롯데카드 해킹으로 297만명 개인정보 유출…오라클 서버 취약점 7년간 방치

롯데카드가 해킹 공격을 받아 카드회원 297만명의 개인정보가 유출된 사실이 뒤늦게 확인되면서 파장이 커지고 있다. 유출된 정보에는 연계정보(CI)와 주민등록번호, 가상결제코드 등 민감한 개인정보가 포함된 것으로 파악됐으며, 금융당국은 긴급 조사에 착수했다. 이번 사고는 롯데카드가 사용하던 오라클 웹로직 서버의 보안 취약점이 7년 가까이 방치된 데서 비롯된 것으로 드러나 금융권 보안 관리 체계에 대한 근본적인 의문이 제기되고 있다.

침해 경위와 유출 규모

롯데카드에 따르면 외부 침입은 지난달 하순 발생했으며, 회사 측은 이를 인지한 뒤 금융당국에 관련 사실을 신고했다. 공격자는 롯데카드의 전자금융기반시설 운영 서버 가운데 하나인 오라클 웹로직 서버의 원격코드실행 취약점을 악용해 시스템에 침투한 것으로 조사됐다. 이 서버는 자산 목록 관리 과정에서 누락돼 있었던 탓에 필수적인 보안 패치가 적용되지 않은 상태였다.

유출이 확인된 회원은 전체 카드회원 약 960만명 가운데 297만명으로, 전체의 약 30퍼센트에 해당한다. 온라인 결제 과정에서 생성·수집된 정보가 다수 포함됐으며 연계정보, 주민등록번호, 가상결제코드, 내부 식별번호, 간편결제 서비스 이용 내역 등이 유출 목록에 포함된 것으로 파악됐다. 이 가운데 카드번호와 유효기간, 카드 뒷면의 보안코드까지 함께 노출돼 부정 사용 위험이 있는 고객은 약 28만명으로 집계됐다. 롯데카드는 해당 고객들을 대상으로 개별 통지와 카드 재발급 등 후속 조치를 진행하고 있다고 밝혔다.

이번 사고의 핵심 원인으로 지목된 오라클 웹로직 서버의 원격코드실행 취약점은 이미 2018년 취약점 정보가 공개되고 보안 업계에 관련 패치 적용이 권고됐던 사안이다. 그럼에도 롯데카드의 해당 서버는 자산 관리 목록에서 빠져 있어 장기간 점검과 패치의 사각지대에 놓여 있었던 것으로 확인됐다. 보안 업계에서는 이와 동일한 유형의 취약점에 노출된 서버가 국내에서도 수천 건에 이르는 것으로 파악하고 있어, 이번 사건이 롯데카드만의 문제가 아니라 금융권 전반의 노후 시스템 관리 부실을 드러낸 사례라는 지적이 나온다.

금융당국 대응과 향후 전망

금융감독원은 사고 발생 직후 현장 조사에 착수해 롯데카드의 보안 관리 체계 전반을 점검하고 있다. 당국은 피해가 확인된 고객들에 대한 신속한 통지와 함께 실질적인 피해가 발생할 경우 이를 보상하는 방안을 마련하도록 지시한 것으로 전해졌다. 아울러 유사한 취약점을 보유한 다른 금융기관에 대해서도 선제적인 전수 점검을 실시하겠다는 방침을 밝혔다.

보안 전문가들은 이번 사고를 계기로 금융권 전반에서 노후 전산 시스템에 대한 자산 관리와 보안 패치 체계를 재점검할 필요가 있다고 입을 모은다. 특히 외부에 공개된 지 오래된 취약점이라 하더라도 관리 사각지대에 놓인 서버가 있다면 언제든 대규모 유출로 이어질 수 있다는 점에서, 금융기관들의 전산 자산 전수조사와 상시 점검 체계 마련이 시급하다는 목소리가 커지고 있다. 롯데카드를 둘러싼 이번 사태가 금융권 전반의 보안 투자 확대와 제도 개선으로 이어질지 주목된다.

피해가 우려되는 고객들에게는 당분간 카드 이용내역을 평소보다 자주 확인하고, 낯선 결제나 조회 이력이 발견될 경우 즉시 카드사 고객센터나 금융감독원에 신고할 것을 전문가들은 권고하고 있다. 아울러 가상결제코드나 개인식별정보가 함께 유출된 만큼 다른 금융 서비스에서 동일한 비밀번호나 인증 수단을 사용하고 있다면 이를 변경하는 것도 안전한 대응 방법으로 꼽힌다. 롯데카드는 유출 피해가 확인되는 고객에 대해 카드 재발급과 함께 실질적 금전 피해 발생 시 전액 보상을 원칙으로 처리하겠다는 입장을 밝힌 상태로, 후속 조치의 실효성 여부가 이번 사태의 마무리를 가늠할 관건이 될 전망이다.