롯데카드 해킹 피해에 최대주주 MBK 책임론···매각 작업도 '먹구름'

롯데카드의 해킹 피해가 당초 보고된 수준보다 훨씬 큰 것으로 알려지며 최대주주인 사모펀드 MBK파트너스에 대한 책임론이 거세지고 있다. MBK가 앞서 홈플러스 매각 작업에서 잡음을 일으킨 가운데 롯데카드에서도 해킹 사고가 발생하며 향후 두 회사 모두 엑시트 작업이 쉽지 않을 것이란 분석이 나온다.

롯데카드는 18일 서울 중구 부영태평빌딩에서 기자간담회를 열고 297만명의 개인신용정보 유출이 확인됐다고 밝혔다. 이는 롯데카드 회원 960만여명의 30.9%에 해당하는 숫자다. 조좌진 롯데카드 대표는 지난 4일 사과문을 발표한 데 이어 이날 기자간담회에서 직접 고개를 숙여 회원들에게 사과했다.

MBK 인수 후 보안투자 소홀 지적···향후 5년간 1100억 투자

금융권에서는 롯데카드의 최대주주인 MBK가 인수 후 보안투자에 소홀했다는 지적이 지속되고 있다. 롯데카드는 이날 간담회에서 실제로 보안관리에 부족함이 있었던 점을 사과하며 향후 5년간 1100억원의 정보보호 관련 투자를 집행하겠다고 밝혔다.

조 대표는 이날 간담회에서 "고객 여러분의 소중한 정보를 관리하는 금융회사로서 보안관리에 있어 중대한 미흡과 부족함이 있었다는 것은 어떠한 이유로도 용서될 수 없는 일"이라며 "이번 침해 사고로 인해 발생한 피해에 대해서는 그 어떠한 손실도 고객에게 전가하지 않겠다"고 밝혔다.

MBK는 지난 2019년 롯데카드 지분 약 80%를 1조3800억원에 인수했다. 이후 2022년에 인수 금액의 2배가 넘는 3조원에 매각을 시도했다가 실패했고, 지난 5월에는 매각가를 2조원으로 낮춰 시장에 내놨으나 아직까지 인수자를 찾지 못한 상태다.

특히 MBK는 2019년 롯데카드 인수 후 이사회에도 꾸준히 참여해 이번 보안사고 책임을 피하기 힘들 것으로 예상된다. 김광일 MBK파트너스 부회장과 이진하 MBK파트너스 부사장은 2019년 10월 기타비상무이사로 롯데카드 이사회에 진입한 뒤 2연임하며 6년간 이사회 멤버로 참여하고 있다.

실제로 금융감독원이 강준현 더불어민주당 의원실에 제출한 '전업카드사 IT자체감사 수행현황'에 따르면 전업카드사 8곳 중 롯데카드의 감사 횟수가 가장 적었다. 대체로 카드사들이 2021년부터 올해까지 5년간 3회~5회 가량 IT보안 자체감사를 진행했으나 같은 기간 롯데카드의 감사횟수는 1회에 그쳤다.

또한 카드사들은 자체감사를 통해 미흡한 부문을 점검하고 시스템 계정관리 개선, 노후화 서버 조치, 암호화 점검 절차 마련 등 개선에 나섰으나 롯데카드는 5년간 점검결과를 '적정'하다고 평가한 것으로 드러났다.

서지용 상명대학교 경영학부 교수는 "롯데카드는 태생이 유통계 카드이다 보니 신용판매 위주의 이용 고객이 많았다"면서 "카드론 등 금융거래가 많은 금융지주사 카드는 CVC 유출 등에 대비해 이상거래탐지시스템(FDS) 강화 노력을 많이 했는데 롯데카드는 그에 비해 보안 강화 노력이 소홀했던 면이 있는 것 같다"고 평가했다.

홈플러스에 이어 롯데카드까지···MBK 엑시트 과정 '험난'

업계에서는 MBK가 홈플러스 사태로 검찰 수사와 금융감독원 제재절차를 밟고 있는 가운데 이번 해킹 사고까지 겹쳐 매각 작업이 더욱 어려워졌다는 평가가 나온다. MBK가 이미 인수가격을 3조원에서 2조원으로 한 차례 낮춘 가운데, 이번 해킹 사고로 향후 몸값은 더 떨어질 수 있다는 지적도 제기됐다.

더군다나 이재명 대통령과 금융당국 수장들도 연일 금융 소비자 보호를 강조하고 있는 점도 롯데카드에 부담으로 작용할 전망이다.

이재명 대통령은 지난 4일 열린 수석보좌관회의에서 "최근 통신사와 금융사에서 해킹 사고가 잇따라 국민들이 매우 불안해한다"면서 "문제는 이처럼 사고가 빈발하는 데에도 대응 또는 대비 대책이 매우 허술하고 일부 업체들은 같은 방식으로 반복적으로 해킹당했다고 한다"고 지적했다.

그러면서 "보안 사고를 반복하는 기업들에 대해서는 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 관련 조치를 신속하게 준비해 주길 바란다"고 지시했다.

이찬진 금감원장도 지난 16일 여전사 최고경영자(CEO) 간담회에서 롯데카드의 해킹사고를 직접 언급하며 보안대책을 주문하기도 했다.

이 원장은 "최근 금융권 사이버 침해사고를 뼈아픈 자성의 계기로 삼아야 할 것"이라며 "비용절감을 통한 단기 실적에만 치중하고 정보보안을 위한 장기 투자에는 소홀한 결과가 아닌지 되돌아봐야 한다"고 꼬집었다.

서지용 교수는 "MBK가 매각 작업을 진행 중인 가운데 롯데카드 해킹사고로 보안 취약점이 드러났다"면서 "잠재적으로 소비자 피해 보상 가능성까지 제기되고 있기 때문에 매각 가격에 부정적 영향이 있을 것으로 보인다"고 말했다.