3년간 감지 못한 대량 유출
신한카드에서 가맹점 대표자 약 19만 2,088명의 개인정보가 유출된 사실이 23일 공개됐다. 유출된 정보는 휴대전화번호(181,585건), 휴대전화번호와 성명(8,120건), 휴대전화번호·성명·생년월일·성별(2,310건), 휴대전화번호·성명·생년월일(73건) 등이다. 3년 2개월(2022년 3월~2025년 5월) 동안 하루 평균 162건의 정보가 빠져나갔지만, 회사는 이를 끝내 알아차리지 못했다. 외부 해킹이 아닌 내부 직원 12명과 설계사 1명의 소행이었다. 이들은 신규 카드 가입 실적을 올리기 위해 가맹점 정보를 외부로 전달한 것으로 드러났다.
개인정보보호위원회(개보위)에 공익 제보가 들어오고서야 사태가 수면 위로 떠올랐다. 신한카드는 지난 11월 12일 제보를 받고 한 달여간 자체 조사를 진행한 끝에 유출 사실을 인정했다. 12월 23일 공식 사과문을 게시하고, 가맹점 대표자 대상 유출 확인 페이지를 열었다.
왜 몰랐을까? 내부 통제의 허점
이번 사고는 내부 통제 시스템의 심각한 취약성을 드러냈다. 직원들이 장기간 대량의 정보를 외부로 반출했음에도 이를 탐지하지 못했다는 점이 가장 큰 문제다. 신한카드는 데이터 접근 권한 관리와 이상 징후 모니터링이 제대로 작동하지 않았던 것으로 보인다. 쿠팡, 롯데카드 등 최근 몇 년간 내부자에 의한 개인정보 유출 사례가 잇따른 만큼, 금융권 전체에 경종이 울렸다.
업계 관계자는 “영업 조직의 실적 압박이 내부 직원의 도덕적 해이로 이어질 수 있다”며 “접근 권한 분리와 대량 조회 경보 시스템 구축이 시급하다”고 지적했다. 한양대 이정환 교수는 “국제 기준에 부합하는 데이터 관리 체계로 재정비해야 한다”고 강조했다. 금융감독원은 신용정보 유출 여부를 면밀히 살펴보고, 필요 시 현장 점검에 착수할 방침이다. 개보위는 유출 경위를 조사한 뒤 과징금 부과 등 제재를 검토할 예정이다.
사후 수습과 파장
신한카드는 홈페이지에 사과문을 게시하고, 피해 발생 시 적극 보상하겠다고 약속했다. 다만, 이미 유출된 정보가 보이스피싱 등 2차 피해로 이어질 우려가 여전하다. 특히 가맹점 대표자들은 사업자 등록증과 같은 민감 정보는 유출되지 않았지만, 휴대전화번호와 이름만으로도 정교한 사기 범죄에 악용될 수 있어 주의가 필요하다. 신한카드는 “유출된 정보가 추가로 확산될 가능성은 낮다”고 설명했으나, 전문가들은 “가맹점 가입을 미끼로 한 보이스피싱에 활용될 수 있다”고 경고했다.
이번 사고는 진옥동 신한금융지주 회장의 연임이 확정된 직후 발생해 더욱 눈길을 끌었다. 신한카드는 내부 통제 강화와 임직원 교육 확대를 약속했지만, 신뢰 회복까지는 시간이 걸릴 전망이다. 한 금융권 관계자는 “개인정보 유출이 반복되면 카드사 전반에 대한 불신이 커질 수 있다”고 우려했다.