카드 3사 개인정보 1억여 건 유출 사태

신용평가사 KCB(코리아크레딧뷰로) 소속 직원 한 명이 카드사 사기방지시스템(FDS) 개발 프로젝트에 파견돼 근무하면서 KB국민·롯데·NH농협카드의 고객 정보를 USB에 담아 빼돌렸다. 유출된 항목에는 이름, 주민등록번호, 카드번호, 유효기간, 결제계좌번호 등 민감한 금융 정보가 대거 포함됐다. 이 직원은 빼돌린 정보를 대출광고업자와 대출모집인에게 넘겨 돈을 받고 팔았다. 검찰 조사 결과 범행은 2012년 10월부터 2013년 12월까지 지속적으로 이뤄진 것으로 드러났다. 파견 직원에 대한 카드사와 KCB의 접근 통제가 사실상 부재했다는 점이 사후에 문제로 지적됐다.

2014년 1월 검찰 수사 결과가 언론을 통해 대대적으로 보도되며 카드 3사 개인정보 유출 사태가 공개됐다. 유출 규모는 KB국민카드 약 5,300만 건, 롯데카드 약 2,600만 건, NH농협카드 약 2,500만 건 등 합계 1억400만여 건에 달했다. 중복을 제외한 실제 피해 고객은 약 2,000만 명으로 추산돼 사실상 경제활동인구 대부분이 피해를 본 사상 최대 규모의 정보 유출이었다. 유출 정보가 이미 대출업자 등에게 팔린 사실이 확인되면서 2차 피해 우려가 커졌다. 시민들은 카드 재발급과 개인정보 노출자 사고예방시스템 등록에 몰려 큰 혼란이 벌어졌다.

사태가 걷잡을 수 없이 커지자 심재오 KB국민카드 사장, 박상훈 롯데카드 사장, 손경익 NH농협카드 부사장 등 경영진이 책임을 지고 일제히 사표를 제출했다. 같은 날 소비자 1,000명이 카드사와 KCB를 상대로 첫 집단 손해배상 소송을 제기하며 법정 다툼이 시작됐다. 이후 소송 참여 인원은 수만 명 규모로 불어났고, 로펌과 시민단체들이 잇따라 소송인단을 모집했다. 금융당국은 카드사 최고경영진 문책과 함께 전방위 검사에 착수했다. 정치권에서도 개인정보보호법 강화 논의가 급물살을 탔다.

금융위원회는 카드 3사에 대해 2014년 2월 17일부터 5월 16일까지 3개월간의 부분 영업정지 처분과 과태료를 부과했다. 영업정지 기간 동안 신규 회원 모집과 신용카드 발급, 카드론 등 주요 신규 영업이 중단됐다. 이는 개인정보 관리 소홀에 대한 사상 최고 수준의 제재로, 카드 3사는 수백억 원대의 영업 손실을 감수해야 했다. 금융당국은 재발 방지를 위해 카드사의 개인정보 수집을 최소화하고 불필요한 정보를 즉시 파기하도록 하는 대책을 예고했다. 이 조치는 금융권 전반의 정보보호 투자 확대로 이어졌다.

창원지방검찰청은 카드사에서 빠져나온 개인정보를 사들여 대출 영업 등에 활용한 대출업자와 광고업자 등 4명을 추가로 구속했다. 검찰은 유출된 정보가 시중에 광범위하게 유통되며 실제 대출 권유와 스팸 발송 등에 악용된 정황을 확인했다. 이를 통해 애초 카드사가 '유출 정보가 외부로 유통되지 않았다'고 해명한 내용이 사실과 다르다는 점이 드러났다. 수사가 확대되면서 2차 피해 규모에 대한 국민적 불안이 더욱 커졌다. 검찰은 유출 경로와 판매망을 전방위로 추적했다.

정부와 금융당국은 카드사 사태를 계기로 금융권 개인정보 보호 종합대책을 마련해 발표했다. 핵심은 금융사의 개인정보 수집 항목을 최소화하고 거래 종료 고객의 정보를 신속히 파기하도록 하는 것이었다. 또한 정보 유출 시 과징금을 대폭 상향하는 징벌적 제재와 신용정보법·개인정보보호법 개정이 추진됐다. 카드 뒷면 마그네틱을 IC칩으로 전환하고 결제 단계에서 개인정보 노출을 줄이는 조치도 병행됐다. 이 사건은 한국 사회에서 개인정보 보호 인식을 근본적으로 바꾼 전환점으로 평가된다.

장기간 이어진 민사 소송 끝에 법원은 카드 3사와 KCB의 개인정보 관리 소홀 책임을 인정하고 피해 고객에게 배상하라고 판결했다. 대표적인 판결에서 법원은 유출 피해자 1인당 10만 원을 배상하도록 했으며, 이 판단은 대법원 단계까지 이어져 확정됐다. 수백만 명 규모의 원고를 고려하면 카드사들이 부담한 배상액은 막대했다. 이 판결은 대규모 개인정보 유출 사고에서 기업의 손해배상 책임 기준을 세운 사례로 남았다. 사태는 형사 처벌, 행정 제재, 민사 배상까지 이어지며 마무리됐다.