2025년 9월, 국내 카드사 6위인 롯데카드가 대규모 해킹 공격을 당했습니다. 약 967만 명의 고객 정보가 유출 위험에 노출된 이번 사고는 단순한 보안 사고를 넘어 국내 금융권 전반의 사이버 보안 체계에 대한 근본적인 문제를 드러냈습니다. 특히 8년 전에 이미 공개된 취약점을 통해 해킹이 이루어졌다는 사실은 금융권의 기본적인 보안 관리 체계에 심각한 문제가 있음을 보여줍니다.
사고 개요
핵심 요약
- 해킹 시점 : 2025년 8월 14일 저녁 7시 21분 ~ 15일 (이틀간)
- 인지 시점 : 8월 31일 (17일 뒤)
- 신고 시점 : 9월 1일 금융 감독원
- 피해 규모 : 당초 1.7GB > 실제로는 훨씬 더 큰 규모
- 영향 범위 : 967만 고객 정보 유출 위험
- 공격 방법 : 8년 전 오라클 웹로직 취약점 악용
가장 충격적인 사실은 17일 동안 해킹을 전혀 모르고 있었다는 점입니다. 금융회사의 보안 모니터링 시스템이 얼마나 허술 했는 지를 보여주는 대목입니다.
왜 8년 전 취약점에 당했을까?
문제의 핵심
- 2017년 10월 : 오라클이 웹로직 취약점 발견 및 패치 배포
- 2018년 1월 : 한국인터넷진흥원 보안 업데이트 권고
- 2025년 8월 : 롯데카드, 여전히 패치 하지 않은 상태로 해킹 당함
보안 투자 감소가 원인
롯데카드의 IT예산 중 정보 보호 투자 비중
- 2021년 : 12% > 2022년 : 10% > 2023년 : 8%
보안 전문가들은 "기본적 점검조차 소홀했다" 며 제 2금융권의 구조적 보안 미흡 문제를 지적했습니다.
피해 규모와 영향
당초 신고와 실제 피해 규모의 차이
당초 롯데카드는 금융 감독원에 1.7GB 규모의 데이터 유출을 신고했지만, 금융 당국의 현장 검사 결과 실제 피해 규모는 훨씬 더 큰 것으로 밝혀졌습니다. 피해자 수가 수백 만 명에 달할 수 있다는 관측까지 나오고 있으며, 롯데카드는 9월 18일 구체적인 피해 규모와 보상안을 발할 예정입니다.
유출 가능성이 있는 정보
- 기본 개인정보 : 이름, 생년월일, 휴대폰 번호, 주소
- 카드 관련 정보 : 카드번호, 유효기간, CVC, 이용 내역
- 금융 정보 : 연 소득, 직업, 신용 등급 관련 데이터
- 인증 정보 : 로그인 관련 정보, 보안 카드 정보
2차 피해 우려 사항
개인정보가 유출될 경우 다음과 같은 2차 피해가 우려됩니다.
- 보이스피싱 및 스미싱 증가 : 유출된 개인정보를 활용한 맞춤형 사기
- 신용카드 부정사용 : 카드 정보를 이용한 무단 결제
- 개인정보 도용 : 다른 금융기관이나 온라인 서비스 가입 시 악용
- 신용도 하락 : 무단으로 개설된 계좌나 카드로 인한 신용 등급 하락
롯데카드의 대응과 조치
공식 사고와 보상 약속
조좌진 롯데카드 대표는 9월 4일 공식 사과문을 통해 " 모든 책임은 저와 롯데카드에 있다" 며 전액 보상을 약속했습니다. 또한 " 현재까지 고객 정보 유출 사실은 확인되지 않았다" 고 밝혔지만, 금융 당국의 조사가 계속 진행 중입니다.
구체적 대응 조치
- 24시간 전용 상담 센터 운영 (9월 2일부터)
- 개인정보 유출 가능성 관련 전용 ARS 메뉴 신설 (1번 개인 회원 > 9번)
- 고객센터 연장 운영 (오후 10시까지, 9월 1일부터)
- 비밀번호 변경, 카드 재발급 간편 링크 제공
- 국내 외 이상 금융거래 실시간 모니터링 강화
- 예방적 카드 재발급 조치 (피해 위험이 있는 고객 대상)
- 부정사용 발생 시 선보상 방침
금융권 전반의 보안 현황
다른 카드사들의 대응
이번 사고 이후 다른 카드사들도 보안 점검에 나섰습니다.
- KB국민카드 : 올해 최대 규모 보안 예산 편성
- 하나카드 : IT 예산 중 보안 비중을 13%까지 확대
- 우리카드 : 매년 평균 9% 포인트 이상 보안 예산 확대
- NH농협카드 : 최근 3년간 보안 예산을 매년 20% 이상 증액
제2금융권의 구조적 문제
보안 전문가들은 이번 사고가 제2금융권 전반의 보안 미흡 문제를 보여준다고 지적했습니다. 대기업의 아닌 경우 기본적인 보안조차 미흡한 경우가 많다는 것입니다.
정부와 당국의 대응
강력한 제재 예고
이재면 대통령은 "보안 사고를 반복하는 기업들에 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 하라" 고 지시했습니다.
금융 감독원의 조치
이찬진 금융 감독원장은 "비용 절감을 통한 단기 실적에만 치중한 반면 정보 보안을 위한 장기 투자에는 소홀한 결과"라며 강력히 비판했습니다.
고객이 해야 할 대응 방법
즉시 확인해야 할 사항
1. 최근 카드 사용 내역 점검
- 본인이 사용하지 않은 결제 내역 확인
- 해외 결제나 온라인 결제 중 의심스러운 거래 점검
- 소액부터 큰 금액까지 모든 거래 내역 검토
2. 보안 조치 실행
- 카드 비밀번호 즉시 변경
- 해외 거래 차단 설정
- 필요 시 카드 재발급 신청
장기적 대응 방안
1. 신용 정보 정기 조회 : 연 1-2회 본인 신용 정보 확인
2. 이상 거래 알림 서비스 설정
3. 다른 금융기관 비밀번호도 변경
4. 의심스러운 연락에 각별한 주의
향후 전망과 교훈
금융권 보안 체계의 전면적 재검토 필요
이번 사고는 단순히 한 금융회사의 문제가 아닙니다. 국내 금융권 전반의 사이버 보안 체계를 근본적으로 재검토해야 함을 보여줍니다.
필요한 개선 방향
1. 기본적 보안 패치 관리 시스템 강화
2. 보안 투자 비중 확대
3. 전문 보안 인력 충원
4. 실시간 모니터링 시스템 고도화
5. 정기적인 보안 점검 및 모의 해킹 실시
결론
롯데카드의 해킹 사고는 디지털 금융시대에 보안이 얼마나 중요 한지를 다시 한번 일깨워주는 사건입니다. 8년 전에 이미 알려진 취약점으로 이런 대규모 사고가 발생했다는 것은 우리 금융권의 보안 의식이 여전히 미흡함을 보여줍니다.
기업들은 단기적 수익에만 집중할 것이 아니라 고객의 소중한 개인정보를 보호 하는 것이 가장 기본적인 의무임을 인식해야 합니다. 그리고 우리 개인도 경각심을 갖고 적극적으로 대응해 나가야 할 때입니다.
앞으로는 이런 사고가 재발 하지 않도록 정부, 금융 당국, 금융회사 모두가 힘을 합쳐 사이버 보안 체계를 근본적으로 강화해 나가야 할 것입니다.
.png)
.png)
.png)
.png)