카드사 정보 유출, 안전 불감증이 부른 인재

카드사 고객 정보가 용업업체의 직원에 의해 1억건 이상 유출되는 사건이 발생해 카드사 보안 실태가 다시 도마위에 올랐다.

이번 사건은 안전 불감증과 허술한 용역업체 관리가 부른 인재라는 점에서 금융당국의 대책 마련이 요구되고 있다.

9일 검찰에 따르면 개인 신용평가회사 KCB에 근무하는 박모(39)씨는 카드사 3곳으로 부터 1억400만건의 정보를 유출해 평소 자신과 알고 지내던 광고대행업체 직원 조모(36)씨에게 1650만원을 받고 넘겼다. 박 씨는 카드의 도난이나 분실, 위조와 변조 등을 탐지하는 FDS라는 프로그램을 개발하는 KCB의 총괄관리자로 카드사에서 파견 근무를 했다. 박 씨로 부터 정보를 넘겨받은 조 씨는 이 가운데 100만건을 2300만 원을 받고 대출모집인인 이모(36)씨에게 판 것으로 확인됐다.

검찰은 박 씨가 카드사의 보안프로그램이 해제된 상태에서 데이터에 접근할 수 있는 권한을 악용해 관련 정보를 USB에 복사하는 방법으로 유출했다고 밝혔다.

문제는 고객 정보가 줄줄 새어 나가는 데도 카드사가 검찰 조사 전까지 몰랐다는 점이다. 카드사들은 고객 정보를 은행보다 더 많이 취급하고 마케팅 관련 위·수탁업체들이 많아 정보 유출에 취약할 수밖에 없어 강력한 보안 정책을 취해야 함에도 내부통제에 허점을 드러낸 것이다.

FDS에서 걸러진 카드 승인내역 자료를 외부 직원이 USB 등에 다운 받아서 부정 사용하는 게 가능했다는 것 자체가 문제라는 지적이다.

KCB가 FDS 컨설팅을 계약한 카드사는 이번에 고객정보가 유출된 카드사 이외에도 신한카드와 삼성카드가 있었지만 상대적으로 강력한 보안 정책으로 피해를 면한 것으로 확인됐다.

신한카드와 삼성카드는 고객정보를 모두 암호화 처리 했을 뿐 아니라, 외부 PC의 반입을 금지하고 USB 등 이동식저장장치의 접속을 차단하는 ‘물리적 보안’을 강화했다.

특히 삼성카드의 경우 외주 인력이 정보에 접근하는 것이 불가능하며 개인정보와 관련된 업무를 취급하는 직원에 한해서만 접근 권한이 주어진다. 또 정책적으로 사내에서 USB 사용을 하지 못하도록 돼 있다.

금융업계 관계자는 “외주 직원이 정보에 접근할 수 있었던 것 자체가 문제”라면서 “시스템적으로 충분히 막을 수 있는 부분인데 예방조치가 미흡하지 않았나”라고 말했다.

금융당국은 향후 대출모집인이나 신용평가사 직원 등 금융사의 용역직원들은 고객 정보를 함부로 열람할 수 없도록 할 방침이다. 또 금융위원회는 금융감독원 검사에서 드러난 위법 사항에 대해 일벌백계 차원에서 엄중 제재 할 방침이다.