금융위, 롯데카드 정보유출에 사상 첫 1.5개월 업무정지 및 50억 과징금 결정

금융위원회가 고객 정보 297만명분 유출 사고를 낸 롯데카드에 1.5개월 업무정지와 과징금 50억원을 확정했다. 해킹으로 정보가 새어나간 금융회사에 영업 관련 업무정지 처분이 내려진 것은 이번이 처음으로, 금융보안 책임을 더 무겁게 묻겠다는 당국의 신호로 풀이된다.

금융위원회는 7월 31일 제14차 회의에서 롯데카드의 신용정보법 위반에 대해 제재 수위를 의결했다. 이번 사고는 롯데카드가 2025년 9월 1일 해킹 침해사고를 신고하면서 본격적으로 드러났고, 이후 금융감독원이 같은 해 9월부터 10월까지 검사에 나섰다. 검사에서는 온라인 결제시스템 운영 과정에서 보안 보정 작업, 이른바 패치가 제때 이뤄지지 않았고 주민등록번호와 비밀번호 암호화도 미흡했으며 바이러스 백신 소프트웨어 설치 의무도 지키지 않은 사실이 확인됐다. 당국은 단순한 외부 공격 피해가 아니라, 내부 보안관리 의무를 제대로 이행하지 않은 점이 함께 문제라고 본 것이다.

다만 제재 수위는 금감원이 지난 4월 말 마련했던 영업정지 4.5개월 안보다는 낮아졌다. 핵심 쟁점은 2014년 직원에 의한 정보유출 사태로 이미 영업정지 3개월 처분을 받은 전력이 이번에도 반복 위반으로 볼 수 있느냐는 점이었다. 현행 규정상 위반 횟수는 업무정지 기간을 최대 50%까지 늘리거나 줄이는 기준이 될 수 있다. 그러나 금융위는 기존 사례와의 형평성, 사고 이후 회사의 수습 노력, 금융시장과 소비자에게 미칠 영향 등을 함께 고려해 1.5개월로 조정했다. 특히 해킹 피해를 본 금융사에 대해 영업을 직접 제한하는 조치는 국내외를 통틀어도 드문 만큼, 제재의 상징성과 실제 파급효과를 함께 따졌다는 설명이다.

업무정지 기간은 8월 1일부터 9월 15일까지다. 다만 정지 범위는 신규 회원 관련 카드 업무로 한정됐다. 당국은 정보유출 책임이 없는 기존 고객까지 카드 사용에 불편을 겪게 하는 것은 바람직하지 않다고 보고, 카드 결제나 이용한도 증액, 갱신·교체 재발급, 카드론, 현금서비스, 리볼빙 같은 기존 서비스는 계속 허용했다. 반면 기존 회원이라도 새 카드를 추가로 발급받는 것은 제한된다. 공공 목적이 있는 햇살론카드 2종, 부산시 노약자 무료 지하철 카드, 군장병 관련 카드 등은 예외적으로 발급이 가능하다. 영업정지라고는 하지만 사실상 신규 영업 일부만 막는 방식이어서 소비자 피해를 최소화하려는 조정이 담겼다.

이번 결정은 개별 회사 제재를 넘어 금융권 보안 규율을 강화하는 출발점이 될 가능성이 크다. 금융위는 앞으로 중대한 보안사고가 발생하면 일반적인 과징금 수준을 넘어서는 징벌적 과징금, 즉 전체 매출액의 3% 이내에서 부과할 수 있는 제도를 도입하고 정보보호최고책임자(CISO)의 권한도 강화하는 방향으로 전자금융거래법 개정을 지원하겠다고 밝혔다. 롯데카드는 당국 결정을 수용하고 재발 방지를 약속했다. 이 같은 흐름은 앞으로 금융회사들이 해킹 자체보다도 보안 의무를 얼마나 충실히 이행했는지에 따라 더 엄격한 평가를 받는 방향으로 이어질 가능성이 있다.