-롯데카드, 17일 지나서야 해킹 사고를 인지한 듯… 내부통제 적절성 여부 도마

[디지털데일리 강기훈기자] 최근 올 상반기 기준 960만여 명의 고객을 보유한 신용카드업계 6위 롯데카드에서 사이버 침해 사고가 발생함에 따라 롯데카드의 대주주인 사모펀드 MBK 파트너스로 따가운 시선이 쏠리고 있다. 내부통제에 소홀했다는 지적이다.

더구나 최근 논란이 커지고 있는 홈플러스의 일부 점포 폐쇄조치로 인해, 두 회사의 대주주인 MBK파트너스에 대한 시선이 곱지 않은 것이다 .

특히 롯데카드 사이버 침해 사고는 소비자 피해 여부를 떠나 늑장 대처가 도마에 오르고 있다.

4일 관련업계에 따르면, 지난달 말 해킹 사고가 발생한 사실을 이달 1일 금융감독원에 신고했다. 이에 금감원은 2일 롯데카드에 대한 현장 조사에 착수했다. 금융위원회 측은 정보 유출 규모를 1~2GB 정도로 파악한 것으로 알려졌다.

롯데카드는 홈페이지를 통해 “최근 온라인 결제 시스템에서 외부 해커의 침투 흔적이 발견돼 조사 중에 있으며 현재까지 조사된 바에 의하면 개인정보 유출 사실은 확인되지 않았다”고 밝혔다.

그러나 일각에선 이번 해킹과 관련해 약 8년 전 업계에서 이미 공개된 취약점으로 해킹을 당한 것이라는 분석과 함께 ‘기본적 보안’이 미흡했다는 지적을 내놓고 있다.

앞서 2017년 오라클은 자사 웹 애플리케이션 서버 ‘웹로직’의 취약점 ‘CVE-2017-10271’을 공개하며 패치를 배포했다. 이번 롯데카드에 대한 해킹은 2017년 문제점이 발견돼 패치까지 배포된 취약점 ‘CVE-2017-10271’을 이용해 서버 관리자 권한을 취득하고 공격할 수 있게 하는 웹셸 프로그램을 설치하는 방식으로 이뤄진 것으로 전해지고 있다.

여기에 롯데카드가 내부파일 유출이 발생하고 17일이 지나서야 해킹 사고를 인지한 것으로 알려지면서 내부통제가 제대로 이뤄졌는지 여부도 논란이 되고 있는 것이다.

현재 금융감독원과 금융보안원은 현장검사에 착수해 고객정보 유출 여부 등을 확인하고 있다. 금융당국은 롯데카드의 고객 데이터베이스(DB)를 관리하는 부분과 서버를 집중 관리하는 계정 등이 해킹된 것으로 파악하고 있는 것으로 전해졌다.

금감원이 파악해 강민국 국민의힘 의원실에 보고한 자료에 따르면 해킹에 따른 내부파일 유출은 지난달 14일 오후 7시경이며, 유출 시도는 16일까지 계속됐다. 14일과 15일 각 1차례씩 2회, 온라인결제 서버 해킹을 통해 내부파일이 외부로 반출됐다. 16일에는 반출에 실패했다.

롯데카드는 지난달 26일 서버 점검 중 일부 서버가 악성코드에 감염된 사실을 확인했고, 지난달 31일 온라인 결제 서버에서 1.7기가바이트(GB) 정도의 데이터가 유출된 흔적을 확인했다. 이달 1일 금융당국에 사고 신고를 했지만 개인정보 유출 여부는 확인하지 못했다.

한편 홈플러스 사태에 이어 이번 롯데카드 해킹사고 등을 두고 정치권에선 대주주 MBK파트너스의 경영방식과 거버넌스 등에 대해 비판 수위를 높이고 있다.

앞서 민주당 김남근 의원은 지난 2일 열린 이억원 금융위원장 후보자에 대한 인사청문회에서 “금감원이 MBK를 제대로 제재했다면 홈플러스와 같이 10만명이 걸린 사업장을 청산시키려는 무책임한 시도는 없었을 것”이라고 성토한 바 있다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -