롯데카드 297만 명 개인정보 유출 사고

2025년 8월 신원 미상의 해커가 롯데카드의 온라인 결제 서버(WAS)에 침입해 악성 프로그램을 심은 뒤 대량의 데이터를 빼내는 사고가 발생했다. 해커는 약 2주간 서버에 머무르며 200GB에 이르는 방대한 데이터를 외부로 반출한 것으로 조사됐다. 이 서버는 온라인 결제 처리를 담당하던 핵심 시스템이었다. 문제는 2017년부터 관련 보안 패치가 나와 있었음에도 롯데카드가 8년간 이를 적용하지 않아 취약점이 방치됐다는 점이다. 예고된 인재라는 비판이 뒤따랐다.

롯데카드는 2025년 9월 1일 해킹 사고 사실을 금융감독 기관에 신고했다. 초기에는 유출 규모가 제한적일 것으로 알려졌으나, 조사가 진행되면서 피해 범위가 계속 확대됐다. 신고 이후 금융감독원과 개인정보보호위원회 등 관계 당국이 사안을 들여다보기 시작했다. 카드사의 핵심 결제 시스템이 뚫렸다는 점에서 금융권 전반의 보안 실태에 대한 우려가 커졌다. 롯데카드는 추가 피해를 막기 위한 긴급 조치에 나섰다.

2025년 9월 19일 롯데카드는 대국민 사과를 발표하고 전체 회원의 약 30%에 해당하는 297만 명의 개인정보가 유출됐다고 확인했다. 유출 정보에는 이름과 연락처는 물론 28만 명분의 카드번호와 CVV, 유효기간 등 민감한 결제 정보까지 포함됐다. 같은 날 금융당국은 긴급대책회의를 열고 최고 수준의 엄정 제재 방침을 예고했다. 개인정보보호위원회도 본격적인 조사에 착수했다. 카드 부정 사용 우려가 커지면서 이용자들의 카드 재발급과 결제 알림 신청이 몰렸다.

개인정보보호위원회는 2026년 3월 12일 롯데카드에 과징금 96억 2천만 원과 과태료 480만 원을 부과하고 처분 사실을 공표하라고 명령했다. 조사 결과 유출된 개인정보에는 45만 명의 주민등록번호도 포함된 것으로 확인됐다. 롯데카드는 법적 근거 없이 주민등록번호 13자리를 온라인 결제 로그에 통째로 담아뒀고, 암호화 조치에도 소홀했던 것으로 드러났다. 개인정보위는 개인정보 처리 현황을 전반적으로 점검·개선하고 개인정보 보호책임자(CPO)의 책임과 독립성을 강화하도록 시정조치를 명했다. 역대급 규모의 제재라는 평가가 나왔다.

금융감독원은 2026년 4월 롯데카드에 영업정지 4.5개월과 과징금 50억 원, 임직원 인적 제재 등이 담긴 제재안을 사전 통지했다. 이는 개인정보보호위원회의 과징금과는 별개로 금융당국이 부과하는 추가 제재였다. 전·현직 최고정보보호책임자(CISO)에 대한 정직과 재취업 제한 등도 검토되면서 금융보안 인재 관리를 둘러싼 논란도 일었다. 롯데카드는 이의절차를 통해 제재 수위에 대응하겠다는 입장을 밝혔다. 잇단 중징계로 롯데카드의 영업과 신뢰 회복에는 상당한 시간이 걸릴 것으로 전망됐다.