▲롯데카드 사옥 이미지/사진=연합뉴스 제공

[토요경제 = 이덕형 기자] 롯데카드 대규모 정보 유출 사태는 단순한 해킹 사고를 넘어, 보안 관리의 허술함과 사모펀드식 경영 구조의 한계를 드러낸 사건으로 평가된다. 소비자는 ‘롯데’라는 브랜드만 보고 그룹 책임으로 연결시키지만, 실제 배경에는 롯데카드를 운영해 온 경영 주체와 관리 체계의 문제가 자리하고 있다.

금융당국과 업계 보고에 따르면, 이번 해킹은 지난 8월 14~15일 사이에 발생했다. 해커들은 롯데카드 온라인 결제 서버 중 일부 취약점을 노려 웹셸(Web Shell)과 악성코드를 심었다. 이후 내부 자료를 빼내기 시작했으며, 최소 200GB에 달하는 고객 정보가 외부로 유출된 것으로 추산된다.

처음 롯데카드가 금융당국에 신고한 유출 규모는 1.7GB였다. 하지만 이후 조사가 확대되면서 실제 피해 규모가 100배 이상 커졌음이 확인됐다. 이 과정에서 회사의 초동 대응 능력과 사고 파악 능력이 심각하게 부족했다는 지적이 잇따랐다.
 

대응 지연과 보고 축소 논란
 

사고는 8월 중순 발생했지만, 실제 내부에서 이상 징후를 발견한 것은 8월 26일, 금융당국에 공식 보고한 것은 9월 1일이었다. 해킹 발생과 신고까지 열흘 이상이 걸린 셈이다.
 

이 기간 동안 고객 정보는 이미 해외로 빠져나갔을 가능성이 크다. 보안업계 관계자는 “사고 인지와 보고가 늦어질수록 피해 확산은 눈덩이처럼 불어난다”며 “특히 금융권은 실시간 모니터링이 핵심인데 롯데카드는 사실상 무방비였다”고 꼬집었다.
 

더 큰 문제는 보고 과정에서 드러났다. 초기에는 “1.7GB 유출”이라고 발표했지만, 나중에 “200GB 이상”으로 확인됐다. 소비자들은 “처음부터 사실을 축소한 것 아니냐”며 불신을 드러냈고, 이는 회사의 신뢰도 추락으로 이어졌다.

MBK파트너스식 경영의 그림자
 

롯데카드는 현재 사모펀드 MBK파트너스가 60% 이상을 보유하며 최대주주로 있다. 우리금융지주도 20%를 보유하고 있지만, 실질적인 의사결정권은 MBK가 쥐고 있다.

사모펀드의 특징은 단기적인 성과와 비용 절감에 집중한다는 점이다. 실제로 카드업계 관계자들은 “롯데카드가 매각 이후 보안 인프라 투자에 소극적이었다”는 뒷말을 전한다. 

수익성과 효율성을 앞세운 나머지 보안 인력 충원이나 시스템 업그레이드가 뒷전으로 밀렸다는 것이다. 결국 해킹 사건은 단순한 기술적 사고가 아니라, 경영 철학과 투자 우선순위의 문제가 드러난 결과라고 볼 수 있다.

이번 유출로 가장 큰 피해자는 소비자다. 약 297만 명의 고객 정보가 새어나간 것으로 추산되며, 이 중 28만 명은 카드번호·유효기간·보안코드(CVC)까지 노출됐다. 온라인 결제에 직접 활용 가능한 정보가 유출된 만큼, 실제 금전적 피해로 이어질 가능성이 높다.

소비자들은 이미 인터넷 게시판과 SNS에서 “해외 사이트 결제 승인 문자가 왔다”, “내 정보가 다 털린 것 같다”는 불안을 토로하고 있다.
 

카드업계 관계자는 “카드번호만 유출돼도 재발급이 필요하지만, CVC까지 빠져나간 것은 위험 수준이 다르다”며 “사전 차단 조치가 미흡하면 고객 피해는 눈덩이처럼 불어날 수 있다”고 경고했다.
 

▲조좌진 롯데카드 대표이사가 18일 서울 중구 부영태평빌딩에서 해킹 사고로 인한 고객 정보 유출사태에 대해 대고객 사과를 마친 뒤 취재진 질문에 답변하고 있다/사진=연합뉴스 제공

보안 전문가들은 “이번 사건은 기술적 해킹보다 관리 체계와 투자 부족에서 비롯된 면이 크다”고 분석한다. 한 정보보호 전문가는 “웹셸 공격은 오래된 방식으로, 최신 보안 장비와 모니터링 체계를 유지했다면 충분히 막을 수 있었다”며 “투자와 관리 부실이 사건을 키웠다”고 말했다.

금융권 평론가는 “MBK파트너스가 단기 성과 위주로 경영하다 보니 보안이 뒷순위로 밀렸을 가능성이 있다”며 “사모펀드식 경영의 구조적 한계가 드러난 사건”이라고 지적했다.

롯데카드 해킹 사태의 본질은 보안 관리 실패와 경영 구조의 한계다. MBK파트너스가 인수한 이후 비용 절감 중심의 기조가 보안 취약성을 키웠고, 사고 대응도 늦었다. 그 결과 소비자 신뢰는 무너지고, 롯데그룹은 억울하게 이미지 손상을 함께 떠안게 됐다.
 

이번 사건은 단순히 한 카드사의 문제가 아니라, 사모펀드식 경영 모델이 금융업 보안과 얼마나 충돌할 수 있는지를 보여주는 사례로 기록될 전망이다.

[ⓒ 토요경제. 무단전재-재배포 금지]