12년 만에 또 무더기 제재…카드사 ‘정보유출 트라우마’ 재점화

개인정보 유출 사고가 잇따르면서 12년 만에 주요 카드사들이 다시 무더기 제재 대상에 올랐다. 가맹점 수수료 인하와 조달금리 상승 등으로 압박받는 상황에서 대규모 제재까지 겹치며 ‘정보유출 리스크’가 부각되고, 비용 부담 확대와 수익성 둔화 우려도 커지고 있다.

13일 금융당국과 여신업계 등에 따르면 금융감독원은 롯데카드 제재를 시작으로 우리카드, 신한카드까지 순차적으로 개인정보 유출 관련 제재를 마무리할 예정이다. 개별 사건을 넘어 업권 전반으로 제재가 확산되는 흐름으로, 2014년 카드사 정보유출 사태 이후 처음으로 ‘집단 징계 국면’이 재현되는 양상이다.

금융당국은 오는 16일 제재심의위원회를 열고 지난해 297만명의 고객 정보를 해킹으로 유출한 롯데카드에 대한 징계 수위를 논의할 예정이다. 이미 영업정지 약 4.5개월과 과징금 50억 원 수준의 제재안이 사전 통보된 것으로 알려졌다. 특히 외부 해킹 사건에 영업정지가 적용될지 여부가 핵심 쟁점으로 떠오르고 있다.

그동안 금융권에서는 내부 직원에 의한 정보 유출에 대해서만 영업정지 처분이 내려져 왔다. 실제 2014년 KB국민카드·롯데카드·NH농협카드 사태 당시에는 내부자 유출로 판단돼 3개월 영업정지가 부과됐다. 반면 2011년 현대캐피탈 해킹 사건에서는 기관 및 경영진 징계에 그쳤고 영업정지는 없었다. 업계에서는 롯데카드 사례를 계기로 기존 패턴이 바뀔 가능성에 주목하는 분위기다.
우리카드와 신한카드도 제재 수순에 올라 있다. 우리카드는 가맹점주 약 7만5000명의 개인정보가 유출된 사건으로 개인정보보호위원회로부터 134억원대 과징금을 부과받았으며, 현재 신용정보법 위반 여부를 중심으로 금감원 추가 제재가 진행 중이다. 신한카드 역시 가맹점주 약 19만건의 개인정보 유출과 관련해 검사 종료 후 제재 절차를 앞두고 있다.

업계는 과징금보다 영업정지 여부에 더 촉각을 세우고 있다. 과징금은 일회성 비용으로 반영이 가능하지만, 영업정지는 신규 회원 모집과 카드론 취급 등이 제한되며 수익 구조에 직접적인 타격을 주기 때문이다. 카드업은 연간 약 10% 수준의 자연 이탈 고객을 신규 모집으로 보충하는 구조인 만큼, 영업정지 시 이 보충이 불가능해 회원 기반 축소가 불가피하다.

과거 사례에서도 영향은 확인됐다. 2014년 영업정지 당시 롯데카드는 회원 수가 약 10% 감소했고, 업계 전체 이용실적이 증가하는 상황에서도 이용실적이 오히려 줄어드는 역성장을 기록했다. 업계에서는 이번에도 영업정지가 현실화될 경우 월 50억 원 수준, 총 200억 원대 손실이 발생할 수 있을 것으로 보고 있다.

이번 제재 국면은 사고 유형이 복합화됐다는 점에서도 차이가 있다. 내부자 유출(우리·신한)과 외부 해킹(롯데)이 동시에 발생하면서 단일 유형이 아닌 구조적 보안 취약성이 드러났다는 분석이다. 제재 이후 파장이 특정 회사에 국한되지 않고 업권 전반으로 확산될 가능성도 제기된다.

한편 카드사들은 재발 방지를 위한 대응에 나선 상태다. 롯데카드는 향후 5년간 1200억 원 규모의 정보보호 투자를 계획했고, 신한카드는 개인정보보호 조직을 신설했으며, 우리카드는 개인정보 반출 시 이중 승인 체계를 도입했다. 한 여신업계 관계자는 “제재가 이어지면서 업권 전반의 비용 부담이 확대되는 흐름”이라며 “당분간은 리스크 관리 중심의 운영 기조가 불가피할 것”이라고 말했다.

홍석경 글로벌이코노믹 기자 hong@g-enews.com