금융위원회가 고객 297만 명의 개인정보가 유출된 롯데카드에 대해 1.5개월의 업무정지와 과징금 50억 원의 중징계를 확정했다.

이번 제재는 해킹 사고로 인해 금융사에 업무정지가 내려진 최초의 사례로, 오는 8월 1일부터 9월 15일까지 신규 회원 모집 및 신규 카드 발급 영업이 전면 제한된다.

금융감독원이 당초 제시했던 업무정지 4.5개월안에 비해서는 기간이 3개월가량 감경되었으나, 카드사의 핵심 성장 동력인 신규 고객 확보 통로가 막힌다는 점에서 경영상 타격은 피할 수 없게 됐다.

금융당국의 검사 결과 온라인 결제시스템 패치 미실시, 주민등록번호 및 비밀번호 암호화 미이행, 백신 소프트웨어 미설치 등 가장 기초적인 보안 조치조차 이행되지 않았던 것으로 드러났다.

영업 제한의 실제 파급력과 기본 통제 부실

카드사는 지속적인 신규 회원 유입을 통해 결제액과 대출, 할부 수익의 기반을 확장해야 하는 사업 구조를 지니고 있다.

따라서 1.5개월간의 신규 모집 중단은 새로 준비 중이던 제휴 카드 출시와 마케팅 일정, 가맹점 공동 프로모션에 직접적인 차질을 줄 수밖에 없다.

제재 기간이 끝난 이후에도 중단되었던 마케팅 캠페인을 재개하고 조직을 재가동하는 과정에서 적지 않은 추가 비용이 발생할 것으로 보인다.

반면 기존 회원의 결제와 한도 증액, 재발급, 카드론 및 현금서비스는 정상적으로 유지되어 소비자의 연쇄적인 생활 결제 피해를 방지했다.

햇살론카드 등 취약계층을 위한 공공 목적의 상품 역시 예외적으로 발급이 허용되어 금융 소외 계층에게 발생할 수 있는 불편을 최소화했다.

금융위가 업무정지 기간을 단축한 데에는 사후 수습 노력과 금융시장 및 소비자에게 미칠 파급력이 종합적으로 고려되었다.

다만 이번 제재 감경이 사고의 중대성을 완화하는 것은 아니며, 기본적인 보안 패치와 암호화 미비는 내부 통제 시스템의 총체적 부실을 증명한다.

결국 보안 투자를 미룬 대가가 단순 과징금을 넘어 신규 고객 확보 통로 차단이라는 실질적인 영업 손실로 이어지게 됐다.

금융권 보안 패러다임 변화와 향후 과제

이번 처분은 해킹 사고가 단순한 기술 부서의 사후 복구를 넘어 회사 전체의 핵심 영업 중단으로 직결될 수 있음을 보여주는 유의미한 선례가 됐다.

징벌적 과징금 도입과 정보보호최고책임자의 권한 강화를 골자로 한 법 개정이 추진됨에 따라 보안 예산은 경영 보호의 필수 요소로 재평가될 전망이다.

롯데카드가 무너진 브랜드 신뢰를 회복하기 위해서는 단순한 시스템 교체 발표를 넘어 실질적인 보안 지표와 이상 접근 탐지 속도를 지속해서 공개해야 한다.

업무정지 기간 동안 나타날 신규 회원 감소 폭과 기존 고객의 이탈 추이는 이번 사태가 단발성 충격에 그칠지, 보안 구조 개편의 계기가 될지 가를 것이다.