[일문일답] 금감원“카드 유출정보 8천만건...중복 제외시 4천만건 ”

현재까지 당국이 파악한 유출정보 규모는 롯데카드와 NH농협카드가 각 2000만 건이며 KB국민카드의 경우 약 4000만 건인 것으로 추정된다. 이중 중복을 제외할 경우 최소 4000만건의 정보가 유출된 것으로 금감원은 파악하고 있다.

최종구 금융감독원 수석부원장은 19일 고객정보 유출 관련 브리핑에서 “감독당국으로서 무한한 책임감을 느끼며 금융회사 고객 여러분께 깊은 사과을 드린다”며 이같이 밝혔다.

다음은 금감원의 최 부원장, 박세춘 부원장보, 류찬우 여신전문검사실장, 정인화 개인정보보호단 실장, 김영기 상호여전감독국장과의 일문일답.

- 국민카드의 경우 계열사 정보까지 유출됐다

▲(박세춘 부원장보) 계열사 고객 정보가 유출된 것은 국민은행 등이 해당한다. 계열사의 정보가 카드사에 보관돼 있다가 같이 유출됐기 때문에 카드가 없더라도 같이 유출된 것이다.

유출된 정보는 예금이나 대출같은 거래 정보가 아닌, 개인의 신용정보인 것으로 파악됐다. 카드사의 다른 개인신용정보 유출과 마찬가지로 국민은행 계열사 정보유출에 대해서도 추가 피해가 발생하지 않도록 대책을 강구하고 있다. 일반 카드사의 신용유출과 같은 차원에서 대책을 마련하고 있다. 계열사끼리 정보공유 문제에 대해 이번 대책반에서도 제도 개선 방안을 검토할 것으로 알고 있다.

- 고객들이 불안해 하고 있다. 어떻게 해야 하나.

▲카드 위변조 등을 위해 필요한 CVC값과 비밀번호는 암호화돼 따로 보관돼 있어 위변조 가능성은 없다. 불안한 분들은 비밀번호 바꾸거나 원할 경우 재발급 받을 수 있다. 또 무료로 카드 실시간 사용내역 알림 서비스를 제공한다. 본인이 사용하지 않은 카드 사용 건은 보상된다.

- 카드번호와 유효기간도 일부 공개됐다. 번호와 유효기간만으로 발생할 수 있는 피해와 대책은

▲대량으로 카드번호와 유효기간이 유출된 적은 그동안 없었다. 이번이 처음이다.

(김영기 국장) 추가적인 본인인증 절차 없이 일어나는 거래가 있을 수 있다. 이 경우에는 물건을 주문한 사람에게 배달하는 과정에서 거래가 확인된다. 거래 승인이 되는 경우 고객에게 문자메시지도 간다. 따라서 발생할 수 있는 개연성은 있지만 가능성은 크지 않다. 발생하더라도 보상은 된다.

- 해외사이트 결제가 더 위험하다. 공인인증서 없이도 결제 가능하다. 실시간 승인도 안나고 CVC번호 없어도 되는 경우가 많다.

▲(김영기 국장) 해외사이트는 카드와 유효기간만으로도 결제가 되는 경우가 많다. 하지만 결국 승인이 이뤄지는 시점에서 고객에게 문자가 간다. 부정사용을 인지할 수 있어 체크가 된다. 정보가 유출된지 상당한 시일이 흘렀지만 지금까지 의미있게 부정사용이 증가한 정황은 없다.

- 유출된 고객의 인원수는

▲USB에 담긴 1억580만명이 유출됐다. 카드사별로 롯데와 농협은 약 2000만명씩, 국민카드는 약 4000만명이다. 중복 빼면 최소 4000만명의 정보가 유출됐다.

-롯데카드는 전체 카드 회원 수에 비해서 유출 건수가 2배 정도가 된다. 롯데멤버스 정보도 유출됐나.

▲카드사별로 탈회회원, 사망자회원, 가맹점의 정보까지 등등 포함하다 보니 실제 카드사의 회원수와 유출된 정보수가 차이가 난다. 롯데의 경우는 확인하고 있다. 세부적인 사항은 검사 중이다.

-신제윤 금융위원장, 최수현 금융감독원장 등의 정보도 유출된 게 사실이냐.

▲(박세춘 부원장보) 언론 보도된 장차관 연예인 등 고객정보 유출 부분은 직접 확인할 순 없지만 워낙 많은 고객정보가 유출됐기 때문에 포함됐을 수 있다는 생각을 갖고 있다.

-국민은행 계좌가 없는데도 정보가 유출됐는데 이유는.

▲(박세춘 부원장보) KB국민카드사가 국민은행 계열사 정보를 보관하고 있던 것이 이번에 함께 유출된 것이다. 개인들에게 통보 절차를 진행 중이다.

-타행 정보도 유출됐다는데.

▲(박세춘 부원장보) 해당 카드의 신용카드 결제계좌도 유출됐기 때문이다.

-KB국민카드의 경우 왜 타사 카드의 사용금액까지 함께 유출된 것인가.

▲(류찬우 여신전문검사실장) 카드사끼리 은행연합회, 여신금융협회, 타사 등을 통해 정보를 공유한 것으로 예상된다. 신용도 조사나 대출한도 산정에 활용하기 위한 목적으로 알고 있다.

-예전에 카드를 해지했는데도 정보가 유출됐다. 해지한 고객 정보를 보관하는 것 자체가 문제 아니냐.

▲(박세춘 부원장보) 이번에 유출된 정보에는 해지고객이나 휴면계좌, 법인고객도 일부 포함됐다.

▲(류찬우 여신전문검사실장) 카드사의 경우 해지고객에 대해 5년간 관련 정보를 보유할 수 있고, 5년이 지나면 폐기하게 돼 있다. 이번 검사에서 혹시 5년이 지난 고객정보도 계속 보유한 것으로 나타나면 제재할 예정이다.

-스팸문자, 보이스피싱 전화로 발생하는 정신적 피해와 카드 재발급에 걸리는 시간 등 유무형의 피해에 대해 카드사에 금전적 손해배상을 청구할 수 있나.

▲(박세춘 부원장보) 직접피해는 당연히 보상되지만, 정신적 피해 등은 과거 유사 판례나 인과관계를 종합 판단해서 합리적으로 정해야 할 것 같다.

-앞으로 3개 카드사 고객이 보이스피싱 피해를 본다면 그 피해가 이번 정보유출에 따른 것인지 입증할 책임이 누구에게 있나.

▲(박세춘 부원장보) 이번 카드사 정보유출에 따른 피해는 보상한다는 게 대전제다. 보이스피싱 피해가 발생하면 무조건 피해보상을 해주는 것은 아니고 이번 정보유출에 의해 입수된 정보인지, 과거에 유출된 정보인지 개별 사안별로 판단할 것이다.