롯데카드 CVC번호, 서버에 암호로 저장됐더라면~

[앵커]
롯데카트 해킹 사고로 개인정보가 유출된 고객 297만 명 중 28만 명은 카드결제 핵심정보인 CVC번호까지 유출돼 부정 사용 가능성에 노출이 됐는데, CVC번호가 암호로 저장됐더라면 하는 아쉬움이 남습니다.

학계에선 법령 개정 이전이라도 시급히 금융당국이 암호화 조치를 해야 한다고 촉구합니다.

류환홍 기자가 보도합니다.

[기자]
롯데카드에서 유출된 고객 297만 명의 개인정보가 담긴 파일 중 56%는 암호화가 됐지만 나머지 44%는 그대로 유출이 되고 말았습니다.

[최용혁 / 롯데카드 정보보호실장 (지난 18일) : 외부로 유출된 파일은 중복으로 다운로드한 파일을 제거하게 되면 총 2708개의 파일로 확인됐고요. 이 중에 56% 정도에 해당하는 1,544개 파일은 암호화된 상태로 나갔고 나머지 1,195개는 평온 상태로 유출된 것을 확인했습니다.]

카드번호와 비밀번호 2자리, 유효기간과 CVC번호까지 노출된 고객 28만 명 중 9만 명은 다행히 암호화가 된 채 유출됐지만 나머지 19만 명은 그렇지 못해 부정사용 가능성에 노출이 됐습니다.

[최재웅 / 롯데카드 마케팅본부장 (지난 18일) : 카드 결제에 필요한 정보가 다수 포함된 고객으로 총 28만 명입니다. 이 중 9만 명은 암호화된 파일이 유출되었으며 당사의 서버 외에서 암호가 풀릴 가능성은 거의 없습니다.]

문제는 카드결제 핵심정보인 CVC번호가 유출됐다는 점인데 만약 해커가 해외에서 온라인 결제를 시도한다면 부정사용 피해가 발생할 수 있습니다.

따라서 학계에서는 지금이라도 금융당국이 업계 자율적으로 이뤄지는 CVC번호 암호화 저장을 엄격히 감독할 필요가 있다고 주장합니다.

[서지용 / 상명대 경영학부 교수(한국신용카드학회장) : CVC 암호화가 필요한 부분이라고 생각이 되거든요. 제도적으로는 암호화가 아니라고 하더라도 일단 감독당국에서 카드사들이 CVC를 암호화하도록 권유를 하고 실질적으로 통제를 한다면 가능할 것 같고요.]

지난 2022년 개정된 신용정보업감독규정의 관련 기준을 보면 사업자가 암호로 저장해야 할 대상을 '비밀번호'와 '생체인식정보' 등으로 규정하고 있는데 여기에 'CVC번호'를 추가할 필요가 있어 보입니다.

롯데카드는 국내 최고의 보안 관리체계 인증인 ISMS-P를 획득한 당일 해킹 공격을 당해 인증제도의 허점을 여실히 드러내기도 했습니다.

롯데카드 해킹 사고를 계기로 사업자의 보안역량 강화 못지않게 금융감독 당국과 개인정보 관리체계의 허점을 보완해야 할 필요성도 커지고 있습니다.

YTN 류환홍입니다.


영상편집 : 신수정
디자인 : 신소정


YTN 류환홍 (rhyuhh@ytn.co.kr)