민병덕 더불어민주당 을지로위원회 위원장이 지난 7월30일 서울 여의도 국회 본청 계단 앞에서 열린 MBK 청문회 개최 촉구 기자회견에서 발언을 하고 있다. /사진=뉴시스

960만여 명의 고객을 보유한 롯데카드에서 해킹(사이버 침해) 사고가 발생, 개인정보 유출과 금융범죄 악용 등 2차 피해 가능성 우려가 제기되고 있다. 특히 이번 사고로 회사 대주주인 MBK파트너스를 향한 시선도 곱지 않다. MBK파트너스는 홈플러스 기업회생 사태로 논란에 중심에 서 있는 상태다.

4일 관련 업계에 따르면 롯데카드는 지난달 말 해킹 사고가 발생한 사실을 이달 1일 금융감독원에 신고했다. 이에 금감원은 2일 롯데카드에 대한 현장 조사에 착수했다. 금융위원회 측은 정보 유출 규모를 1~2GB 정도로 파악한 것으로 알려졌다.

롯데카드는 홈페이지를 통해 "최근 온라인 결제 시스템에서 외부 해커의 침투 흔적이 발견돼 조사 중에 있으며 현재까지 조사된 바에 의하면 개인정보 유출 사실은 확인되지 않았다"고 밝혔다.

정보보안업계 일각에선 해킹 사고와 관련해 약 8년 전 업계에서 공개된 취약점으로 해킹을 당한 것이라고 분석, '기본적 보안'이 미흡했다는 지적도 내놓고 있다. 이번 해킹이 2017년 문제점이 발견돼 패치까지 배포된 취약점 'CVE-2017-10271'을 이용하는 방식을 통해 이뤄진 것으로 전해져서다. 여기에 롯데카드가 내부파일 유출이 발생하고 17일이 지난 뒤 해킹 사고를 인지한 것으로 알려지면서 내부통제 이행 여부까지 도마 위에 오르고 있다.

현재 금융감독원과 금융보안원은 현장검사에 착수해 고객정보 유출 여부 등을 확인하고 있다. 금융당국은 롯데카드의 고객 데이터베이스(DB)를 관리하는 부분과 서버를 집중 관리하는 계정 등이 해킹된 것으로 보고 있다. 금감원이 파악해 강민국 국민의힘 의원실에 보고한 자료를 보면 해킹에 따른 내부파일 유출은 지난달 14일 오후 7시경이며, 유출 시도는 16일까지 계속됐다. 14일과 15일 각 1차례씩 2회, 온라인결제 서버 해킹을 통해 내부파일이 외부로 반출됐다. 16일에는 반출에 실패했다.

롯데카드는 지난달 26일 서버 점검 중 일부 서버가 악성코드에 감염된 사실을 확인했고, 지난달 31일 온라인 결제 서버에서 1.7기가바이트(GB) 정도의 데이터가 유출된 흔적을 확인했다. 이달 1일 금융당국에 사고 신고를 했지만 개인정보 유출 여부는 확인하지 못했다.

한편 홈플러스 사태와 롯데카드 해킹사고 등을 두고 정치권과 시민단체, 금융권 등에서는 대주주 MBK파트너스의 경영방식과 거버넌스 등에 대해 비판 수위도 함께 높아지고 있다.


앞서 민주당 김남근 의원은 지난 2일 열린 이억원 금융위원장 후보자에 대한 인사청문회에서 "금감원이 MBK를 제대로 제재했다면 홈플러스와 같이 10만명이 걸린 사업장을 청산시키려는 무책임한 시도는 없었을 것"이라고 성토한 바 있다.