297만 명 정보유출, 업무정지 1.5개월

온라인 결제 서버가 열렸다

해킹은 2025년 8월에 있었다. 대상은 온라인 결제 서버였다. 회사는 오프라인 결제와는 무관하다고 설명했다.

빠져나간 정보에는 연계정보와 주민등록번호가 들어 있었다. 연계정보는 여러 서비스에서 같은 사람임을 확인하는 데 쓰이는 값이다.

회사가 금융감독원에 신고한 날은 2025년 9월 1일이다. 대고객 사과와 유출 규모 발표는 9월 18일에 이뤄졌다.

28만과 269만으로 나뉘었다

회사는 유출 회원을 위험도에 따라 나눠 설명했다. 카드번호와 유효기간, CVC번호까지 함께 나간 회원이 28만 명이다.

이들은 2025년 7월 22일부터 8월 27일 사이 간편결제 서비스나 상거래 사이트에 카드 정보를 새로 등록한 사람들이다. 단말기에 카드 정보를 직접 입력하는 방식의 거래에서 부정사용 가능성이 지적됐다.

회사는 이들에게 카드 재발급을 우선 조치하겠다고 밝혔다. 나머지 269만 명에 대해서는 유출된 항목만으로는 부정사용이 어렵다고 설명했다.

회사는 피해액을 전액 보상하겠다는 방침도 함께 내놨다.

검사에서 나온 세 가지

금융감독원 검사는 2025년 9월부터 10월까지 진행됐다. 확인된 위반은 기술적으로 복잡한 것이 아니었다.

첫째, 정보처리시스템의 보정 작업이 이뤄지지 않았다. 알려진 취약점을 막는 갱신 작업이다.

둘째, 주민등록번호와 비밀번호가 암호화되지 않은 상태였다. 셋째, 바이러스 백신 소프트웨어가 설치돼 있지 않았다.

세 항목 모두 여신전문금융업법과 신용정보법이 정한 보안 의무에 해당한다.

4.5개월이 1.5개월이 됐다

금융감독원은 2026년 4월 말 제재안을 의결했다. 영업정지 4.5개월, 과징금 50억원, 전 경영진 문책경고였다.

금융위원회는 2026년 7월 31일 정례회의에서 업무정지 1.5개월과 과징금 50억원으로 확정했다. 감경 사유로는 기존 제재 사례와의 형평성, 사후 수습 노력, 금융시장과 소비자에 미치는 영향이 제시됐다.

정지 기간은 2026년 8월 1일부터 9월 15일까지다. 이 기간에는 신용카드와 체크카드, 선불카드의 신규 발급이 금지되고 공공목적 카드 발급 등만 예외로 허용된다.

이 아카이브에는 2013년 카드 3사에서 1억 326만 건이 유출된 사건이 기록돼 있다. 그때 부과된 과태료는 600만원이었고 확정된 위자료는 1인당 10만원이었다.