[더파워 최병수 기자] 롯데카드가 해킹 공격을 받고도 보름 넘게 사고 사실을 알지 못한 것으로 드러났다. 고객 결제 내역 등 정보 유출 가능성이 제기되면서 금융당국이 긴급 현장검사에 들어갔다.
금융감독원이 2일 국회 정무위원회 강민국 의원실에 보고한 자료에 따르면 해킹은 지난달 14일 오후 7시21분경 발생했다. 14일과 15일 이틀간 온라인 결제 서버에서 두 차례 내부 파일이 외부로 반출됐고, 16일에도 시도가 있었으나 실패했다. 그러나 롯데카드는 지난달 31일 정오가 되어서야 사고를 인지했고, 1일 금융당국에 보고했다.
롯데카드는 유출된 데이터 규모를 약 1.7기가바이트(GB)로 추산했다. 금감원은 반출 실패한 파일을 근거로 카드 정보 등 온라인 결제 요청 내역이 포함됐을 가능성을 확인 중이다. 롯데카드는 백신 설치, 악성코드 진단 조치와 함께 정보 유출 가능 고객을 대상으로 카드 비밀번호 변경 안내를 진행할 계획이라고 밝혔다.
금감원은 이날 금융보안원과 함께 롯데카드 현장검사에 착수했다. 이찬진 금감원장은 “피해가 확인될 경우 전액 보상을 원칙으로 하며, 롯데카드 고객이 쉽게 카드 해지나 재발급을 받을 수 있도록 별도 절차를 마련하라”고 지시했다. 또 금융사 전반의 보안 관리체계 점검과 함께 관리 소홀에 대한 엄정한 제재 방침도 밝혔다.
정보보호 업계는 이번 해킹 과정에서 발견된 ‘웹셸(Web Shell)’에 주목했다. 웹셸은 서버 침투 후 원격 제어를 가능하게 하는 악성코드로, 구버전 웹환경의 보안 취약점을 노린 공격일 가능성이 제기됐다. 업계 관계자는 “일정 기간 잠복했을 가능성이 높아 보고된 데이터 외 추가 유출도 배제할 수 없다”고 지적했다.
강민국 의원은 “올해 6월까지 발생한 금융사 해킹 사고만 4건, 유출 정보는 3142건에 이른다”며 “개인정보 유출은 2차, 3차 범죄로 이어질 수 있는 만큼 금융당국의 제재 강화가 시급하다”고 강조했다.
