개인정보 유출 범죄자에게 깍듯이 대접한 카드사

개인정보 유출한 A씨에게 '개발팀장님'이라 부르며 따른 카드사

8일 창원지방검찰청 특수부는 롯데카드, 국민카드, 농협카드 등 3개의 신용카드사에서 1억명의 고객정보가 유출됐다고 중간 수사결과를 발표했다. ⓒ데일리안

사상 최대의 카드회원 금융정보 유출 사건이 발생했다. 피해 규모만 1억명이 넘는다. 더 심각한 문제는 첨단 기술을 활용한 해킹이 아닌 손톱 크기만한 USB로 이 같은 범죄가 이뤄졌다는 점이다.

더욱 의도성을 가진 범죄 당사자뿐만 아니라 카드사의 안이한 IT내부통제와 정보보호 관리, 금융감독당국의 부실한 감독 등 삼박자에 의한 인사사고라는 점에서 심각성은 더욱 커 보인다.

8일 금융당국과 검찰에 따르면, 이날 창원지방검찰청 특수부(부장검사 홍기채)는 전산 프로그램 개발 용역 수행 과정에서 카드회사 고객 인정사항정보 등을 불법 수집하고 그중 일부를 유출한 개인신용평가회사 코리아크레딧뷰로(KCB) 직원 A씨와 이를 구입한 대출광고업자 B씨를 구속기소한 중간 조사결과를 발표했다. 아울러 B씨로부터 고객정보를 구입한 대출모집인 C씨를 불구속 기소했다.

검찰이 공개한 자료를 보면, 이들이 불법 수집한 개인정보는 △롯데카드 2600만명 △농협카드 2500만명 △국민카드 5300만명으로 1억400만명 규모다.

해당 개인정보에는 고객의 △성명 △휴대전화번호 △직장명 △주소 등은 물론 신용카드 사용과 관련된 △금융정보도 포함돼 있었다. 누가 어디서 무엇을 구매했는지 알 수 있는 심각한 금융정보가 유출된 것이다.

A씨는 지난 2012년 5월부터 지난해 12월까지 각 카드사를 돌며 부정사용방지시스템(FDS) 개발용역 작업을 수행했다. 2012년 10월부터 12월까지 농협카드에서, 지난해 6월 국민카드, 가장 최근인 지난해 12월 롯데카드에서 모두 같은 수법으로 고객정보를 빼냈다.

KCB 관계자는 "A씨는 2012년 5월 KCB에 입사했다"면서 "이전에는 다른 회사에서 관련 업무를 했던 것으로 알고 있다"고 말했다.

이어 그는 "A씨가 하던 일은 카드사에 상주하면서 FDS 시스템을 개발하는 일이었다"며 "그의 업무는 카드승인정보 등을 데이터베이스(DB)화 해서 카드 부정사용을 방지하는 보안 업무를 맡았다"고 덧붙였다.

FDS 시스템 보안 과정에서 A씨가 개인적으로 고객정보를 빼돌릴 동안 이들 카드사가 알아채지 못한채 속수무책으로 당했다.

롯데카드 관계자의 말을 빌려보면 A씨가 상주하는 동안 FDS 시스템을 개발할 때 "개발 팀장님"이라고 부를 만큼 깍듯한 예우를 갖춰가며 대접했다고 했다. 고양이에게 생선을 맡긴 줄도 모른채 말이다.

유출된 다른 카드사 관계자는 "지난해부터 A씨가 검찰 수사를 받고 있어 우리에게도 피해가 올 것으로 예상했다"면서도 "내부적으로 그가 어떻게 범죄를 저질렀는지 파악하지는 못했다"고 시인했다.

나머지 두 카드사 관계자도 "이번에 처음 알게된 일이며 검찰 발표를 기다리는 중"이라고 해명했다.

그 정도로 정보 유출이 된 카드사에서는 A씨가 자사 서버에서 USB로 고객정보를 담아도 모를 정도로 내부통제 장치를 제대로 작동하지 않았으며 자체적인 정보보호 의식이 희박했다는 것을 뜻한다.

여기에 금융감독당국의 부실한 금융사 보안 점검 실태도 도마 위에 올랐다.

금융감독원은 지난해 사전인지시스템을 도입해 원내에서 보유한 각종 금융감독정보를 종합해 금융시장의 리스크와 민원에 있어 사전에 파악하고 선제적으로 대응하겠다며 자신했었다.

금융감독원 관계자는 "검찰 수사 발표를 기다리는 입장"이라며 "발표 이후 전체적인 실태 점검을 나갈 계획"이라고 잘라 말했다.

이어 문제가 된 카드사에 보안 점검을 나간 기록이 없냐는 질문에는 "이전 보안점검은 큰 틀에서 이뤄진 만큼 당시 대부분 큰 문제가 없다고 판단했다"며 "이들 세개 카드사와 관련된 자료는 없다"고 일축했다.

결국 금감원은 이번 사건으로 금융리스크의 사전인지는 커녕 일반적인 점검도 제대로 수행하지 못한 결과를 초래한 셈이다.

한편, 금감원은 사고가 발생한 3개 신용카드업자에 대해 개인정보 유출 경로 등이 파악되는 즉시 현장 검사를 실시키로 했다. 정보가 유출될 때까지 금융회사의 정보보호, 내부통제 장치가 제대로 관리 또는 운용됐는지 집중 검사할 예정이다.

만일 금감원 검사에서 드러난 위법 사항에 대해서는 일벌백계 차원에서 관련 법규에 따라 엄중 제재키로 했다.