어떻게 롯데카드 해킹 사고에 대한 대국민 사과가 진행되었나

TL;DR

사고 경과와 초기 대응을 요약하면, 온라인 결제 시스템에서 악성 코드가 발견되고 8월 말부터 추가 유출 사실이 확인되며 297만 명의 정보가 유출되었다고 밝혀졌습니다. 회사는 피해 규모에 따라 전원 보상과 재발급, 보안 강화 등을 약속했고 28만 명에 대해서는 재발급이 우선 고려됩니다. 보안 체계 전면 개선 계획도 발표되었습니다.

Transcript

가운데 좀 올려 주세요. 주 >> 안녕하십니까? 오늘 사회를 맡은 모태카드의 최분석 상무입니다. 그럼 지금부터 대월로 브리핑을 시작하도록 하겠습니다. 브리핑 시작에 앞서 오늘 이곳에 와 주신 기자님들께 먼저 사과의 말씀을 드리고자 합니다. 너무 촉박하게 브리핑 일정 등을 안내드리고 진행하게 되어 깊이 사과의 말씀을 드립니다. 또한 바쁘신 일정에도 불구하고이 자리에 참석해 주셔서 진심으로 감사드립니다. 오늘 브리핑 진행 순서는 먼저 대표의사를 포함한 임원분들의 대곡객 사화의 자리가 있으며 이후 대론 브리핑을 조자진 대표의사가 직접 전해 드리도록 하겠습니다. 그리고 사고 계회와 보안 강화 조치는 정보보호실장에 고객 정보 유... Read More

Key Insights

• 사고 경과는 8월 12일 취약점 스캐닝 시작에서 시작되어 8월 26일 악성 코드 발견으로 격리 및 점검이 진행되었습니다
• 추가로 9월 17일에 200GB 규모의 추가 유출 사실이 확인되었고 최종적으로 297만 명의 정보 유출이 확인되었습니다
• 유출된 정보의 범위는 온라인 결제 이력 및 로그 중심으로 제한되었고 오프라인 결제에는 영향을 미치지 않는다고 설명했습니다
• 부정 사용 가능성이 있는 28만 명에 대해 카드를 재발급하는 조치를 최우선으로 안내했습니다
• 그 외의 269만 명은 정보의 일부가 유출되었으나 실질적 부정 사용 가능성은 낮다고 설명했습니다
• 롯데카드는 5년간 1100억 원 규모의 정보보호 투자와 전사적 보안 체계 혁신 계획을 발표했습니다
• 네트워크 보안 강화, 웹 방화벽 재구축, 서버 EDR 도입 등 기술적 대책을 포함했습니다
• 고객 지원으로 크레딧케어 무상 제공 및 카드 사용 내역 알림 서비스 연말까지 무료 제공을 약속했습니다

Questions & Answers

Q: 어떤 경로로 정보가 유출되었는가?

정보 유출은 온라인 결제 서버를 중심으로 발생했으며 8월 26일 악성 코드 감염 확인 이후 서버를 격리하고 전체 서버를 검사하는 조치가 취해졌습니다. 구체적으로 8월 14일부터 27일 사이에 파일이 지속적으로 유출되었고 1.7GB와 200GB 규모의 데이터 유출 흔적이 확인되었습니다.

Q: 피해 규모는 얼마나 되나?

유출된 고객 규모는 총 297만 명으로 확인되었고 이 중 28만 명은 부정 사용 가능성이 있어 재발급이 최우선 대상으로 제시되었습니다. 나머지 269만 명은 정보의 일부만 유출되었으며 오프라인 결제에는 영향이 없다고 설명했습니다.

Q: 온라인과 오프라인 결제의 차이점은 무엇인가?

온라인 결제의 경우 로그 정보에 카드 정보가 포함되어 유출되었다고 설명했으며 오프라인 결제의 경우 IC 카드나 마그네틱 카드의 물리적 정보 복제에 필요한 데이터가 포함되지 않아 부정 사용 가능성이 낮다고 판단했습니다.

Q: 재발급 대상은 누구이며 어떤 절차가 필요한가?

재발급 대상은 28만 명으로 판단되며 재발급 안내 문자와 전화로 안내가 이뤄질 예정입니다. 또한 해외 거래 차단 및 비밀번호 변경 등 추가 보안 조치도 함께 안내될 수 있습니다.

Q: 향후 어떤 보안 강화 조치가 예정되어 있나?

향후 보안 강화 조치로 네트워크 보안 강화, 웹방화벽 및 IPS 재정검, 서버 EDR 도입, 로그 저장 최소화 및 암호화 관리 고도화가 포함됩니다. 또한 24시간 통합 보안 관제 체제를 강화하고 전사적인 보안 투자를 확대하기로 했습니다.

Q: 고객 지원 조치는 어떤 것이 있는가?

고객 지원으로 24시간 상담센터를 확대 운영하고 크레딧케어를 연말까지 무료로 제공하며 카드 사용 내역 알림 서비스도 연말까지 무료로 제공할 예정입니다. 재발급 대상자에 대해서는 차년도 연회비를 면제하는 혜택도 언급되었습니다.

Q: 사고의 원인과 책임은 누구에게 있는가?

롯데카드 대표이사가 직접 사과하고 사고의 원인 분석과 보안 강화 계획을 제시했습니다. 회사 측은 내부 보안 관리의 미흡함을 인정하고 경영 전반의 혁신과 대규모 정보보호 투자 계획을 발표했습니다.

Q: 금융 당국과의 조사 상황은 어떠한가?

금융 당국의 경찰 및 보안 기관과의 합동 조사가 진행되었고 9월 17일에 추가 유출 사실과 구체적 내용의 확인이 이루어졌습니다. 조사를 통해 유출 규모와 데이터의 구체적 범위가 확정되었습니다.

Summary & Key Takeaways

• 사고 경과를 기준으로 시작점은 8월 12일 외부 공격자에 의한 취약점 스캐닝이며 8월 26일 악성 코드 확인 후 시스템 격리 및 전 서버 점검이 진행되었습니다. 9월 17일 추가 정보 유출 사실이 확정되었고 297만 명의 정보 중 28만 명은 부정 사용 가능성이 있는 고객으로 재발급이 최우선 조치로 제시되었습니다.

• 롯데카드는 297만 명의 정보 유출 사실을 인정하고 오프라인 결제에는 영향이 없다고 설명하며, 28만 명에 대해서는 재발급 및 본인 인증 강화 조치를 안내했습니다. 또한 269만 명은 정보의 일부만 유출되었으며 전원에 대한 보상 및 보안 강화 계획을 발표했습니다.

• 보안 강화 계획은 네트워크 보안 강화, 서버 EDR 도입, 로그 최소화, 24시간 모니터링 강화, 해외 거래 차단 및 본인 인증 강화 등을 포함합니다. 크레딧케어 무료 제공, 사용 내역 알림 서비스 연말까지 무료 제공 등 고객 지원 조치도 병행될 예정입니다.]

• Key Insights - 1) 사고 시작 시점과 경과를 명확히 제시하고 즉각적인 격리 및 점검이 이루어졌습니다. 2) 유출 규모는 297만 명으로 확인되었고 이 중 28만 명은 부정 사용 가능성으로 재발급이 최우선 사항으로 제시되었습니다. 3) 온라인 결제 이력 로그를 중심으로 데이터가 유출되었으며 오프라인 결제에는 영향이 없다고 설명했습니다. 4) 향후 보안 투자와 전사적 조직 혁신 계획을 제시하며 5년간 1100억 원 규모의 투자와 정보 보호 인력 재편을 약속했습니다. 5) FDS 모니터링 강화와 더불어 로그 관리의 평문 저장 최소화 등 기술적 개선이 포함되었습니다. 6) 고객 지원으로 크레딧케어 무료 제공과 연말까지 카드 사용 알림 서비스 무료 제공이 포함되었습니다. 7) 사고 조사는 금융 당국과 합동 조사로 진행되었으며 특정 IP 차단 등 즉각적 대응이 이루어졌습니다. 8) 재발 방지를 위한 전사적 보안 체계 및 관제 체계 재정비가 약속되었습니다.