기본도 안지킨 보안…‘1억400만건’ 고객정보 털릴 만했다

손경익 엔에이치(NH)농협카드 부행장(왼쪽부터), 심재오 케이비(KB)국민카드 사장, 박상훈 롯데카드 사장이 8일 오후 서울 중구 대한상공회의소에서 1억건이 넘는 카드사 고객정보가 유출된 것과 관련해 고개 숙여 사과하고 있다. 뉴스1

국민·롯데·농협카드 정보유출 파장

3개 신용카드 회사의 회원 개인정보가 모조리 털린 역대 최대 규모의 정보유출 사태(<한겨레> 1월8일치 19면)의 파장이 커지고 있다. 해당 카드사와 금융당국은 당혹감 속에서 대응에 나섰다.

8일 심재오 케이비(KB)국민카드 사장, 박상훈 롯데카드 사장과 손경익 농협은행 부행장(NH카드 분사장) 등 3개 카드사의 대표(CEO)와 김상득 코리아크레딧뷰로(KCB) 대표는 8일 오후 4시 서울 중구에 있는 대한상공회의소에서 기자회견을 열고 정보유출 사태에 대해 대국민 사과를 했다.

김상득 케이시비(KCB) 대표가 고개 숙여 사과하고 있다. 뉴스1

카드사를 대표해 사과문을 읽은 심재오 케이비국민카드 사장은 “부정사용방지시스템 업무 맡은 코리아크레딧뷰로(KCB) 직원에 의해 3개 카드사의 고객 정보가 유출된 데 대해 무거운 책임감을 느끼며, 고객 여러분께 고개 숙여 깊이 사죄드린다”고 말했다. 개정된 금융거래법상 시이오도 처벌 대상인 것을 알고 있느냐는 기자의 질문에는 “인지하고 있다”고 짧게 답했다. 지난 5월 개정돼 11월부터 시행중인 금융거래법은 개인정보유출에 대해선 시이오에게도 책임을 묻고 있다.

카드3사, KCB직원에 정보접근 허가
데이터 암호화 등 보안 지침 안지켜
USB에 고객정보 쉽게 담아 빼돌려

이름·전화번호·주소뿐만 아니라
구매패턴 고급정보까지 담겨 있어

카드3개사·KCB 대표 “깊이 사죄”
금융당국, 영업정지 등 중징계 예고

이날 검찰이 발표한 중간수사결과를 보면, 케이시비 직원 박씨는 2012년부터 국민카드 등의 시스템 개발 작업 중 접한 카드사 고객의 개인정보를 이동식저장장치(USB)에 저장해 빼냈다. 이후 매달 200만원씩 받기로 하고 광고대행업을 운영하는 조씨에게 자료를 넘겼으며, 2012년 10월부터 지금까지 1650만원을 받은 것으로 드러났다. 유출된 정보는 케이비국민카드 5300만건, 롯데카드 2600만건, 엔에이치(NH)카드 2500만건(이상 회원수 기준)의 이름, 전화번호, 주소, 카드기록 등 신용정보로, 도합 1억400만건(개인·법인회원 및 중복회원 수를 포함)에 이른다. 지금까지 발생한 개인정보유출 사고 중 최대 규모다. 뿐만 아니라, 카드 사용자가 평소 얼마나, 어디에서 주로 물건을 구매하는지를 보고 이상 패턴을 감지해 문자로 알려주는 ‘부정사용방지시스템’ 개발에 활용됐던 자료로 고급 신용정보까지 포함하고 있다는 점에서 충격적이다.

이런 ‘대형 사고’가 발생한 데는 카드사의 허술한 개인정보보호 시스템이 문제로 지목된다. 실제로 박씨가 2011년 삼성카드, 신한카드 등과도 시스템 개발 작업을 수행했으나, 해당 카드사는 피해를 입지 않았다는 점에서 비춰 볼 때 피해를 입은 3개 카드사의 보안 체계에 문제가 있었던 것으로 풀이된다.

카드사가 시스템 개발업무를 담당한 외부 직원에게 카드사의 고객 정보에 접근할 수 있는 권한을 줬다는 것부터 문제다. 다른 카드사 관계자는 “시스템을 테스트할 때 가상데이터를 써야 하는데, 편의상 고객정보를 그대로 넘겨준 것 같다”고 지적했다. 외부에 유출시 사용할 수 없도록 암호화된 데이터도 아니었다. 개인노트북으로는 작업을 할 수 없고, 이동식저장장치 저장을 원천 금지하는 기본적인 보안 지침조차 지켜지지 않았다.

금융위원회와 금융감독원은 이날 공동대응안을 내고, 개인정보 유출 경로 등이 파악되는 즉시 카드사 현장 검사를 실시하겠다고 밝혔다. 금융회사의 정보보호, 내부통제 장치가 제대로 관리, 운용되고 있었는지 집중 검사할 예정이다. 관리상 문제가 있었다면 카드업 영업정지, 임직원 중징계 뿐 아니라 시이오에게도 책임을 묻겠다는 강경한 방침을 밝혔다. 2012년 금융당국이 고객정보유출로 물의를 빚었던 삼성카드와 하나에스케이(SK)카드 사장에게 ‘경고’의 경징계를 내려 비난 여론에 휩싸였던 점을 감안한 것으로 보인다. 또 이달중 사고가 발생하지 않은 금융회사에 대해서도 고객정보 관리 실태를 전면 점검하는 한편, 정보유출 감시센터를 설치해 제보를 받겠다고 밝혔다.

정유경 최상원 기자 [e-mail]