[롯데카드 해킹사태] 'MBK식' 단기성과주의 비판 확산…임원진 물갈이 예고

롯데카드 해킹사고로 296만 고객의 정보가 유출되면서 최대 ‘영업정지’ 제재 우려가 커지고 있다. 롯데카드 측도 대대적인 인적쇄신을 예고한 데 따라 당분간 내부혼란이 이어질 전망이다.

고도의 보안역량을 요구받는 카드사의 관리 허점이 지적되면서 최대주주인 사모펀드 MBK파트너스의 책임론 또한 불거지고 있다. MBK가 단기성과에 집중한 나머지 보안 관련 장기투자를 하지 않았다는 것이다. 실제로 MBK의 롯데카드 첫 매각 시도 시기는 정보보호투자 비중 감소 시기와 맞물린다.

21일 금융권에 따르면 롯데카드는 금융당국으로부터 기관경고 이상의 중징계, 최대 영업정지 처분을 받을 수 있다. 제제심의위원회는 기관주의, 기관경고, 영업정지 등 처분을 내릴 수 있으며 기관경고 이상을 중징계로 본다.


롯데카드 측도 책임을 통감한다며 연말까지 임직원 물갈이를 예고했다. 특히 조좌진 대표이사 사장이 직접 ‘사임 가능성’을 거론하면서 향후 거취에 관심이 쏠리고 있다. 그는 “시장에서 납득할 만한 수준의 인적쇄신을 단행하겠다”고 말했다.
조 대표는 3연임에 성공한 인물로 내년 3월 임기 만료를 앞두고 있다. 다만 이번 사태로 연임에 제동이 걸리는 것은 불가피해졌다. 여신전문금융업법상 ‘신용카드업자의 금지행위’ 조항에 따르면 신용카드업자는 소비자 보호 목적과 건전한 영업질서를 해칠 우려가 있는 행위를 해선 안 된다고 명시됐는데, 조 대표는 이를 어긴 것에 해당할 수 있어서다.

관건은 조 대표가 받게 될 제재의 종류다. 금융회사 지배구조법에 따르면 최고경영진은 주의, 주의적 경고, 문책경고, 직무정지, 해임 권고 등 제재를 받을 수 있다.

조 대표는 일정 기간 재취업이 제한되는 문책경고 이상의 제재를 받을 가능성이 유력하다. 앞서 지난 2014년 롯데카드 및 KB국민·NH농협카드에서 발생한 개인정보 유출 사고 당시 최고경영진은 문책 요구를 받은 사례가 있다.

리스크관리본부, 정보보호실, 마케팅본부 등 해킹사태와 밀접한 연관이 있는 부서들의 인사 역시 병행될 가능성이 크다.


지난 2019년 5월 롯데카드를 인수한 MBK는 2022년에 첫 매각을 시도, 여전히 엑시트를 노리고 있다. 이 기간 롯데카드 실적도 출렁였는데, 2020년(1307억), 2021년(2414억), 2022년(2539억), 2023년(3749억)까지 당기순이익 상승세를 보이다가 지난해(1354억)부터 순이익이 급감했다.

이번 해킹사태는 MBK가 롯데카드 매각 성사를 위한 수익성에만 집중하고 나머지 투자에는 소홀했기 때문에 발생했다는 시장 지적이 잇따랐다. 이에 조 대표는 “롯데카드의 내부인력은 2021년 15명에서 올해 30명까지 늘었다”고 일축했으나 반응은 여전히 싸늘하다.

롯데카드의 정보보호 투자 비중은 MBK의 첫 매각 시도와 맞물려 감소했다. 롯데카드의 지속가능경영보고서에 따르면 IT 예산 대비 정보보호 투자 비중은 2021년 12%에서 2022년 10%, 2023년 8%까지 내려왔다.

정보보안 운영 및 IT 투자 비용 역시 2021년만큼 집행되지 않았다. 재해복구(DR)시스템 구축 및 백업시스템 고도화로 137억1000만원의 예산을 투자했던 2021년 대비 2022년(88억5000만원) 투자액은 약 49% 급감했다.

이 때문에 MBK도 이번 사태의 진상 규명에 나서게 됐다. 김병주 MBK 회장은 오는 24일 통신사금융사 대규모 해킹 사건 청문회의 증인으로 채택됐다.


이민지 글로벌이코노믹 기자 mj@g-enews.com