홈플러스 기업회생 사태 이어 롯데카드 해킹사고까지...MBK 내우외환

[한국금융신문 곽호룡 기자] 960만여명 고객을 보유한 신용카드업계 6위 롯데카드에서 해킹 사고가 발생했다. 홈플러스 기업회생 사태와 맞물려 두 회사 대주주인 MBK파트너스를 향한 시선도 곱지 않은 상황이다.

3일 업계에 따르면 롯데카드는 지난달 말 해킹 사고가 발생한 사실을 지난 1일 금융감독원에 신고했다. 금감원은 2일 롯데카드에 대한 현장 조사에 착수했다. 금융위원회 측은 정보 유출 규모를 1~2GB 정도로 파악한 것으로 알려졌다.

롯데카드는 홈페이지를 통해 "최근 온라인 결제 시스템에서 외부 해커의 침투 흔적이 발견돼 조사 중에 있다"며 "현재까지 조사된 바에 의하면 개인정보 유출 사실은 확인되지 않았다"고 알렸다.

일각에서는 이번 해킹과 관련해 약 8년 전 업계에서 이미 공개된 취약점으로 해킹을 당한 것이라고 분석과 함께 기본적 보안이 미흡했다는 지적도 내놓고 있다.

2017년 오라클은 자사 웹 애플리케이션 서버 웹로직 취약점 ‘CVE-2017-10271’을 공개하며 패치를 배포했다. 이번 롯데카드에 대한 해킹은 2017년 문제점이 발견돼 패치까지 배포된 취약점 ‘CVE-2017-10271’을 이용해 서버 관리자 권한을 취득하고 공격할 수 있게 하는 웹셸 프로그램을 설치하는 방식으로 이뤄진 것으로 전해진다.

롯데카드가 내부파일 유출이 발생하고 17일이 지나서야 해킹 사고를 인지한 것으로 알려지면서 내부통제가 제대로 이뤄지지 않는다는 비판도 받는다.

현재 금융감독원과 금융보안원은 현장검사에 착수해 고객정보 유출 여부 등을 확인하고 있다. 금융당국은 롯데카드의 고객 데이터베이스(DB)를 관리하는 부분과 서버를 집중 관리하는 계정 등이 해킹된 것으로 파악하고 있는 것으로 전해졌다.

금감원이 파악해 강민국 국민의힘 의원실에 보고한 자료에 따르면 해킹에 따른 내부파일 유출은 지난달 14일 오후 7시경이며, 유출 시도는 16일까지 계속됐다. 14일과 15일 각 1차례씩 2회, 온라인결제 서버 해킹을 통해 내부파일이 외부로 반출됐다. 16일에는 반출에 실패했다.

롯데카드는 지난달 26일 서버 점검 중 일부 서버가 악성코드에 감염된 사실을 확인했고, 지난달 31일 온라인 결제 서버에서 1.7기가바이트(GB) 정도의 데이터가 유출된 흔적을 확인했다. 이달 1일 금융당국에 사고 신고를 했지만 개인정보 유출 여부는 확인하지 못했다.

홈플러스 사태와 롯데카드 해킹사고 등을 두고 정치권과 시민단체, 금융권 등에서는 대주주 MBK파트너스의 경영방식과 거버넌스 등에 대해 비판 수위를 높이고 있다.

더불어민주당 김남근 의원은 지난 2일 열린 이억원 금융위원장 후보자에 대한 인사청문회에서 “금감원이 MBK를 제대로 제재했다면 홈플러스와 같이 10만명이 걸린 사업장을 청산시키려는 무책임한 시도는 없었을 것”이라고 지적했다.

곽호룡 한국금융신문 기자 horr@fntimes.com