단기 성과 치중 ‘MBK 책임론’ 확산
IT 임원 비중 7%… 업계 최하위권

고객 297만명의 개인정보가 유출되는 대규모 해킹 사고가 발생한 롯데카드가 유출 규모를 축소해 보고한 데다 ‘암호화된 정보’라며 사건의 심각성도 낮게 평가한 것으로 드러나 피해자들의 공분이 커지고 있다. 대주주 MBK파트너스의 ‘단기 성과주의’에 대한 비판도 제기된다.

21일 금융권에 따르면 롯데카드는 금융감독원·금융보안원 조사 과정에서도 유출 규모나 내용을 인정하지 않아 사건을 키운 것으로 알려졌다. 해킹범들이 빼돌린 정보가 암호화된 정보이기 때문에 개인정보 유출이 아니라고 주장했다는 것이다. 롯데카드 관계자는 “의도적으로 지연을 야기한 것은 아니다”라고 설명했다.

롯데카드는 지난 1일 유출 규모를 1.7기가바이트(GB)로 보고했지만 금융당국 합동조사 결과 실제 유출된 데이터는 200GB에 달했다. 고객 28만명의 카드 비밀번호와 보안코드(CVC) 등 민감 정보가 포함된 것으로 드러났다.

사태의 근본 원인으로는 정보보안 투자 부족이 지목된다. 국민의힘 강민국 의원실에 따르면 금융권 전체 임직원 가운데 정보기술(IT) 인력 비중은 11% 수준으로 최근 몇 년간 제자리걸음을 하고 있다. 롯데카드의 임원 45명 가운데 IT 담당은 3명(7%)으로 업계 최하위권이다.

특히 대주주인 MBK파트너스 책임론이 불거지고 있다. MBK파트너스가 2019년 롯데카드를 인수한 뒤 단기 성과에만 집중하면서 정보보호 투자가 뒷전으로 밀린 게 아니냐는 지적이다. 롯데그룹은 이날 “롯데카드는 롯데그룹에 속한 계열사가 아닌데도 불구하고 고객 오인으로 인한 브랜드 가치 훼손이 심각한 수준에 이르고 있다”고 밝혔다. 롯데는 2019년 롯데카드를 MBK파트너스에 매각했다.

금융당국도 ‘사모펀드식 경영’에 대한 제도적 보완이 필요하다는 입장이다. 국민의힘 이헌승 의원실에 따르면 정부 의뢰로 한국금융연구원이 수행한 연구에서는 사모펀드의 불투명한 경영을 막고 시장 규율을 강화하기 위한 대책이 제시됐다. 이와 관련, MBK파트너스는 “롯데카드는 매년 정보보안 및 IT 투자를 꾸준히 확대했다”고 해명했다.

조좌진 롯데카드 사장의 지난 18일 대국민 사과에도 피해자 공분은 가라앉지 않는 분위기다. 조 사장은 기자간담회에서 “보안 패치 업데이트 안내가 2017년 내려왔는데 이를 놓쳤다”고 인정한 바 있다. 피해자들의 집단소송 움직임도 본격화하고 있다. 2200명에 달하는 피해자가 카페를 통해 집단소송 참여 의사를 밝혔다.