일 — 금융위원회 제14차 정례회의에서 업무정지 1.5개월과 과징금 50억 원이 확정됐다. 조좌진 전 대표 문책경고도 그대로 유지됐다.
• 8월 1일 — 신규 회원 대상 신용·체크·선불카드 발급이 멈춘다.
• 9월 15일 — 업무정지가 끝나는 날로 다섯 매체가 모두 적은 날짜다. 이후 절차는 어느 기사에도 없다.

이번 결정에서 실제로 움직인 값은 하나다. 업무정지 기간이 4.5개월에서 1.5개월로 내려갔다. 과징금 50억 원은 금감원이 짜 온 원안 그대로 확정됐다. 아시아경제는 기간만 3개월 단축되고 과징금은 유지됐다고 정리했고, 뉴시스와 헤럴드경제도 감경 폭을 3개월로 적었다. 세 매체가 같은 값을 쓴 덕분에 감경 폭은 우리가 빼서 만든 값이 아니라 보도된 값이다.

유출 규모는 표기가 갈린다. 노컷뉴스와 뉴시스, 뉴스1, 아시아경제는 297만 명이라고 못 박았고 헤럴드경제는 약 300만명에 달하는 고객 정보라고 썼다. 두 값이 나란히 놓여 있다는 사실만 그대로 옮긴다. 어느 쪽이 금융위 자료의 원값인지 밝힌 기사는 없다.

이번 50억 원이 롯데카드가 이 사고로 맞은 첫 금전 제재는 아니다. 뉴시스는 개인정보보호위원회가 올해 3월 11일 전체회의를 열어 롯데카드에 과징금 96억2000만원과 과태료 480만원을 부과하기로 의결했다고 전했다. 이 수치는 해당 기사 본문이 아니라 함께 실린 사진 설명에 담겨 있다. 부과한 기관이 금융위원회가 아니라 개인정보보호위원회라는 점도 다르다.

앞으로 만들겠다는 징벌적 과징금의 상한선은 전체 매출액의 3% 이내다. 다섯 매체가 같은 수치를 적었다. 다만 이 제도는 아직 전자금융거래법 개정안 안에 들어 있는 내용이고, 당국은 국회 통과를 지원하겠다는 단계까지만 밝혔다. 법안이 언제 발의됐고 지금 어느 단계에 있는지는 다섯 기사 모두 다루지 않았다.

8월 1일과 9월 15일 사이에 롯데카드를 새로 만들려던 사람은 그 계획을 미뤄야 한다. 막히는 것은 새 회원에게 나가는 신용카드와 체크카드, 선불카드다. 다만 완전히 닫힌 것은 아니다. 뉴스1과 아시아경제는 공공목적 카드처럼 일부는 이 기간에도 발급된다고 적었다. 어떤 카드가 여기에 들어가는지 목록까지 밝힌 기사는 다섯 곳 중 어디에도 없다.

반대로 이미 롯데카드를 지갑에 넣고 다니는 사람은 달라지는 것이 없다. 카드를 잃어버리거나 기한이 차서 다시 받는 것도 되고, 카드론을 새로 신청하는 것도 되고, 현금서비스를 쓰는 것도 되고, 리볼빙을 거는 것도 되고, 쓰던 한도를 올리는 것도 된다(뉴스1·아시아경제). 뉴시스는 여기에 카드 결제 자체도 종전처럼 쓸 수 있다고 덧붙였다. 롯데카드도 입장문에서 이미 회원인 사람이 쓰는 데는 지장이 없다고 밝혔다. 금융위가 이렇게 범위를 좁힌 이유로 세 매체가 공통으로 든 것은, 사고에 잘못이 없는 고객이 불편을 떠안는 것은 바람직하지 않다는 판단이었다.

정작 297만 명 안에 내가 들어 있는지는 이번 다섯 기사로는 알 수 없다. 어떤 정보가 어디까지 새어 나갔는지, 본인 해당 여부를 어디서 확인하는지 안내한 문장이 없다. 노컷뉴스가 회사의 고객 안내와 보상 절차를 언급했을 뿐, 그 절차의 내용도 창구도 나오지 않는다. 지금 이 기사들만으로 각자 확인할 수 있는 것은 발급이 언제까지 막히는지, 쓰던 카드로 무엇이 되는지까지다.

확인된 것부터 추린다. 의결한 곳과 날짜(금융위원회, 7월 31일 정례회의), 처분 내용(업무정지 1.5개월과 과징금 50억 원), 적용 기간(8월 1일부터 9월 15일까지), 근거로 든 법 두 가지, 금감원 원안이 4.5개월이었고 3개월이 깎였다는 것, 조좌진 전 대표 문책경고가 유지됐다는 것, 검사에서 나온 보안 의무 위반 세 가지, 신규 발급만 막히고 기존 회원 서비스는 유지된다는 것, 공공목적 카드 같은 예외가 있다는 것, 앞으로 도입하겠다는 징벌적 과징금 상한 3%와 정보보호최고책임자 권한 강화까지는 모두 다섯 기사 본문에 있다.

확인되지 않은 것도 그만큼 많다. 유출된 신용정보가 어떤 항목이었는지, 297만 명 각자가 자신의 해당 여부를 어떻게 확인하는지는 다섯 기사 어디에도 없다. 롯데카드의 전체 회원 수도, 한 달에 몇 장을 새로 발급해 왔는지도, 이번 정지로 매출이 얼마나 줄어드는지도 나오지 않는다. 헤럴드경제가 경영상의 부담을 안게 됐다고 적었을 뿐 금액은 비어 있다. 9월 15일이 지난 뒤 발급이 어떤 절차로 다시 열리는지, 별도 신고나 승인이 필요한지도 확인되지 않았다.

사람과 회사 쪽도 마찬가지다. 조좌진 전 대표가 언제 물러났는지, 문책경고가 실제로 어떤 제약을 남기는지를 설명한 기사는 없다. 헤럴드경제가 전한 MBK파트너스의 매각 추진은 진행 상황과 시점, 가격이 모두 비어 있다. 개인정보보호위원회가 올해 3월에 매긴 과징금과 과태료에 대해 회사가 이의를 제기했는지, 행정소송으로 갔는지도 이번 기사들에는 나오지 않는다. 해커가 누구이고 수사가 어디까지 갔는지를 다룬 문장 역시 다섯 기사 중 어디에도 없다. 추가 2차 피해가 없었다는 서술은 금융위가 참작한 사유로 노컷뉴스가 전한 것이지, 별도 집계로 확인된 값은 아니다.

수치의 출처도 밝혀 둔다. 이 기사에 적힌 값은 금융위원회와 금융감독원의 보도자료 원문이 아니라 다섯 매체가 보도한 값이다. 원문 자료와 대조한 상태는 아니다.

• 9월 15일 이후 신규 발급이 실제로 다시 열리는지, 재개에 별도 절차가 붙는지. 다섯 기사는 종료 날짜까지만 담고 있다.
• 전자금융거래법 개정안이 국회를 통과하는지. 징벌적 과징금 상한 3%와 정보보호최고책임자 권한 강화는 아직 법안 단계다.
• 조좌진 전 대표에 대한 문책경고를 금융감독원이 언제 어떤 형식으로 집행하는지. 뉴스1은 위탁 규정에 따라 금감원이 조치할 것으로 내다봤다.
• 개인정보보호위원회가 올해 3월에 부과한 과징금 96억2000만원과 과태료 480만원이 이후 어떻게 되는지.
• 업무정지 기간에 소비자 불편이 실제로 접수되는지. 금융당국은 영향을 계속 모니터링하겠다고만 밝혔다.
• 헤럴드경제가 전한 MBK파트너스의 매각 추진이 이번 제재 뒤 어떻게 움직이는지.
• 유출된 정보의 항목과 본인 확인 방법이 공식 창구를 통해 안내되는지. 지금은 다섯 기사 모두 비어 있다.

이 기사는 다섯 건의 보도를 근거로 삼았다. 노컷뉴스(홍영선 기자, 7월 31일 17시 12분), 뉴시스(김민수 기자, 7월 31일 입력 17시 4분·수정 17시 36분), 헤럴드경제(서상혁·정호원 기자, 7월 31일 입력 17시 34분·수정 17시 37분), 뉴스1(윤수희·김도엽 기자, 7월 31일 입력 오후 5시 31분·수정 오후 5시 34분), 아시아경제(문채석 기자, 7월 31일 입력 17시 8분·수정 17시 18분)다.

개인정보보호위원회 제재 수치는 뉴시스 기사 본문이 아니라 같은 기사에 실린 사진 설명(배훈식 기자)에서 확인한 값이다.