297만 명 유출에 과징금 50억 원,왜 업무정지까지 붙었나

01 · 확정된 사실

확정된 사실

금융위원회는 2026년 7월 31일 롯데카드의 정보유출 사고에 대해 1.5개월 업무정지와 과징금 50억 원 부과를 의결했다.

금융위원회는 이 조치를 해킹사고에 대한 첫 업무정지라고 밝혔다. 업무정지 기간은 기존 제재사례와의 형평성, 회사의 사후수습 노력, 금융시장과 금융소비자 영향을 함께 고려해 1.5개월로 정했다고 설명했다.

같은 발표에는 중대한 보안사고에 전체 매출액의 3% 이내 징벌적 과징금을 부과하고 정보보호최고책임자(CISO)의 권한을 강화하는 전자금융거래법 개정안의 국회 통과를 지원하겠다는 후속 입법 방향도 들어 있다. 다만 발행일 현재 구체적인 산정 방식과 시행 시점은 확정되지 않았다.

02 · 왜 이런 구조인가

왜 이런 구조인가

신용정보법 제19조 제1항은 신용정보전산시스템에 기술적·물리적·관리적 보안대책을 마련하도록 한다. 같은 법 제42조의2 제1항 제1호는 이 의무를 어겨 개인신용정보가 분실·도난·누출·변조 또는 훼손된 경우 과징금을 50억 원 이하로 정한다. 유출 인원이나 회사 규모가 몇 배로 늘어도 이 조항의 숫자 자체는 커지지 않는다.

여기서 보안투자의 계산이 나온다. 시스템 보정과 암호화, 백신 설치는 사고가 없어도 지출해야 하는 비용이다. 반면 사고는 확률로 나타나고, 사고 뒤의 금전 제재가 정액 상한에 묶이면 회사는 최악의 비용까지 미리 계산할 수 있다. 연구소가 이번 조치에서 과징금보다 업무정지에 주목하는 이유다.

업무정지는 벌금을 내고 끝나는 조치와 다르다. 신규 회원을 받지 못하는 동안 다른 카드사로 이동한 고객은 정지 종료 뒤 자동으로 돌아오지 않는다. 금액으로 미리 환산하기 어려운 영업 손실이 생긴다.

그러나 이번 정지는 회사의 모든 영업을 멈추지 않았다. 기존 회원은 교체발급뿐 아니라 카드론·현금서비스·리볼빙 신규 신청과 이용한도 증액도 할 수 있다. 신규 회원도 공공목적 카드 등은 예외다. 제재의 실효성과 무고한 이용자의 불편을 동시에 고려한 결과지만, ‘업무정지’라는 말만으로 실제 범위를 짐작하면 안 되는 이유이기도 하다.

03 · 누가 얼마나 물리는가

누가 얼마나 물리는가

직접 위험에 놓인 사람은 유출 대상이 된 고객 297만 명이다. 제재는 이미 발생한 유출을 되돌리지 못한다. 비밀번호처럼 바꿀 수 있는 정보는 다시 설정할 수 있지만, 어떤 정보가 실제로 유출됐는지 먼저 확인해야 한다. 금융위원회 발표는 보정 미실시와 암호화 미이행, 백신 미설치를 확인했으나 유출된 세부 항목 전체를 열거하지는 않았다.

이 계산은 대규모 유출에 정액 상한이 적용될 때 제재가 어느 정도로 희석되는지를 보여준다. 과징금은 피해자에게 자동으로 나뉘어 지급되는 돈이 아니다.

신용정보법 제43조는 법 위반으로 신용정보주체에게 피해를 입힌 경우 손해배상책임을 정하고, 고의 또는 중대한 과실이 있으면 손해의 3배 이내 배상책임을 둘 수 있게 한다. 다만 실제 배상액은 회사의 보상 절차, 분쟁조정 또는 재판 같은 별도 절차를 거쳐 정해진다. 제재가 확정됐다고 개인별 배상까지 함께 확정되는 구조는 아니다.

04 · 무엇이 해결되지 않았나

무엇이 해결되지 않았나

05 · 지금 할 일

지금 할 일