롯데카드 해킹 사건

[럭키스타7]

●롯데카드 해킹 사건 개요

2025년 9월에 발생한 롯데카드 해킹 사건은 한국 금융권에서 최근 잇따른 대규모 보안 사고 중 하나로, 약 960만 명의 회원을 보유한 롯데카드의 온라인 결제 시스템이 해킹되어 고객 개인정보가 대량 유출된 사건입니다.

이 사건은 SK텔레콤과 KT의 최근 해킹 사건과 맞물려 금융·통신 보안 취약성을 드러내며 큰 사회적 파장을 일으켰습니다. 사건은 8월 중순에 발생했으나, 회사 측이 늦게 인지하고 조사한 결과 9월 중순에 피해 규모가 공식 발표되었습니다. 아래에서 사건의 배경, 경과, 피해 내용, 대응 조치 등을 자세히 설명하겠습니다.

☆사건 배경과 경과

- **발생 시기와 과정**

해킹은 2025년 7월 22일부터 8월 27일 사이에 롯데카드의 온라인 결제 서버에서 발생했습니다. 해커들은 오라클 웹로직(Oracle WebLogic)의 알려진 취약점(CVE-2017-10271)을 악용해 서버에 침투했습니다.

이 취약점은 2017년에 이미 발견되어 패치(보안 업데이트)가 배포된 상태였으나, 롯데카드가 이를 제대로 적용하지 않아 공격에 노출된 것으로 확인됐습니다.

초기 조사에 따르면, 해커들은 웹쉘(원격 제어 도구)을 업로드해 내부 자료 약 1.7GB를 유출하려 했으나, 실제 유출 규모는 훨씬 컸습니다.

- **발견 및 신고**

롯데카드는 8월 26일 서버 점검 중 악성코드를 발견하고 전체 서버를 조사했습니다. 8월 31일에 해킹 사실을 인지했으나, 9월 1일에야 금융감독원과 금융보안원에 공식 신고했습니다.

초기에는 고객정보 유출 여부를 확인할 수 없다고 밝혔으나, 조사 과정에서 피해가 예상보다 광범위하다는 사실이 드러났습니다.

9월 17일경 피해 규모가 100만 명을 초과할 것으로 관측되면서 소비자 불안이 확산됐고, 9월 18일 롯데카드 대표가 공식 브리핑을 통해 사과와 함께 상세 내용을 발표했습니다.

- **사회적 맥락**

이 사건은 SK텔레콤(7월 대규모 유출)과 KT(소액결제 무단 발생) 사건에 이은 '3연속 해킹'으로 비쳐지며, 이재명 대통령이 "보안 사고 반복 기업에 징벌적 과징금 등 강력 대처"를 지시할 정도로 국가적 이슈가 됐습니다.

X(트위터) 등 SNS에서는 "SKT, KT, 롯데카드 3연벙 당한 사람도 있겠지?"라는 우려의 목소리가 나오며, 일부 사용자는 "이제 놀랍지도 화나지도 않는다. 사이버 전쟁 시대"라고 표현했습니다.

☆피해 규모와 내용

조사 결과, 롯데카드 전체 회원(약 960만 명)의 약 31%에 해당하는 **297만 명**의 정보가 유출됐습니다. 이는 초기 추정(수십만~수백만 명)을 초과하는 규모로, SK텔레콤 사건(약 15만 명 유출)의 20배에 달합니다. 유출 정보는 온라인 결제 과정에서 생성된 데이터로, 고객마다 다르지만 주요 내용은 다음과 같습니다.

- **위험성 분석**

28만 명의 경우 CVC까지 유출되어 '키인거래'(카드번호 입력 없이 본인 인증으로 결제)나 온라인 부정 사용 위험이 높습니다. 나머지 269만 명은 기본 정보 유출로 인해 신원 도용이나 금융 사기(피싱, 협박)가

우려되지만, 카드 결제 직접 피해는 제한적입니다. X 사용자들은 "카드번호, CVC, 주민번호, 비밀번호 2자리 등 모든 금융 거래 가능한 수준"이라며 공포심을 표현했습니다.

- **현재 상황**

롯데카드는 앱(디지로카)과 홈페이지에서 개인별 유출 정보 조회 서비스를 제공 중입니다. 피해 확인 후 카드 재발급 신청이 가능하며, 일부 사용자는 "집에 오니 해킹 문자 왔는데, 이게 뭐냐"는 반응을 보였습니다.

●롯데카드의 대응 조치

- **사과와 보상**

9월 18일 조좌진 대표이사가 서울 중구 부영태평빌딩에서 브리핑을 열고 "무한한 책임을 느낀다"며 대국민 사과를 했습니다. 피해액은 전액 보상하며, 2차 피해(부정 사용 등)도 연관성 확인 시 보상합니다. 구체적 혜택으로는,

- 유출 피해자 전원에게 2025년 연말까지 무이자 10개월 할부 무료 제공.
- 금융 사기 보상 서비스 '크레딧케어' 연말까지 무료.
- 고위험 피해자(28만 명) 대상 카드 재발급 무료 및 즉시 조치.

- **보안 강화**: 서버 취약점 패치, 인적 쇄신(보안 담당자 교체), 외부 전문가 감사 도입을 약속했습니다. 금융당국(금감원, 금융보안원)은 현장 검사 중으로, 이번 주 내 최종 보고서를 발표할 예정입니다.

- **비판과 책임론**

최대 주주인 사모펀드 MBK파트너스의 '비용 절감 우선' 경영이 보안 투자 소홀을 초래했다는 지적이 나옵니다. 금감원장 이찬진은 "단기 실적 치중으로 장기 보안 투자가 미흡했다"고 비판했으며, MBK는 홈플러스 사태와 연계해 조사받고 있습니다. X에서는 "MBK는 징벌적 손해 배상 때려야 할 듯"이라는 의견이 많습니다.

☆조언: 피해 예방 및 대처

- **즉시 확인**: 롯데카드 앱이나 홈페이지에서 유출 여부를 조회하세요. 문자나 알림이 왔다면 카드 잠금/재발급 신청. 문자 확인시 스미싱 조심.

- **예방 팁**: CVC 노출 피하기, 2단계 인증 활성화, 정기 비밀번호 변경. 부정 사용 의심시 즉시 고객센터(1588-8100) 연락.

- **법적 대응**: 개인정보 보호법 위반으로 과징금 부과 가능성 있으니, 피해시 소비자분쟁조정위원회나 법률 상담 추천.

이 사건은 금융 보안의 중요성을 다시 일깨우는 사례로, 정부와 업계의 제도 개선(예: ISMS-P 의무화 강화)이 논의 중입니다.