금융감독원이 대규모 해킹 사고가 발생한 롯데카드에 대해 사고 대응 체계와 가맹점 관리, 카드 회원 탈회 절차 등에서 미흡한 점을 확인하고 개선을 요구했다.

4일 금융당국에 따르면 금감원은 전날(3일) 롯데카드 수시검사 결과와 개선 사항 3건을 발표했다. 제재 조치일은 지난달 31일이다.

롯데카드는 지난해 8월 13일부터 28일까지 발생한 해킹으로 온라인 결제 서비스 이용 고객 297만 4778명의 신용정보가 유출됐다.

금감원은 개인 정보 유출 시 사후 대응책 개선이 필요하다고 지적했다. 롯데카드는 개인(신용)정보 유출 대응 매뉴얼을 운영하고 있었지만 해킹사고 발생 시 세부 조치 사항과 소비자 보호 방안은 구체적으로 마련하지 않은 것으로 나타났다.

이에 따라 대규모 정보 유출 사고가 발생했음에도 홈페이지와 콜센터 비상운영체계를 신속히 마련·가동하지 못했고 소비자 피해 보상 방안도 구체적으로 준비하지 못했다고 금감원은 지적했다.

가맹점 관리도 허술했다. 롯데카드는 장기간 카드 거래 실적이 없는 가맹점을 식별·관리하기 위한 내부 기준과 시스템을 마련하지 않았다. 무실적 가맹점에 대한 정기 점검이나 계약 해지 검토도 실시하지 않았다.

실제로 2022년 6월 UPOP(유니온페이 온라인 결제) 서비스의 가맹점 매입이 중단돼 장기간 카드 매출 실적이 없었지만 회사는 외부 접근을 차단하지 않았고 해당 서비스를 웹해킹 방어 등 보안관제 대상에서도 제외했다. 해커는 UPOP을 통해 온라인 결제시스템에 침입해 고객정보를 탈취했다.

카드 회원 탈회 절차도 개선이 필요하다는 지적을 받았다. 지난해 9월 2일 기준 롯데카드는 탈회를 원하는 고객에게 미납대금 완납, 포인트 현금 전환, 연회비 환급 안내 등이 필요하다는 이유로 콜센터 상담을 거쳐야만 탈회할 수 있도록 운영했다.

금감원은 롯데카드에 해킹 사고 발생 시 조치 사항과 소비자 보호 방안을 매뉴얼에 구체적으로 반영하고 관련 부서에 배포·교육할 것을 요구했다. 아울러 장기 무실적 가맹점 관리 및 계약 해지 기준을 마련하고 가맹점 결제시스템의 보안 업데이트 이행 여부를 정기적으로 점검하라고 했다.

앞서 금감원은 정기검사를 통해 롯데카드에 경영유의사항 20건과 개선 사항 34건을 통보한 바 있다.

bchan@news1.kr