가맹점 정보 관리 사각지대, 제도 점검 불가피

신한카드에서 가맹점 대표자의 개인정보 약 19만건이 유출된 사실이 확인되면서 금융권 전반의 정보보호 체계에 대한 우려가 커지고 있다. 외부 해킹이 아닌 내부 직원의 일탈로 밝혀진 이번 사고는 금융회사의 내부통제 시스템과 영업 관행 전반을 점검해야 한다는 문제를 다시 제기하고 있다.

▲ 서울 중구 을지로 신한카드 본사. [연합뉴스 제공]

◆ 가맹점 대표 정보 19만건, 세부 내역은

신한카드는 23일 가맹점 대표자의 개인정보 약 19만2천88건이 유출된 것으로 파악돼 개인정보보호위원회에 신고했다고 밝혔다. 유출된 정보는 휴대전화번호만 포함된 사례가 18만1천585건으로 가장 많았다.

이 외에도 휴대전화번호와 성명이 함께 포함된 정보가 8천120건, 휴대전화번호·성명·생년·성별 정보가 2천310건, 휴대전화번호·성명·생년월일 정보가 73건으로 집계됐다. 일부 정보에는 개인을 특정할 수 있는 민감 요소가 함께 포함돼 있었다.

신한카드는 조사 결과 주민등록번호나 카드번호, 계좌번호 등 신용정보는 유출되지 않았다고 밝혔다. 가맹점 대표자 외 일반 카드 고객의 개인정보 역시 이번 사고와는 무관하다고 설명했다.

다만 가맹점 정보 역시 개인정보보호법 적용 대상이라는 점에서 관리 책임이 가볍지 않다는 지적이 나온다. 금융 인프라 운영 과정에서 수집되는 정보 전반에 대한 관리 기준이 다시 도마에 올랐다.

◆ 내부 직원 일탈, 영업 관행이 배경

이번 사고는 외부 해킹이나 시스템 침해가 아닌 내부 직원의 일탈 행위에서 비롯된 것으로 확인됐다. 신한카드는 영업점을 관리하던 내부 직원이 신규 카드 모집 실적을 높이기 위해 가맹점 대표자의 정보를 설계사에게 제공하는 과정에서 유출이 발생했다고 설명했다.

이 과정에서 마케팅 활용에 동의하지 않은 가맹점 대표자의 정보까지 포함된 것으로 파악됐다. 내부 접근 권한이 실질적으로 통제되지 않았다는 점이 문제로 지적된다.

신한카드는 외부 침투가 아니기 때문에 유출 정보가 추가로 확산될 가능성은 크지 않다고 밝혔다. 현재까지 관련 피해 사례도 접수되지 않았다고 설명했다.

그러나 성과 중심 영업 관행과 내부통제 간 균형이 무너질 경우 유사 사고가 반복될 수 있다는 점에서 구조적 문제라는 평가도 나온다.

◆ 반복되는 금융권 내부 정보 유출

최근 금융권에서는 외부 해킹보다 내부자에 의한 개인정보 유출 사고가 반복적으로 발생하고 있다. 개인정보보호위원회가 2024년 공개한 유출 사고 분석에서도 내부 관리 부실과 권한 남용이 주요 원인으로 지목됐다.

특히 가맹점, 제휴사, 외주 인력 등 중간 단계에서 발생하는 정보 관리 사각지대가 취약 지점으로 꼽힌다. 개인 고객 정보에 비해 상대적으로 관리 우선순위가 낮았던 영역이라는 지적도 나온다.

디지털 전환으로 데이터 활용 범위가 확대되면서 내부 통제의 중요성은 더욱 커지고 있다. 단순 시스템 보완만으로는 한계가 있다는 분석이다.

전문가들은 내부 접근 권한 최소화와 함께 정보 활용 목적에 대한 사후 점검 체계가 강화돼야 한다고 지적한다.

◆ 당국 조사와 제도 개선 과제

개인정보보호위원회는 공익 제보를 계기로 지난달 신한카드에 관련 자료 제출을 요구하고 조사에 착수했다. 조사 결과에 따라 개인정보보호법 위반 여부와 함께 제재나 시정 조치가 이뤄질 가능성도 있다.

신한카드는 홈페이지를 통해 사과문을 게시하고, 해당 가맹점 대표자들에게 개별 안내를 진행 중이다. 본인의 정보 포함 여부를 확인할 수 있는 전용 조회 페이지도 마련했다.

금융당국은 이번 사고를 계기로 금융회사 내부통제와 정보보호 체계 전반을 재점검할 필요가 있다는 입장이다. 가맹점 정보 관리 기준을 명확히 하는 제도적 보완 필요성도 거론된다.

금융보안이 단순한 IT 문제가 아니라 경영 리스크라는 인식이 업계 전반으로 확산될 수 있을지 주목된다.

☑️ 요약:
 신한카드에서 가맹점 대표자 개인정보 약 19만건이 내부 직원의 영업 과정에서 유출되며 내부통제 허점이 드러났다. 외부 해킹은 아니지만 정보 접근·활용 관리 실패가 원인으로 확인되면서 구조적 문제라는 지적이 나온다. 금융당국 조사 결과와 함께 금융권 전반의 가맹점 정보 관리 체계 개선이 향후 과제로 떠올랐다.