금감원-롯데카드, 개인정보 유출 '꼴불견' 진실 공방

금감원은 카드社 탓, 카드社는 범인 탓…경위 파악은 제자리걸음

최수현 금융감독원장은 대규모 개인정보 유출이 일어난 3개 카드회사 중 롯데카드의 경우 유출 관련 컴퓨터 2대 중 1대에 보안 프로그램이 설치돼 있지 않았다고 국회 정무위원회에 출석해 밝혔다.

최 원장은 23일 정무위에서 민주당 이종걸 의원이 “사실관계를 묻겠다. 농협과 국민카드는 외주사(인 KCB 직원)에게 보안 프로그램을 풀어 줬고 롯데카드는 풀어 주지 않았다는데, 그러면 롯데카드에서는 어떻게 정보 유출이 일어난 것이냐”는 취지로 물은 데 대해 “롯데카드에 컴퓨터가 2대 있었는데, 1대는 보안 프로그램 자체가 설치가 안 돼 있었다”고 답했다.

최 원장은 그러나 “나머지 2개사(농협카드, 국민카드)는 보안규정을 지켰다는 점이 중요하다”며 “(2개 사는) 외부인에 대해 USB 활용을 못하게 했고 컴퓨터 접근도 차단시켰다”고 했다. 즉 2개 사는 정보유출사건의 범인 박모 씨가 신용평가업체 KCB의 직원이어서 관련 업무를 할 수 있도록 박 씨에게 보안 프로그램을 해제해 줬고 박 씨가 이를 범죄에 악용한 반면, 롯데카드의 경우에는 보안 프로그램 자체가 설치되지 않았다는 말이다.

반면 박상훈 롯데카드 사장은 이에 앞서 같은 취지의 질문에 대해 “제가 알기로는 (범인이) 거의 해커 수준”이라며 “보안 프로그램은 제대로 작동이 되고 있었다”고 정반대의 답을 했다. 박 사장은 최 원장의 답변 후 이 의원이 재차 묻자 “현재 금감원에서 조사가 진행 중에 있고, 어떻게 유출됐는지는 확인이 안 됐다”며 ‘조사 중’이라고 했다.

송현 금감원 IT감독국장은 박 사장의 답변 직후 “롯데카드는 KCB 직원이 PC 2대를 사용했는데 1대는 작업용, 1대는 문서 편집용”이라며 “작업용 PC에는 보안 프로그램을 설치했지만 문서 작성용은 보안 프로그램이 설치되지 않았다. 그런데 롯데카드가 KCB 직원에 자료를 주면서 데이터를 변환(암호화)하지 않고 실자료를 주니까, KCB 직원이 보안 프로그램이 설치된 PC로 접속해 (이를) 다운받고, 보안 프로그램이 설치되지 않은 PC와 연계해서 USB를 꽂아 (자료를) 빼 나가는 수법으로 정보가 탈취, 유출된 사고”라고 했다. 박 사장의 답변을 부인하는 취지다.

박 사장은 이에 대해 다시 “제가 알기로는 (보안 프로그램을) 다 깔았다고 들었고, (범인이) 풀었다고 들었다”며 “현재 당국이 조사 중”이라고 했다. 강승하 롯데카드 고객피해대책반 CRM본부장은 이후 새누리당 유일호 의원의 질문에 답하며 “2대의 PC가 있고 2대 다 보안 이 설치돼 있었다. 그런데 유출사고 직전에 포맷이나 이런 것으로 (1대의 PC가) 재설치되면서 보안 프로그램이 없어진 것으로 확인되고 있고, 왜 없어졌는지는 모르는 상황”이라고 했다.

긴급소집된 국회 정무위에서 금감원과 롯데카드가 현재 조사 중인 정보 유출 경로에 대해 ‘진실게임’을 벌이는 양상이 벌어지자 의원들은 황당해 했다. 유일호 의원은 “지금도 이렇게 (파악이) 제대로 안 돼 있으면 어떡하나”라며 혀를 찼고, 최 원장은 “검사 중에 있음을 말씀드리고, (금감원과 롯데카드의) 표현상 차이에 대해 추후 확인해 보고하겠다”고 약속했다.

새누리당 소속 김정훈 정무위원장은 ‘조사 중’이라는 취지의 답을 한 박상훈 사장에 대해 “롯데카드 사장 사표 수리가 아직 안 됐나? 사고가 난 지 며칠이 됐는데 아직 파악 중에 있나?”라며 “그렇게 안이하게 대응하고 있으니까 국민들이 불안해하고 있고 (정보 유출) 확인 서비스도 안 되고 있는 것 아니냐”고 일침을 가했다.