“지난 8월 26일 온라인 결제 서버에서 외부 해커의 침해 흔적이 발견되었으며, 즉시 전 시스템에 대한 정밀 점검과 예방작업들을 수행하였습니다. ... 현재까지 조사한 결과에 따르면 고객 정보 유출 사실은 확인되지 않았습니다.”

지난 9월 4일 롯데카드 조좌진 대표 명의의 사과문에 담긴 내용이다. 롯데카드는 지난 1일 ‘개인정보 유출 가능성에 대한 안내’에서 최초로 외부 해커의 침투 흔적을 발견한 사실을 회원들에게 안내했다. 당시 안내와 이후에 나온 사과문에서, 고객 정보 유출 사실은 확인되지 않았다고 거듭 밝혔다. 

하지만 금융위원회의 발표는 달랐다. 18일 금융위·금감원·금융보안원과 롯데카드가 참석한 긴급 대책회의 자료에 따르면, 롯데카드는 8.14~15일경 발생한 해킹 침해사고로 약 1.7GB 규모의 정보가 유출됐다고 9월 1일 금융위원회와 금융감독원에 신고했다. 

게다가 금감원 등의 조사 과정에서, 정보유출 규모가 당초 신고된 1.7GB가 아니라 총 200GB에 달한다는 사실이 드러났다. 총 296.9만명의 개인신용정보가 포함됐고, 이 중 약 28.3만명(9.5%)은 카드비밀번호와 CVC도 유출된 것으로 나타났다. 

금융당국은 “현재까지 부정결제 피해사실은 확인된 바 없으며, 롯데카드 고객센터에 부정사용으로 신고된 내역도 없는 것으로 나타난 바 있다”고 했지만, 언제든 피해가 발생할 수 있는 상황이란 점이 문제다. 롯데카드는 피해 상황 파악은 물론 신고와 후속 대처 및 회원 안내까지 모두 제때 하지 못했다는 논란이 제기되고 있다. 

최근 소액결제 피해가 발생한 KT 역시 늑장 대응 논란이 제기되고 있다. 18일 과기부와 금융위 합동 브리핑 발표 내용에 따르면, KT는 지난 11일 1차 브리핑에서 소액결제 피해가 278명, 약 1억7000만원이라고 발표했다. 하지만 이는 민원이 제기된 피해자의 통화 기록만을 가지고 불법 기지국 아이디를 파악하고, 해당 아이디로 접속했던 가입자를 통해 파악한 피해자 규모였다. 

이후 조사단이 소액결제를 이용했던 고객 전체, 약 220만명의 통화 기록 2267만건을 분석해 추가적인 불법 기지국 아이디가 있는지 여부를 파악하고, 불법 기지국 아이디가 추가로 발견될 경우 이를 통해 추가 피해자를 식별하도록 KT에 조치하자 피해자 규모가 더 늘어났다. 

KT가 피해자 단말이 불법 기지국으로 접속한 것을 확인한 최초 시기가 올해 6월임을 감안해 6월 1일부터 9월 10일까지의 소액결제 서비스를 이용한 기록을 모두 분석한 결과, 362명이 약 2억4000만원의 피해를 입은 것으로 드러났다. 게다가 2만30명의 이용자가 불법 기지국에 노출돼 전화번호, 가입자 식별번호 정보, 단말기 식별번호 정보가 유출된 정황도 나타났다. 

KT 역시 불법 기지국 접속 사실을 6월에 확인했음에도 제때 조치를 취하지 못한 점, 조사를 협소하게 한 결과 피해자 규모를 제대로 파악하지 못하고 사건의 규모를 실제보다 작게 발표한 점 등 미진한 점이 다수 확인되고 있다. 

늑장대응 논란 등 후속대처에서도 신뢰하기 힘든 모습을 보인 기업들에 대해서는 책임을 따져묻는 것이 마땅하다. 과기부와 금융위 모두 엄정 대처를 천명했는데, 해킹원인을 분석하고 반복 발생을 방지하는 과정에서, 과거 미진한 부분을 상세히 살펴 엄정한 조치를 취할 필요가 있다. 

소비자 피해 구제를 위해 제도를 개선해야 한다는 목소리도 높다. 참여연대는 집단소송법과 징벌적손해배상제도, 증거개시제도를 도입해야 한다고 주장하고 나섰다. 현재는 피해자들이 민법상 공동소송과 개인정보보호법 상 손해배상 청구 등을 할 수 있는데, 집단소송제도를 확대하고 피해구제의 실효성을 높여야 한다는 것이다. 

어떤 방향으로든 반복되는 정보유출을 방지하고, 정보유출 피해자에게 실효성있는 피해구제를 해야 한다는 점은 이견이 있을 수 없다. 가장 중요한 것은 기업 스스로의 대처다. 소비자 신뢰를 회복하기 위한 제대로 된 대처를 지금부터라도 내보여야 할 때다. 중기이코노미 이창호 기자