외부 해커의 공격으로 정보가 유출된 금융회사가 업무정지 처분을 받은 것은 롯데카드가 처음입니다.
2025년 9월 사고가 알려진 지 약 11개월 만인 2026년 7월, 금융위원회는 롯데카드에 업무정지 1.5개월과 과징금 50억 원을 확정했습니다.
처음에는 유출 데이터가 1.7GB(데이터 용량) 정도로 신고됐던 사고가 어떻게 200GB, 297만 명 규모로 커졌는지, 실제로 어떤 정보가 빠져나갔는지, 고객은 무엇을 해야 했고 지금 무엇을 점검하면 되는지 순서대로 정리했습니다.
마지막에는 이번 제재가 카드업계와 투자자에게 남긴 의미도 짚어봅니다.
사건 경과: 1.7GB 신고에서 297만 명 확인까지
| 시점 | 내용 |
|---|---|
| 2025년 8월 14일 | 온라인 결제 서버에 대한 최초 해킹 발생 |
| 2025년 8월 26일 | 롯데카드, 온라인 결제 서버에서 침해 흔적 발견 |
| 2025년 9월 1일 | 금융감독원·금융보안원에 신고 (당시 파악 규모 약 1.7GB) |
| 2025년 9월 2일~ | 현장 검사 착수, 약 200GB 분량 추가 반출 정황 발견 |
| 2025년 9월 18일 | 297만 명 유출 발표, 대표이사 대국민 사과 |
| 2026년 3월 | 개인정보보호위원회, 과징금 96억 2,000만 원·과태료 480만 원 부과 |
| 2026년 7월 31일 | 금융위원회, 업무정지 1.5개월·과징금 50억 원 의결 |
| 2026년 8월 1일~9월 15일 | 신규 회원 카드 발급 업무 정지 |
이 사건에서 가장 크게 비판받은 부분은 초기 대응입니다.
해킹은 8월 중순에 시작됐지만 회사가 이를 파악한 것은 월말이었고, 처음 신고한 1.7GB는 실제 유출 규모의 일부에 불과했습니다. 당국 검사가 시작된 뒤에야 100배가 넘는 데이터가 추가로 빠져나간 사실이 드러났습니다.
무엇이 유출됐나: 297만 명과 28만 명의 차이
전체 회원의 약 3분의 1이 영향
정보가 유출된 고객은 297만 명으로, 전체 회원의 약 3분의 1에 해당합니다.
카드업계 유출 사고로는 2014년 카드 3사 사태 이후 최대 규모입니다. 다만 297만 명이 모두 같은 수준의 피해를 입은 것은 아닙니다. 위험도를 가르는 기준은 결제에 바로 쓰일 수 있는 정보가 함께 빠져나갔느냐였습니다.
그 기준에 해당하는 고객이 28만 명입니다. 이들은 주민등록번호와 함께 카드번호, 비밀번호 앞 2자리, 유효기간, CVC 번호까지 유출됐습니다.
롯데카드가 카드 부정 사용 가능성이 있다고 밝힌 대상도 이 28만 명이었습니다.
CVC 유출이 특히 위험한 이유
카드번호, 유효기간, CVC가 함께 있으면 실물 카드 없이도 결제를 시도할 수 있습니다.
결제 단말기에 번호를 직접 입력하는 키인(Key-in) 방식이나 일부 해외 온라인 결제가 대표적입니다.
롯데카드는 국내에서 일반적인 결제는 이 정보만으로 불가능하다고 설명했지만, 해외 결제까지 안심할 수는 없었기 때문에 재발급과 해외결제 차단이 핵심 대응으로 꼽혔습니다.
롯데카드 보상과 고객이 해야 할 대응
롯데카드가 내놓은 보상 내용
롯데카드는 유출 피해와 그로 인한 2차 피해를 전액 보상하겠다고 밝혔습니다.
재발급이 필요한 28만 명에게는 차년도 연회비를 한도 없이 면제하고, 피싱·해킹 같은 금융사기로 손해가 생기면 보상해주는 크레딧케어 서비스를 2025년 말까지 무료로 제공했습니다.
앱 메인 화면에는 카드 재발급, 해외결제 차단, 비밀번호 변경 메뉴를 바로 배치했습니다.
같은 해 통신업계에서도 비슷한 유출 사고가 있었습니다. 통신사는 요금 할인과 위약금 면제로 보상했고, 카드사는 재발급과 금융피해 보상에 무게를 뒀다는 점이 다릅니다.
통신사 사례는 SKT 해킹 보상 글에서 비교해볼 수 있습니다.
지금도 점검할 만한 것
- 유출 대상 안내를 받았다면 카드 재발급 여부부터 확인
- 해외 결제를 쓰지 않는다면 해외결제 차단 설정
- 최근 결제 내역 점검, 모르는 거래는 즉시 카드사 신고
- “보상 안내”, “재발급 신청” 등을 사칭한 문자·전화는 공식 앱·고객센터로 재확인
- 주민등록번호가 노출된 경우 금융감독원 개인정보노출자 사고예방시스템 등록
대형 유출 사고 직후에는 보상을 미끼로 한 피싱이 꼭 뒤따릅니다.
카드사가 문자 링크로 카드번호나 비밀번호를 다시 입력하라고 요구하는 일은 없다는 점만 기억해도 상당 부분 막을 수 있습니다.
사고 유형별 대응 절차는 금융소비자 피해 대응 가이드에 정리해두었습니다.
개인정보 침해 신고는 개인정보보호위원회 공식 홈페이지에서, 금융회사 관련 민원과 소비자 유의사항은 금융감독원 공식 홈페이지에서 확인할 수 있습니다.
첫 업무정지 제재, 투자자 관점에서 본 의미
금감원 4.5개월에서 금융위 1.5개월로
금융감독원은 2026년 4월 제재심의위원회에서 영업정지 4.5개월과 과징금 50억 원, 조좌진 전 대표 문책경고를 결정했습니다.
최종 결정권을 가진 금융위원회는 기존 제재 사례와의 형평성, 회사의 사고 수습 노력, 소비자 영향을 고려해 업무정지 기간을 1.5개월로 줄였습니다.
업무정지는 신규 회원 발급만 막는 방식이었습니다.
기존 회원은 교체 발급, 카드론, 현금서비스 등을 그대로 이용할 수 있었습니다.
검사에서 확인된 위반 사항은 보안 패치 미실시, 주민등록번호와 비밀번호 암호화 미이행, 백신 프로그램 미설치였습니다. 해킹 자체보다 기본적인 보안 관리를 하지 않은 책임을 물은 셈입니다.
사모펀드 대주주와 보안 투자, 그리고 업계 파장
롯데카드의 최대주주는 사모펀드 MBK파트너스입니다.
사고 이후 롯데카드의 정보보호 투자가 2021년 137억 원에서 2022년 88억 원으로 줄었던 점이 드러나면서, 비용 절감 중심의 운영이 보안 공백으로 이어졌다는 지적이 나왔습니다.
매각을 앞둔 회사에 대규모 사고와 제재가 겹치면서 기업가치에도 부담이 됐습니다.
업계 전체로 보면 이번 제재는 하나의 기준점이 됐습니다.
한국기업평가는 업무정지로 활성 회원의 약 2%인 13만 명가량이 줄어들 것으로 추산했고, 제재 절차가 진행 중인 다른 카드사들도 영향을 받을 수 있다는 전망이 나왔습니다.
금융위는 중대한 보안사고에 매출액 3% 이내의 징벌적 과징금을 매길 수 있도록 하는 전자금융거래법 개정도 추진하고 있습니다. 카드사 주식이나 채권을 볼 때 보안 투자 규모가 하나의 리스크 지표가 된 셈입니다.
그래도 롯데카드 고객은 보상을 받을 수 있었습니다. 회사가 존속하고 있었기 때문입니다. 회사 자체가 사라지면 상황이 완전히 달라지는데, 그 사례는 위메프 파산 환불 글에서 다뤘습니다.
📌 같이 보면 좋은 글
- 개인정보 유출·플랫폼 파산 때 내 돈 지키는 법: 금융소비자 피해 대응 가이드
- SKT 유심 해킹 보상 정리(2025): 요금 할인부터 명의도용·금융피해 대응까지
- 위메프 파산, 왜 환불이 어려울까? 채권 신고와 카드 할부 항변권으로 돌려받는 법
- 쿠팡 개인정보 유출 이후 꼭 봐야 할 보안 관련주 TOP 5 (투자 포인트 정리)
자주 묻는 질문
Q. 내가 유출 대상인지 어떻게 알 수 있나요?
A. 롯데카드는 유출이 확인된 고객에게 개별 안내를 진행했습니다. 안내를 받은 기억이 없거나 확실하지 않다면 롯데카드 공식 앱이나 고객센터에서 확인하는 것이 정확합니다.
이때 문자로 받은 링크가 아니라 직접 설치한 공식 앱이나 대표번호로 접속해야 사칭 피싱을 피할 수 있습니다.
Q. 28만 명에 해당하지 않으면 카드를 바꿀 필요가 없나요?
A. 회사 설명으로는 나머지 고객의 유출 정보는 카드 결제에 바로 쓰일 수 있는 정보가 아니었습니다.
다만 개인정보가 노출된 것은 사실이므로 보상 안내를 사칭한 피싱에 주의하고, 불안하다면 재발급을 신청하거나 금융감독원 개인정보노출자 사고예방시스템에 등록해두는 것이 안전합니다.
Q. 업무정지 기간에 기존 카드도 쓸 수 없었나요?
A. 아닙니다. 2026년 8월 1일부터 9월 15일까지 정지된 것은 신규 회원 카드 발급 업무뿐이었습니다.
기존 회원은 카드 결제는 물론 교체 발급, 카드론, 현금서비스, 리볼빙, 이용한도 증액 등 대부분의 서비스를 그대로 이용할 수 있었고, 업무정지 기간도 이미 끝났습니다.
Q. 부정 결제 피해가 생기면 어떻게 해야 하나요?
A. 즉시 카드 사용을 정지하고 롯데카드 고객센터에 부정 사용을 신고해야 합니다. 롯데카드는 이번 유출로 인한 피해와 2차 피해를 전액 보상하겠다고 밝혔습니다.
해결이 지연되거나 보상 범위에 이견이 있다면 금융감독원에 민원이나 분쟁조정을 신청할 수 있습니다.
정리: 보안은 비용이 아니라 신뢰의 가격
롯데카드 사고는 297만 명의 정보 유출, 그중 28만 명의 결제 정보 노출로 확인됐고, 외부 해킹 사고로는 처음으로 업무정지 제재까지 이어졌습니다.
고객 입장에서 가장 중요했던 것은 카드 재발급과 해외결제 차단, 그리고 사고 이후 쏟아지는 사칭 피싱을 피하는 것이었습니다.
투자자 입장에서는 보안 투자를 줄여 아낀 비용이 과징금, 영업 공백, 회원 이탈로 몇 배가 되어 돌아온 사례로 기억할 만합니다. 금융회사를 볼 때 실적만큼 정보보호 투자도 함께 살펴봐야 하는 이유입니다.
