오늘도 무사히 · 국내 정보보안 사고 타임라인

금융

롯데카드온라인 결제 서버 해킹, 297만 명 정보 유출

쉽게 말하면 결제 서버가 뚫려 롯데카드 회원 약 297만 명의 정보가 빠져나갔습니다.

8월 중순 결제 시스템 서버가 뚫렸고 롯데카드는 9월 1일 처음 신고했습니다. 처음 신고한 1.7GB가 조사 과정에서 200GB로 늘었고, 전체 회원 세 명 중 한 명꼴의 정보가 나갔습니다.

규모 약 297만 명현황 개인정보위 과징금 96억 원 부과, 금감원 제재심은 영업정지 4.5개월안(금융위 의결 예정)

영업정지 등은 금감원 제재심 의결안이며 금융위 의결 단계에서 조정될 수 있다고 보도됐습니다. 최종 확정 여부는 이 사이트의 조사 시점 이후 확인이 필요합니다.

내가 해당되는지 확인하기

롯데카드 회원

  • 롯데카드 공식 앱·홈페이지의 안내와 개별 안내를 확인하세요.

해당되거나 불안하다면

  • 계좌정보 통합관리서비스 payinfo.or.kr내 명의 계좌를 조회하고, 계좌 악용이 의심되면 일시 지급정지를 신청합니다.
  • 개인정보노출자 사고예방시스템 금융감독원 금융소비자정보포털 ‘파인’ 또는 은행 영업점등록하면 금융사에 전달되어 내 이름의 거래 때 본인확인을 더 신중히 합니다. 우려가 사라지면 같은 방법으로 해제합니다.
  • 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
  • 사칭 문자·전화가 늘 수 있으니 아래 ‘사칭 문자·전화 유형’을 함께 보세요.

확인된 사실

유출 규모
약 297만 명, 총 200GB(최초 신고는 1.7GB)
핵심 정보 유출
약 28만 3,000명은 카드 비밀번호와 CVC 등까지 포함
2차 피해
부정결제 피해는 확인되지 않았고 롯데카드는 피해 전액 보상을 발표
제재
개인정보위 과징금 96억 2,000만 원·과태료 480만 원, 금감원 제재심에서 영업정지 4.5개월·과징금 50억 원·전 대표 문책경고안 의결

경과

  1. 해킹 침해사고 발생(8월 12~15일경으로 보도가 엇갈림)
  2. 롯데카드가 금융위·금감원에 1.7GB 유출 신고
  3. 금융위 긴급 대책회의. 조사 결과 총 200GB, 296만 9,000명 유출로 확대. 조좌진 대표 대국민 사과공식 조치
  4. 개인정보위 조사 착수. 적용 법에 따라 과징금 상한이 800억 원대에서 50억 원까지 엇갈린다는 분석공식 조치
  5. 이 시점 보도에서 개인정보위 과징금 96억 2,000만 원이 이미 부과된 것으로 언급됨. 금감원은 영업정지 4.5개월 등 중징계안을 사전 통보공식 조치
  6. 금감원 제재심의위원회가 영업정지 4.5개월, 과징금 50억 원, 전 대표 문책경고를 의결. 이후 금융위 의결로 확정공식 조치

원인으로 지목된 것

  • 악성코드와 웹셸이 3개 서버에서 발견됨
  • 개인정보위는 온라인 결제 관련 로그에 주민등록번호를 포함한 개인정보를 평문으로 기록하고 로그 암호화 조치도 충분하지 않았다고 판단
  • 해킹에 의한 정보유출은 신용정보법상 과징금 상한이 50억 원이어서, 개인정보보호법(매출의 3%)과의 사이에 ‘사각지대’가 있다는 지적이 나옴

대응과 조치

  • 금융당국이 전 카드사 보안 실태 점검과 징벌적 과징금 도입 방침을 발표
  • 롯데카드는 향후 5년간 정보보호에 1,100억 원 투자를 약속하고 무이자 할부, 카드 사용 알림 등 보상안 마련
  • 조좌진 대표는 사고 후 사임

점검해 볼 지점 (편집 의견)

  • 결제 로그에 민감정보가 평문으로 쌓이는 구조가 유출 시 피해를 키웠습니다. 로그 마스킹과 보관 기간을 점검해 볼 만합니다.
  • 최초 신고와 실제 규모가 100배 이상 차이 났습니다. 초기 신고 때 범위를 단정하지 않는 커뮤니케이션 원칙이 필요합니다.

관련 ISMS-P 인증기준 (편집 의견)

웹 취약점·웹셸·악성 스크립트2.8.1 보안 요구사항 정의2.8.2 보안 요구사항 검토 및 시험2.10.8 패치관리2.11.2 취약점 점검 및 조치

공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.

용어: 웹셸

출처

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.