【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[실시간뉴스]해킹 공격 2주 지나서야 파악한 롯데카드 '늑장대응' 논란…소비자 '원성'

온카뱅크관리자

2025-09-18 18:47:51

<div id="layerTranslateNotice" style="display:none;"></div> 롯데카드 해킹 재구성…최초 공격은 8월 12일 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="QdUtqp0CZf">
 <figure class="figure_frm origin_fig" contents-hash="81d869731d14b6074fee84d1239ce98f9a5f5e37fb876a5e7fda7a8693b30ef2" dmcf-pid="xJuFBUph5V" dmcf-ptype="figure">
 <img alt="조좌진 롯데카드 대표이사(오른쪽)가 18일 서울 중구 부영태평빌딩 컨벤션홀에서 열린 언론 브리핑에서 롯데카드 대규모 해킹 사고 관련 대국민 사과를 하고 있다. 2025.9.18/뉴스1 ⓒ News1 박지혜 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/18/NEWS1/20250918181914180ahtg.jpg" data-org-width="1400" dmcf-mid="fTDRaiJq1Q" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/18/NEWS1/20250918181914180ahtg.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 조좌진 롯데카드 대표이사(오른쪽)가 18일 서울 중구 부영태평빌딩 컨벤션홀에서 열린 언론 브리핑에서 롯데카드 대규모 해킹 사고 관련 대국민 사과를 하고 있다. 2025.9.18/뉴스1 ⓒ News1 박지혜 기자
 </figcaption>
 </figure>
 (서울=뉴스1) 김도엽 기자 = 960만 명 회원을 보유한 롯데카드가 최초 해킹 공격자 침입 후 2주가 지나서야 파악하고, 금융당국에 대한 보고는 이보다 한참 뒤에 이뤄져 '늑장 보고' 논란이 일어나고 있다.
 유출된 정보량 및 내용을 확인하는 데에만 17일이 걸렸는데, 그사이 소비자 안내는 대고객 공지를 한 건, 일부 잠재 피해자에 대한 문자 안내 외엔 없어 회원들로부터 '대처가 미흡하다'는 원성도 나온다.
 18일 카드업계에 따르면 롯데카드에 대한 해킹 공격 시도는 지난달 12일 오전 3시 43분 최초로 이뤄졌다. 해킹 공격은 온라인 결제 서버를 통해 이뤄졌으며, 다음날인 지난달 13일 서버 내 악성코드(웹 셀)를 설치한 것으로 파악됐다.
 웹셸은 asp, cgi, php, jsp 등 서버 명령 스크립트를 통해 만들 수 있는 작은 악성코드 조각이다. 웹셸을 통해 만들어진 침투 경로는 보안 시스템도 우회해, 공격자는 별도 인증 절차 없이 시스템에 손쉽게 접속할 수 있다. 이후 공격자는 웹 서버에서 명령을 실행해 관리자 권한을 획득한다. 이 경우 웹페이지 소스 코드 열람은 물론 서버 내 자료 유출, 백도어 프로그램 설치까지 할 수 있게 된다.
 이후 해커는 지난달 14일(오후 7시 21분), 15일(오후 10시 51분)에 걸쳐 Wget 방식으로 내부 파일을 유출했다. 16일에도 유출 시도가 있었으나, 자료 반출에는 실패한 것으로 전해진다.
 웹셸 공격은 기본적으로 파일 업로드인 만큼, 롯데카드는 웹 방화벽 등을 통해 업로드되는 파일을 제어해야 하지만 실패한 것으로 확인됐다.
 롯데카드는 지난 2017년 전체 서버 내 설치된 48개의 웹로직(Weblogic) 프로그램 중 1개의 보안패치가 누락됐는데, 해커는 이를 통해 침입에 성공한 것으로 나타났다.
 누락된 보안패치는 당시 사용량이 거의 없었던 해외 소규모 페이와 관련있는데, 거래량이 전무해 존재 자체조차 알 수 없었다는 것이다.
 조좌진 롯데카드 대표는 "해당 페이사와의 거래가 계속 없었기 때문에, 업그레이드해야 하는지를 파악할 수가 없었다"며 "정보보호 관련 금융당국에서 점검도 나오는데, 이 부분은 항상 빠져있었다. 사전 인지했어야 했으나, 존재 자체를 알 수 없었다"고 말했다.
 해킹 공격 자체를 인지하지 못한 롯데카드는 2주가 지난 지난달 26일 '서버 동기화' 과정에서 악성코드 감염을 최초로 확인했다. 롯데카드는 다음날인 27일 온라인결제 로그 파일 유출을 차단하는 한편, 침해행위 조사 및 공격지 IP 9개를 차단했다.
 또 전체 서버(약 1300여대)에 대한 악성코드 감염 검사를 실시했고, 지난달 31일 낮 12시에서야 파일 유출 정황을 인지했다. 이때 최초 파악한 유출 데이터는 약 1.7기가바이트(GB)로 파악했다. 1차 유출 1.4GB, 2차 유출 223메가바이트(MB)다.
 금융당국에 침해사고 신고는 최초 감염 파악 이후 6일이 지난 1일에서야 이뤄졌다. 같은 날 조 대표명의의 대고객 안내문을 홈페이지 및 애플리케이션(앱)에 게시했다.
 '늑장 보고' 논란이 일어난 배경으로, 롯데카드 측은 악성코드 감염만으로는 보고 의무가 발생하지 않는 '일반적인 침해'며, 시스템 장애 등 실질적인 피해가 발생할 시 보고 의무가 발생한다고 해명했다. 지난달 31일 당시에는 개인정보 유출 여부를 확인하기 어려운 상황이었다는 것이다.
 다만 금융당국은 사고 인지 시점 등 상세한 조사가 이뤄지고 있으며, 지연이 확인될 경우 이에 상응하는 제재조치를 부과할 예정이라고 경고했다.
 금융감독원 및 금융보안원의 합동조사는 지난 2일부터 시작됐다. 이후 이틀만인 지난 4일 조사 과정에서 약 200GB의 추가 정보 유출 정황을 확인했고, 10일에는 유출 정보로 추정되는 로그 기록을 발견했다. 이때 유출된 파일명을 특정했다.
 200GB 유출 방식은 SFTP(보안 파일 전송 프로토콜)가 사용됐다. 짧은 공격을 지속적으로 반복해 200GB 파일을 작게 쪼개는 방식으로 유출하는 방식이다.
 이후 지난 17일 오후 6시까지 약 1주일간 유출 대상 파일을 특정하는 한편 교차 검증, 암호화 파일 복호화 처리 및 유출 정보 분석 과정을 거쳤다.
 결론적으로 최초 해킹 공격 이후 한 달이 넘어서야, 파일 유출을 인지한 후 17일 걸려서야 최종 유출 정보량을 파악한 셈이다.
 <figure class="figure_frm origin_fig" contents-hash="23bb5c733dea7c46f154f0569790bd61034954281c82ca7942daa05573ec5750" dmcf-pid="qR0573FOXX" dmcf-ptype="figure">
 <img alt="ⓒ News1 양혜림 디자이너" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/18/NEWS1/20250918181915808nrog.jpg" data-org-width="1400" dmcf-mid="PGgJAoLKX4" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/18/NEWS1/20250918181915808nrog.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 ⓒ News1 양혜림 디자이너
 </figcaption>
 </figure>
 그사이 소비자 공지는 미흡했다. 지난 1일 대국민 안내문 게시, 지난 5일 잠재 피해 예상 일부 고객군을 대상으로 선제적 보호를 위한 '안내 메시지'를 발송한 것이 전부다.
 이 사이 회원들이 불안에 떨었을 것이라는 지적에 대해 조 대표는 "검증화 작업이 오래걸렸다"며 "금융사 입장에선 피해 방지 위해위해 먼저 알리고 후조치하면 좋지만, 그것보다 나쁜 것은 잘못된 정보를 전달하는 것이 오히려 고객에게 불편을 드리는 것이라 생각했다"고 해명했다.
 롯데카드는 지난달 12일 금융보안원으로부터 국내 최고 수준의 관리체계 인증으로 평가받는 '정보보호 및 개인정보보호 관리체계(ISMS-P) 인증'을 획득했다고 밝힌 바 있는데, 그럼에도 해킹 사고가 발생해 해명이 무색해졌다는 지적도 받는다.
 이에 대해 조 대표는 "국내, 국외 정보보호인증을 다 가지고 있는 전업 카드사는 롯데카드가 유일하지만, 해커가 못 뚫는다는 인증이 있다면 받고 싶은데 그런 인증이 과연 있을지 모르겠다"라며 "인증을 받았음에도 해킹이 일어났다는 것은 안타까운 일이다. 예산을 늘려 보안을 더 강화하겠다는 약속을 드린다"고 했다.
 롯데카드 측은 정보보안 운영 및 IT 투자를 꾸준히 강화하고 있으며, 정보보호 인력을 확대 운영하고 있다고 밝혔다. 지난 2019년 투자비용은 71억 4000만원, 내부인력은 16명에 불과했으나, 올해의 경우 투자비용 128억 1000만 원, 내부인력은 30명에 달한다는 설명이다.
 한편 이날 롯데카드는 해킹 피해 규모가 297만 명에 달한다고 밝혔다. 전체 회원의 3분의 1 수준으로, 이 중 28만 명은 부정 사용 가능성이 있는 것으로 파악됐다.
 doyeop@news1.kr 
 </section> 
 </div> 
 Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기