금융당국이 297만명의 개인정보가 유출된 롯데카드에 대해 영업정지 처분을 확정하면서 카드업계에 긴장감이 감돌고 있다. 외부 해킹 사고에 징계성 영업정지를 부과한 첫 사례로, 제재 심의를 앞둔 신한카드와 우리카드 등 타 카드사의 징계 수위에도 결정적 가이드라인이 될 전망이다.
◆ 롯데카드 영업정지 확정… 회원 이탈·수익성 악화 경고등
3일 금융권에 따르면 롯데카드는 금융위원회 의결에 따라 지난 1일부터 1.5개월간 신규 회원에 대한 신용·체크·선불카드 발급 업무가 전면 정지됐다. 기존 회원의 카드 결제와 카드론, 현금서비스, 리볼빙 등 기존 서비스는 정상 운용된다.
금융위는 지난달 31일 정례회의에서 롯데카드에 대해 업무정지 1.5개월과 과징금 50억원을 최종 확정했다. 지난해 발생한 고객 297만명의 개인정보 유출 사고에 대한 책임을 물은 조치다. 당초 금융감독원은 업무정지 4.5개월의 중징계를 통보했으나, 금융위는 기존 제재 사례와의 형평성과 회사의 사고 수습 노력, 소비자 영향을 종합 고려해 제재 수위를 낮췄다.
이번 제재로 롯데카드는 영업력 손실이 불가피해졌다. 한국기업평가는 이번 영업정지로 롯데카드 활성 회원의 약 2%인 13만여 명이 감소할 것으로 추산했다. 실제 롯데카드의 개인신용판매 점유율은 지난 6월 말 기준 8.85%로, 유출 사고 이전(지난해 8월, 9.19%) 대비 0.34%포인트 하락하며 이미 약세를 보이고 있다.
신용평가업계는 과거 2014년 카드사 정보유출 사태 때처럼 고객 이탈 방지와 점유율 회복을 위한 마케팅 비용 증가가 수익성 하락으로 이어질 수 있다고 분석했다.
◆ “외부 해킹이라도 보안 소홀하면 엄벌”…쟁점 다른 신한·우리카드 향방은
금융당국이 제시한 명확한 제재 기준에도 업계의 관심이 쏠린다. 금융위는 이번 처분에서 외부 해킹 자체보다 ‘보안 관리 의무 위반’을 엄격히 적용했다. 온라인 결제시스템 운영 과정에서의 보안 패치 미실시, 주민등록번호 및 비밀번호 암호화 미이행, 백신 프로그램 미설치 등 기초적인 보안 체계 소홀을 핵심 징계 사유로 꼽았다.
이 같은 엄정 대응 기조는 현재 제재 절차가 진행 중인 신한카드와 우리카드에도 그대로 적용될 가능성이 크다. 다만 두 회사는 외부 해킹이 아닌 내부 관계자를 통한 정보 유출이라는 점에서 롯데카드와 쟁점이 갈린다.
우리카드는 가맹점주 정보가 본인 동의 없이 마케팅 용도로 무단 활용된 사안이다. 이미 개인정보보호위원회로부터 ‘개인정보 보호법’ 위반으로 과징금 134억5100만원을 부과받았다. 금융당국 제재는 개보위와 별개로 진행되지만, 당초 수집 목적과 다르게 정보를 남용한 점은 당국의 관리 책임 추궁에서 불리하게 작용할 수 있다.
신한카드는 내부 직원의 개인정보 무단 제공 행위가 약 3년간 이어졌고, 공익제보를 통해 뒤늦게 알려졌다는 점에서 내부통제 부실 논란을 피하기 어렵다. 다만 유출 확인 후 모니터링 시스템 구축, 정보보호 조직 개편 등 사후 재발 방지 노력을 기울인 점은 감경 요인으로 고려될 여지가 있다.
금융당국 관계자는 “신한카드와 우리카드에 대한 검사는 마친 상태로 현재 사후 제재 절차를 진행 중”이라며 “법리 검토와 안건별 쟁점에 따라 제재 심의 순서는 달라질 수 있다”고 밝혔다.
노희선 온라인 기자 ahrfus31@segye.com
