롯데 기프티엘, '철저한 정보보안'이라더니…환불계좌까지 털렸다

[경제일보] ‘철저한 정보보안’을 경쟁력으로 내세운 롯데 계열 모바일 상품권 서비스 기프티엘에서 고객 개인정보가 유출됐다. 이름과 연락처뿐 아니라 환불 계좌번호까지 공격자에게 넘어갔다. 금융당국 등록과 롯데그룹의 보안 기준을 신뢰의 근거로 홍보해 온 운영사 스푼이 정작 고객정보를 어떻게 보호했는지 설명해야 할 상황이다.

스푼은 25일 홈페이지에 게시한 사과문에서 지난 22일 외부의 비인가 접근으로 일부 고객의 개인정보가 유출된 사실을 확인했다. 유출 항목은 이름, 휴대전화번호, 이메일, 환불 계좌번호다. 공격 IP 차단과 시스템 접근통제를 강화했으며 관계기관 신고와 수사를 요청했다고 밝혔다.

그러나 피해 인원과 실제 침입 시점, 공격자가 이용한 경로가 담기지 않았다. 사고를 확인한 날짜는 제시했지만 언제부터 정보가 빠져나갔는지는 알 수 없다. 고객별로 어떤 정보가 유출됐는지, 과거 환불 이용자까지 포함됐는지도 확인이 필요하다.
 
이번 사고의 위험은 유출 항목의 조합에 있다. 연락처에 계좌번호가 결합되면 환불 처리나 피해 보상을 사칭하는 연락을 실제 안내처럼 꾸미는 데 악용될 수 있다. 예컨대 고객 이름과 계좌번호 일부를 제시하며 추가 인증을 요구하는 방식이다. 이는 예상 가능한 2차 피해 시나리오이며, 이번 사고로 유출된 정보가 환불·보상 안내를 사칭한 금융사기에 악용될 우려가 있다.

기프티엘은 롯데리아와 엔제리너스 등의 모바일 교환권을 발행하고, 다른 판매처에서 구매한 교환권의 사용·환불 문의도 담당한다. 기업용 대량발송 서비스는 약 150개 브랜드, 3000여개 상품을 취급한다. 소비자가 상품권을 산 판매처와 환불정보를 보관하는 사업자가 다를 수 있는 구조다.

스푼이 그동안 내세운 홍보 문구는 이번 사고를 평가할 기준이 된다. 회사는 홈페이지에 ‘철저한 정보보안’, ‘금융감독원 라이선스 취득을 통한 신뢰 확보’를 명시했다. 별도 사업 소개에서는 롯데그룹과 금융당국의 보안 안정성 기준에 따라 운영한다고 설명한다.

홈페이지에 공개된 개인정보처리방침에는 고객정보 암호화, 업무·직급별 접근권한 통제, 접속기록 보관과 정기점검을 시행한다고 적혀 있다. 조사에서는 이 조치들이 유출된 시스템에도 적용됐는지, 비정상적인 접근을 언제 탐지했는지 확인해야 한다. 암호화 여부와 유출정보를 공격자가 읽을 수 있는 형태였는지도 중요하다.

환불정보의 보관 방식도 살펴볼 대목이다. 처리방침은 환불 관련 기록을 환불 완료 후 5년 뒤 파기한다고 명시한다. 거래 증빙을 보관할 필요와 이를 일상 업무에서 얼마나 넓게 조회할 수 있도록 둘지는 별개 문제다. 장기 보관 정보의 접근권한을 제한했는지, 보관기간이 지난 정보는 실제 삭제했는지 확인할 필요가 있다.

한편 사고 이후 고객 안내에도 아쉬움이 남는다. 스푼은 ‘금융감독원 명의도용 방지서비스’를 통한 지급정지와 점검을 권고했다. 그러나 금융당국의 공식 안내는 본인계좌 지급정지, 개인정보노출자 등록, 휴대전화 명의도용 방지를 서로 다른 제도로 구분한다. 불안한 고객에게 조치를 권하면서 서비스 명칭과 기능을 뒤섞으면 대응을 어렵게 만들 수 있다.

스푼은 피해 접수 후 경위 조사와 검토를 거쳐 관련 법령과 기준에 따른 조치를 안내하겠다고 밝혔다. 다만 구체적인 지원 범위와 처리기한은 사과문에 제시하지 않았다.