의결375. 롯데카드㈜에 대한 수시검사 결과 조치안(공개용)

의안번호 제 375 호 의 결 사 항 의 결 연 월 일 2026. 7. 31. (제 14 차) 롯데카드㈜에 대한 수시검사 결과 조치안 ※ 본 안건은 수정의결되었는바 관련 의사록과 의결서를 함께 확인하시기 바람. 금융위원회회의 안건 제 출 자 위원장 이 억 원 제출 연월일 2026. 7. 31. 공 개

1. 의결주문 롯데카드㈜에 대한 수시검사 결과 조치안을 <별지>와 같이 의결한다. 2. 제안이유 롯데카드㈜에 대하여 실시한 수시검사(2025.9.2.~2025.10.31. 실시) 결과 확인된 위법사항에 대하여 필요한 조치를 하려는 것임 3. 주요골자 가 . 금융거래의 안전성 확보의무 및 신용정보의 보호의무 위반과 이에 따른 대량 신용정보 유출 □ ｢ 여신전문금융업법｣ 및 ｢ 신용정보법｣ 에서 정하고 있는 금융거래의 안전성 확보의무, 신용정보의 보호 및 관리 의무를 위반하여 대량의 신용정보를 유출한 롯데카드㈜에 대하여 업무 일부정지 및 과징금을 부과하고자 함 4. 참고사항 가. 금융감독원장이 안건 상정을 요청한 사항임 나. 관계법규 : <붙임 1> 다. 제재내용 공개안 * : <붙임 2> * 금융감독원장 조치내용 포함 라. 관계부서 협의 ◦ 제9차 제재심의위원회(2026.4.30.) 심의필 ◦ 제14차 안건검토 소위원회(2026.7.23.) 심의필

<별지> 롯데카드㈜에 대하여 다음과 같이 조치한다. - 다 음 - 1. 조치내용 □ 기관에 대한 조치 ◦ 롯데카드㈜ : 업무 일부정지 1.5개월 * 및 과징금 50억원 부과 * 업무정지 범위 : 신용카드(일부 공공목적 카드상품 등 제외), 선불카드, 직불카드 회원의 신규모집 및 신규 신용카드회원에 대한 자금 융통 약정의 체결 2. 조치사유 : 금융거래의 안전성 확보의무 및 신용정보의 보호의무 위반과 이에 따른 대량 신용정보 유출 □ ｢ 여신전문금융업법 (이하 ‘여전법’) ｣ 제54조의4 및 제54조의5, ｢ 신용정보법｣ 제19조 및 제20조, ｢ 여신전문금융업감독규정 (이하 ‘여전업 감독규정’) ｣ 제26조의4, ｢ 전자금융감독규정｣ 제14조 및 제15조 등에 의하면 신용카드업자는 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 기술적·물리적· 관리적 보안대책을 수립·운용하는 등 신용정보의 보호 및 관리에 대한 조치를 하여야 하며, 금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융 업무 등에 대한 보안대책 기준을 준수하여야 하는데도, ◦ 롯데카드는 20xx.x.x.~20xx.x.xx. 기간 중 온라인 결제 시스템을 운영 하면서 다음과 같이 신용정보전산시스템에 대한 보안대책을 적정하게 수립·운영하지 아니하고, 금융거래의 안전성과 신뢰성 확보를 위한

정보기술부문 및 전자금융업무 등에 대한 보안대책 기준을 준수하지 아니함으로써 20xx.x.xx.∼20xx.x.xx. 기간 중 신원미상의 해커에 의해 롯데카드 고객 xxx만명의 신용정보가 유출되는 결과를 초래하였음 ㈎ 정보처리시스템의 보정(patch) 작업 미실시 * * ｢ 여신전문금융업법｣ 제54조의4, ｢ 여신전문금융업감독규정｣ 제26조의4, ｢ 전자금융 감독규정｣ 제14조 등 위반 □ 롯데카드는 전체 웹 어플리케이션 서버 (총 xx식) 중 일부에만 보안패치를 적용하고 온라인 결제 서버 (x식) 에는 중요 취약점 보안 패치의 보정 작업을 미실시 하였음 (정보유출 종료일인 20xx.x.xx. 기준) ㅇ 서버 소프트웨어 제조사 (오라클 社) 는 해킹 위험에 따른 중요 보안 취약점 보안패치를 배포 * 하고, 금융보안원이 세 차례에 걸쳐 동 보안패치의 보정 작업을 권고 ** 하였으며, 금융감독원은 관련한 개선요구 *** 를 한 바 있음 * 20xx.xx월 오라클社가 중요 보안 취약점(CVE-2017-10271) 패치 배포 ** 20xx.x.xx.∼20xx.xx.xx. 기간 중 금융보안원은 웹 어플리케이션 서버 프로그램 (웹로직) 취 약점에 대해 보안패치를 적용하라고 권고문을 3차례 전 금융회사에 발송 *** 20xx.x.x.∼x.x. 기간 중 실시된 금융감독원의 정기검사 결과 취약점 분석·평가 관리 체계 관련 업무절차 등을 개선하고, 신규 취약점을 악용한 해킹 및 악성 코드 감염 우려가 있는 기술지원이 종료된 전산자원을 업그레이드·교체하는 등 관리를 강화하도록 조치 ㈏ 침입차단･ 침입탐지시스템 미설치 * * ｢ 여신전문금융업법｣ 제54조의4, 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.1. 접근통제), ｢ 전자금융감독규정｣ 제15조 등 위반 □ 롯데카드는 정보보호장비인 웹방화벽에 해외카드 온라인 결제 웹서비스의 등록 * 을 누락함으로써 동 서비스에 침입차단 및 탐지시스템이 미설치되었음

* 해킹 등 침해행위는 탐지 관문이 되는 웹 방화벽에 탐지 대상 서비스의 환경정보 (웹서비스 IP주소, 서비스 포트 번호, 정보보안 서버정보 등)를 등록해야 해당 서비스의 선제적 침입탐지·차단 기능 수행 가능 ㈐ 주민등록번호 및 비밀번호 암호화 미이행 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.3. 개인신용정보의 암호화) 등 위반 □ 롯데카드는 온라인결제시스템 (내부망) 에 비밀번호, 주민등록번호 (개인식별번호) 등이 포함된 거래 기록 (로그) 를 저장하면서도 이를 암호화 * 하지 않았음 * 저장과 동시에 암호화하지 않고 일정 시간(24시간∼48시간)이 경과한 후 암호화 되도록 운영함으로써 거래기록이 장시간 평문상태로 유지되도록 방치하였고, 비밀 번호 네자리를 암호화하여 저장하지 않은 로그 파일 xxx,xxx건도 존재(다만, 이번 사고로 유출되지는 않았음) ※ (참고) 롯데카드는 본 유출사고 이후 전산시스템 운영 안정성 등을 고려하여 거래 로그는 저장 후 매 1시간마다 암호화되도록 변경 ㈑ 바이러스 백신 소프트웨어 미설치 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.4. 컴퓨터바이러스 방지) 등 위반 □ 롯데카드는 온라인 결제 웹 어플리케이션 서버(유닉스·리눅스)에 악성 프로그램(웹쉘)이 설치되는 것을 선제적으로 탐지･ 차단･ 치료하기 위한 바이러스 백신 소프트웨어를 미설치 하였음 * 침해사고가 발생한 이후 해당 서버(유닉스·리눅스)에 백신 소프트웨어를 설치하자 동 백신 소프트웨어가 악성프로그램을 탐지하여 삭제하였음 ※ 20xx.x.xx. 롯데카드 정보보호최고책임자(CISO)는 운영 리스크 미팅시 SK텔레콤이 리눅스 서버에 바이러스백신 등 보안 프로그램을 운영하지 않아 해킹사고 방지에 실패하였고, 롯데카드도 동일한 상황이라는 것을 대표이사 등 경영진에 보고하였음 에도 별다른 보완 조치가 이루어지지 않음

㈒ 신용정보보호 관련 법규 준수 여부에 대한 점검 소홀 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅲ.1. 신용정보관리보호인) 등 위반 □ 롯데카드의 신용정보관리·보호인은 20xx년부터 20xx년까지 “신용 정보 관리 및 보호 실태 (금융분야 정보보호 상시평가) ”를 점검하면서 대량의 개인신용정보가 저장된 온라인결제시스템의 기술적·물리적· 관리적 보안대책 적정성에 대해서는 점검하지 않았음 ◦ 그럼에도 불구하고, 롯데카드의 신용정보관리·보호인은 모든 신용정보 전산시스템의 기술적·물리적·관리적 보안대책 점수를 100점으로 평가 하여 대표이사 및 이사회에 이상이 없는 것으로 보고하였음 <관련법규> 1. ｢ 여신전문금융업법｣ 제54조의4 제2항, 제54조의5 제1항 및 제4항, 제57조 제1항 제2호 2. ｢ 여신전문금융업법 시행령｣ 제19조의24 제1항, 제21조 제1항 및 제2항 3. ｢ 여신전문금융업감독규정｣ 제26조의4 4. ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제19조 제1항, 제20조 제3항, 제4항 및 제6항, 제42조의2 제1항 제1호 5. ｢ 신용정보의 이용 및 보호에 관한 법률 시행령｣ 제2조 제6항, 제16조 제1항, 제2항, 제17조 제7항 및 제8항 6. ｢ 신용정보업감독규정｣ 제20조, [별표3] 7. ｢ 전자금융감독규정｣ 제14조 제4호, 제15조 제1항 제1호

< 붙임 1> 관계 법규 1. 여신전문금융업법 관련 법규 □ ｢ 여신전문금융업법｣ 제54조의4(안전성확보의무) ① 여신전문금융회사등과 부가통신업자는 금융거래가 안전 하게 처리될 수 있도록 선량한 관리자로서의 주의를 다하여야 한다. ② 여신전문금융회사등과 부가통신업자는 금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융업무에 관하여 금융위원회가 정하는 기준을 준수하여야 한다. ③ (생략) 제54조의5(신용정보보호) ① 여신전문금융회사등과 부가통신업자는 신용정보가 분실 ㆍ 도난 ㆍ 유출 ㆍ 변조되지 아니하도록 신용정보의 보호 및 관리에 관한 조치를 하여야 한다. ② ~ ③ (생략) ④ 그 밖에 제1항부터 제3항까지에 관한 방법과 절차 등 세부사항은 대통령령으로 정한다. 제57조(허가 ㆍ 등록의 취소 등) ① 금융위원회는 여신전문금융회사등과 부가통신업자가 다음 각 호의 어느 하나에 해당하는 경우에는 6개월의 범위에서 기간을 정하여 제46조 제1항제1호부터 제4호까지의 규정에 따른 업무(신용카드업자의 경우 제13조제1항제1호에 따른 부대업무를 포함한다) 또는 같은 항 제5호에 따른 업무 중 대통령령으로 정하는 업무와 신용카드등부가통신업의 전부 또는 일부의 정지를 명할 수 있다. 1. (생략) 2. 제14조, 제14조의2, 제16조, 제17조, 제18조, 제21조, 제23조제1항, 제24조의2, 제25조 제4항, 제46조(이 항 각 호 외의 부분에서 정하는 업무에 관한 규정으로 한정한다), 제54조의4제2항 ㆍ 제3항 또는 제54조의5를 위반한 경우 3. ~ 6. (생략) ② ~ ③ (생략) □ ｢ 여신전문금융업법 시행령｣ 제19조의24(신용정보보호) ① 법 제54조의5제1항에 따른 여신전문금융회사등과 부가 통신업자의 신용정보의 보호 및 관리에 관한 조치의 세부내용에 대해서는 「신용정보의 이용 및 보호에 관한 법률」 제19조 및 같은 법 시행령 제16조를 준용한다. 이 경우 “신용정보제공 ㆍ 이용자”는 “여신전문금융회사등과 부가통신업자”로 본다.

② (생략) 제21조(업무정지 및 과징금 부과의 기준 등) ① 법 제57조제1항 또는 법 제58조제1항부터 제3항까지의 규정에 따라 업무정지를 명하거나 과징금을 부과할 수 있는 위반행위의 종류에 따른 업무정지의 기간 또는 과징금의 금액은 별표 2와 같다. ② 금융위원회는 위반행위의 정도 및 횟수 등을 고려하여 제1항에 따른 업무정지의 기간 또는 업무정지명령에 갈음하여 부과하는 과징금의 금액을 2분의 1의 범위에서 늘리거나 줄일 수 있다. 다만, 늘리는 경우에도 업무정지의 총기간은 6개월을, 과징금의 총액은 1억원을 초과할 수 없다. ③ ~ ④ (생략) <별표2> 업무정지의 기간 또는 과징금의 금액(제21조제1항 관련) 위반행위 근거 법조문 업무정지기간 과징금 금액 2. 신용카드업자가 법 제54조의4제2항·제3항 또는 제54조의5 를 위반한 경우 법 제57조 제1항제2호 3개월 5천만원

2. 신용정보법 관련 법규 □ ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제19조(신용정보전산시스템의 안전보호) ① 신용정보회사등은 신용정보전산시스템(제25조 제6항에 따른 신용정보공동전산망을 포함한다. 이하 같다)에 대한 제3자의 불법적인 접근, 입력된 정보의 변경 ㆍ 훼손 및 파괴, 그 밖의 위험에 대하여 대통령령으로 정하는 바에 따라 기술적 ㆍ 물리적 ㆍ 관리적 보안대책을 수립 ㆍ 시행하여야 한다. ② (생략) 제20조(신용정보 관리책임의 명확화 및 업무처리기록의 보존) ①~② (생략) ③ 신용정보회사, 본인신용정보관리회사, 채권추심회사, 신용정보집중기관 및 대통령령 으로 정하는 신용정보제공 ㆍ 이용자는 제4항에 따른 업무를 하는 신용정보관리 ㆍ 보호인을 1명 이상 지정하여야 한다. 다만, 총자산, 종업원 수 등을 감안하여 대통령령으로 정하는 자는 신용정보관리 ㆍ 보호인을 임원(신용정보의 관리 ㆍ 보호 등을 총괄하는 지위에 있는 사람으로서 대통령령으로 정하는 사람을 포함한다)으로 하여야 한다. ④ 제3항에 따른 신용정보관리 ㆍ 보호인은 다음 각 호의 업무를 수행한다. 1. 개인신용정보의 경우에는 다음 각 목의 업무 가. (생략) 나. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검 다. (생략) 2. (생략) ⑤ (생략) ⑥ 대통령령으로 정하는 신용정보회사등의 신용정보관리 ㆍ 보호인은 처리하는 개인신용 정보의 관리 및 보호 실태를 대통령령으로 정하는 절차와 방법에 따라 정기적으로 점검 하고, 그 결과를 금융위원회에 제출하여야 한다. ⑦~⑧ (생략) 제42조의2(과징금의 부과 등) ① 금융위원회(제45조의3제1항에 따른 상거래기업 및 법인이 다음 각 호의 어느 하나에 해당하는 행위를 한 경우에는 보호위원회를 말한다)는 다음 각 호의 어느 하나에 해당하는 행위가 있는 경우에는 전체 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있다. 다만, 제1호에 해당하는 행위가 있는 경우 에는 50억원 이하의 과징금을 부과할 수 있다. 1. 제19조제1항을 위반하여 개인신용정보를 분실 ㆍ 도난 ㆍ 누출 ㆍ 변조 또는 훼손당한 경우 1의2. ~ 3. (생략)

② (생략) ③ 금융위원회 또는 보호위원회는 제1항에 따른 과징금을 부과하려면 다음 각 호의 사항을 고려하여야 한다. 1. 위반행위의 내용 및 정도 2. 위반행위의 기간 및 횟수 3. 위반행위로 인하여 취득한 이익의 규모 ④ 제1항에 따른 과징금은 제3항을 고려하여 산정하되, 구체적인 산정기준과 산정절차는 대통령령으로 정한다. ⑤ ~ ⑨ (생략) □ ｢ 신용정보의 이용 및 보호에 관한 법률 시행령｣ 제2조(정의) ①~⑤ (생략) ⑥ 법 제2조제1호의3가목4)에서 “대통령령으로 정하는 거래”란 다음 각 호의 거래를 말한다. 1.~6. (생략) 7. 그 밖에 제1호부터 제6호까지의 규정에 따른 거래와 유사한 거래로서 다음 각 목 및 제21조제2항 각 호의 기관이 수행하는 거래 가.~머. (생략) 버. 「여신전문금융업법」에 따른 여신전문금융회사(「여신전문금융업법」 제3조제3항 제1호에 따라 허가를 받거나 등록을 한 자를 포함한다) 서.~노. (생략) ⑦~ ㉖ (생략) 제16조(기술적 ㆍ 물리적 ㆍ 관리적 보안대책의 수립) ① 법 제19조제1항에 따라 신용정보 회사등은 신용정보전산시스템의 안전보호를 위하여 다음 각 호의 사항이 포함된 기술적 ㆍ 물리적 ㆍ 관리적 보안대책을 세워야 한다. 1. 신용정보에 제3자가 불법적으로 접근하는 것을 차단하기 위한 침입차단시스템 등 접근통제장치의 설치 ㆍ 운영에 관한 사항 2. 신용정보전산시스템에 입력된 정보의 변경 ㆍ 훼손 및 파괴를 방지하기 위한 사항 3. 신용정보 취급 ㆍ 조회 권한을 직급별 ㆍ 업무별로 차등 부여하는 데에 관한 사항 및 신용 정보 조회기록의 주기적인 점검에 관한 사항 4. 그 밖에 신용정보의 안정성 확보를 위하여 필요한 사항 ② (생략)

제17조(신용정보관리 ㆍ 보호인의 지정 등) ①~⑥ (생략) ⑦ 법 제20조제6항에서 “대통령령으로 정하는 신용정보회사등”이란 다음 각 호의 기관을 말한다. 1. (생략) 2. 제2조제6항제7호가목, 다목부터 카목까지, 하목부터 버목까지, 어목부터 처목까지 및 터목부터 허목까지의 자 3.~4. (생략) ⑧ 법 제20조제6항에서 “대통령령으로 정하는 절차와 방법”이란 신용정보관리 ㆍ 보호인이 법 제20조제4항제1호 각 목에 따른 업무에 대하여 연 1회 이상 점검을 실시한 후, 그 결과를 대표자 및 이사회에 보고하고 금융위원회가 정하여 고시하는 기준과 서식에 따라 금융위원회에 제출하는 것을 말한다. 제35조의3(과징금의 산정기준 등) ① ~ ② (생략) ③ 법 제42조의2에 따른 과징금의 산정기준은 별표 2의3과 같다. ④ ~ ⑦ (생략) <별표2의3> 과징금의 산정기준(제35조의3제3항 관련) 1. 과징금의 산정절차 가. 기본과징금의 산정 1) 기본과징금은 법 제42조의2제1항·제2항 및 이 영 제35조의3제4항에서 정한 과징금 금액의 상한에 2)에 따른 부과기준율을 곱한 금액으로 한다. 2) 부과기준율은 법 제42조의2제3항 각 호의 사항 등을 고려하여 위반행위의 중대성 정도를 "중대성이 약한 위반행위", "중대한 위반행위", "매우 중대한 위반행위"로 구분하여 금융위원회가 정하여 고시한다. 나. 기본과징금의 조정 금융위원회는 법 제42조의2제3항 각 호의 사항(부과기준율 산정 단계에서 고려된 세부 참작사항은 제외한다), 위반행위에 대한 검사의 협조 여부, 위반상태의 해소나 위반행위의 예방을 위한 노력, 그 밖에 금융위원회가 정하여 고시하는 사유를 고려 하여 가목에 따라 산정한 기본과징금 금액을 감경하거나 2분의 1 범위에서 가중할 수 있다. 다만, 가중하는 경우에도 법 제42조의2제1항·제2항 및 이 영 제35조의3 제4항에서 정한 과징금 금액의 상한을 초과할 수 없다. 다. 부과과징금의 결정 1) 금융위원회는 위반자의 현실적인 부담능력 등 특별한 사정, 금융시장 또는 경제 여건, 위반행위로 인하여 발생한 피해의 배상 정도, 위반행위로 인하여 취득한 이익의 규모, 그 밖에 금융위원회가 정하여 고시하는 사유를 고려할 때, 나목에 따라 조정한 과징금 금액이 과중하다고 인정되는 경우에는 이를 감액하여 부과 과징금으로 정할 수 있다.

2) 금융위원회는 위반자의 지급불능·지급정지 또는 자본잠식 등의 사유로 인하여 위반자가 객관적으로 과징금을 납부할 능력이 없다고 인정되는 경우, 자신의 행위가 위법하지 않은 것으로 오인한 데 정당한 사유가 있는 경우, 과징금 외에 실효성 있는 다른 조치를 이미 받은 경우, 위반의 정도가 경미한 경우, 나목에 따라 조정한 과징금 금액이 소액인 경우, 그 밖에 금융위원회가 정하여 고시하는 사유에 해당하는 경우에는 과징금을 면제할 수 있다. 2. 세부기준 부과기준율 등 기본과징금의 산정, 기본과징금의 조정, 부과과징금의 결정, 그 밖에 과징금의 부과 등에 필요한 세부기준에 관한 사항은 금융위원회가 정하여 고시한다. □ ｢ 신용정보업감독규정｣ 제20조(기술적·물리적·관리적 보안대책) 영 제16조제2항에 따라 신용정보회사등이 마련 해야 할 기술적 ㆍ 물리적 ㆍ 관리적 보안대책의 구체적인 기준은 별표 3과 같다. <별표3> 기술적·물리적·관리적 보안대책 마련 기준(제20조 관련) Ⅱ. 기술적·물리적 보안대책 1. 접근통제 ④ 신용정보회사등은 개인신용정보처리시스템에 침입차단시스템과 침입탐지시스템을 설치하여 보호한다. ⑥ 신용정보회사등은 취급 중인 개인신용정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템 및 개인 신용정보취급자의 PC를 설정한다. 3. 개인신용정보의 암호화 ① 신용정보회사등은 비밀번호, 생체인식정보 등 본인임을 인증하는 정보는 암호화 하여 저장하며, 이는 조회할 수 없도록 하여야 한다. 다만, 조회가 불가피하다고 인정되는 경우에는 그 조회사유 ㆍ 내용 등을 기록 ㆍ 관리하여야 한다. ④ 신용정보회사등은 다음 각 호의 기준에 따라 개인식별정보의 암호화 등의 조치를 취하여야 함 3. 신용정보회사등이 내부망에 개인식별정보를 저장하는 경우에는 암호화하여야 함. 다만, 영 제2조제2항 각 호의 정보 중 주민등록번호 외의 정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있음 4. 컴퓨터바이러스 방지 ① 신용정보회사등은 개인신용정보처리시스템 및 개인신용정보취급자가 개인신용정보 처리에 이용하는 정보처리기기에 컴퓨터바이러스, 스파이웨어 등 악성프로그램의 침투 여부를 항시 점검 ㆍ 치료할 수 있도록 백신소프트웨어를 설치한다.

Ⅲ. 관리적 보안대책 1. 신용정보관리·보호인 ① 신용정보관리·보호인은 다음 각 호의 업무를 담당함 1. 개인신용정보의 경우 나. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검 ② 신용정보관리 ㆍ 보호인은 제1항의 업무처리에 따른 기록을 3년간 보존하며, 점검 결과를 경영진에 보고하고 업무처리절차에 적절히 반영하여야 한다. 3. 전자금융거래법 관련 법규 □ ｢ 전자금융감독규정｣ 제14조(정보처리시스템 보호대책) 금융회사 또는 전자금융업자는 정보처리시스템의 안전한 운영을 위하여 운영매뉴얼, 유지보수관리대장, 책임자명부 및 장애상황기록부 등 다음 각 호를 포함한 보호대책을 수립 ㆍ 운용하여야 한다. 4. 정보처리시스템의 긴급하고 중요한 보정(patch)사항에 대하여는 즉시 보정작업을 할 것 제15조(해킹 등 방지대책) ① 금융회사 또는 전자금융업자는 정보처리시스템 및 정보 통신망을 해킹 등 전자적 침해행위로부터 방지하기 위하여 다음 각 호의 대책을 수립 ㆍ 운용하여야 한다. 1. 해킹 등 전자적 침해행위로 인한 사고를 방지하기 위한 정보보호시스템 설치 및 운영 2. ~ 5. (생략) ② ~ ⑦ (생략) 4. 검사 및 제재 관련 법규 □ ｢ 금융기관 검사 및 제재에 관한 규정｣ 제17조(기관에 대한 제재) ① 금융위설치법, 금융산업구조개선법 및 금융업관련법의 규정 등에 의거 금융기관에 대하여 취할 수 있는 제재의 종류 및 사유는 다음 각호와 같다. 1. (생략) 2. 영업 ㆍ 업무의 일부에 대한 정지 가. 삭 제 나. 금융기관의 건전한 영업 또는 업무를 저해하는 행위를 함으로써 건전경영을 훼손하거나 당해 금융기관 또는 금융거래자 등에게 재산상 손실을 초래한 경우 다. ~ 라. (생략) 3 ~ 9. (생략)

제18조(임원에 대한 제재) ① 금융위설치법, 금융산업구조개선법 및 금융업관련법의 규정 등에 의거 금융기관의 임원에 대하여 취할 수 있는 제재의 종류 및 사유는 다음 각호와 같다. 1. 해임권고(해임요구, 개선(改選)요구를 포함한다. 이하 같다.) 가. 고의로 중대한 위법 ㆍ 부당행위를 함으로써 금융질서를 크게 문란시키거나 금 융기관의 공신력을 크게 훼손한 경우 나. 금융기관의 사회적 명성에 중대한 손상이 발생하는 등 사회적 물의를 야기하 거나 금융기관의 건전한 운영을 크게 저해함으로써 당해 금융기관의 경영을 심히 위태롭게 하거나 당해 금융기관 또는 금융거래자 등에게 중대한 재산상 의 손실을 초래한 경우 다. ~ 바. (생략) 2. 업무집행의 전부 또는 일부의 정지 가. 위법 ㆍ 부당행위가 제1호 각 목의 어느 하나에 해당되고 제1호에 따른 제재의 효과를 달성하기 위해 필요한 경우 나. 위법 ㆍ 부당행위가 제1호 각 목의 어느 하나에 해당되나 위법 ㆍ 부당행위의 동기, 목적, 방법, 수단, 사후수습 노력 등을 고려할 때 정상참작의 사유가 있는 경우 3. 문책경고 가. 금융관련법규를 위반하거나 그 이행을 태만히 한 경우 나. 당해 금융기관의 정관에 위반되는 행위를 하여 신용질서를 문란시킨 경우 다. 감독원장이 금융관련법규에 의하여 요구하는 보고서 또는 자료를 허위로 제출 하거나 제출을 태만히 한 경우 라. 직무상의 감독의무 이행을 태만히 하여 금융기관의 건전한 운영을 저해하거나 금융질서를 문란시킨 경우 마. 금융관련법규에 의한 감독원의 감독과 검사업무의 수행을 거부·방해 또는 기피한 경우 바. 금융위, 감독원장, 기타 감독권자가 행한 명령, 지시 또는 징계요구의 이행을 태만히 한 경우 사. 기타 금융기관의 건전한 운영을 저해하는 행위를 한 경우 4. ~ 5. (생략) 제19조(직원에 대한 제재) ① 감독원장은 금융관련법규에 따라 다음 각호의 어느 하나에 해당하는 경우 금융위에 금융기관의 직원에 대한 면직요구 등을 건의하거나 당해 금융 기관의 장에게 소속 직원에 대한 면직, 정직, 감봉, 견책 또는 주의 등의 제재조치를 취할 것을 요구할 수 있다. 1. 금융기관의 건전성 또는 금융소비자 권익을 크게 훼손하거나 금융질서를 문란하게 한 경우

2. 당해 금융기관의 내부통제체제가 취약하거나 제2항에 의한 자율처리필요사항이 과거에 부적정하게 처리되는 등 자율처리필요사항을 통보하기에 적합하지 않다고 판단되는 경우 □ ｢ 금융기관 검사 및 제재에 관한 규정 시행세칙｣ 제45조(직원에 대한 제재) ① 규정 제5조 및 제19조에 의한 금융기관 직원에 대한 제재의 종류 및 사유는 다음과 같다. 1. 면직 가. 고의 또는 중대한 과실로 위법·부당행위를 행하여 금융기관 또는 금융거래자에게 중대한 손실을 초래 하거나 신용질서를 크게 문란시킨 경우 나. 횡령, 배임, 절도, 업무와 관련한 금품수수 등 범죄행위를 한 경우 다. 변칙적·비정상적인 업무처리로 자금세탁행위에 관여하여 신용질서를 크게 문란 시킨 경우 라. 고의 또는 중과실로 감독원장이 금융관련법규에 의하여 요구하는 보고서 또는 자료를 허위로 제출함으로써 감독과 검사업무 수행을 크게 저해한 경우 마. 고의 또는 중과실로 직무상의 감독의무를 태만히 하여 금융기관의 건전한 운영을 크게 저해하거나 금융질서를 크게 문란시킨 경우 2. 업무의 전부 또는 일부에 대한 정직 제1호 각목의 1에 해당되나 정상참작의 사유가 있거나 위법·부당행위의 정도가 비교적 가벼운 경우 3. 감봉 가. 위법·부당행위를 한 자로서 금융기관 또는 금융거래자에게 상당한 손실을 초래 하거나 신용질서를 문란시킨 경우 나. 업무와 관련하여 범죄행위를 한 자로서 사안이 가벼운 경우 또는 손실을 전액 보전한 경우 다. 자금세탁행위에 관여한 자로서 사안이 가벼운 경우 라. 감독원장이 금융관련법규에 의하여 요구하는 보고서 또는 자료를 허위로 제출 하거나 제출을 태만히 한 경우 마. 직무상의 감독의무 이행을 태만히 하여 금융기관의 건전한 운영을 저해하거나 금융질서를 문란시킨 경우 4.~ 5. (생략) 제46조의3(미등기 임원에 대한 제재) 이사·감사와 사실상 동등한 지위에 있는 미등기 임원에 대하여는 임원에 대한 제재기준을 준용하여 제재양정을 결정하며, 직원에 대한 제재조치를 부과한다.

<별표2> 과징금 부과기준 1. 목 적 (전략) ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제42조의2(과징금의 부과 등) 및 동법 시행령 제35조의3(과징금의 산정기준 등) ㆍ 별표 2의3 (후략)에 따라 과징금을 부과함에 있어 필요한 사항을 정함을 목적으로 한다. <별표3>Ⅰ-5. 개인신용정보 등의 부당이용 또는 유출행위 1. 제재대상 (1) ~ (2) (생략) (3) 개인신용정보 등 보호대책 소홀로 인한 개인신용정보 등의 부당이용·유출 ◦ 신용정보전산시스템에 대한 기술적 ㆍ 물리적 ㆍ 관리적 보안대책을 소홀히 하여 제3자의 불법적인 접근, 입력된 정보의 변경 ㆍ 훼손 및 파괴, 그밖의 위험을 초래한 경우(신용정보법 제19조제1항) ◦ 전자금융거래의 안전성 확보의무를 소홀히 하는 행위(「전자금융거래법」제21조) ◦ 제3자에 개인신용정보에 대한 조회권한을 부여하였으나 실제 조회․이용 등 사실이 확인 되지 않은 경우(신용정보법 제32조 제1항) 2. 제재기준 (1) (생략) (2) 개인신용정보 등 보호대책 수립 ㆍ 운영 등 소홀[제재대상(3)] ◦ 위반유형(부당이용, 유출), 위반경로(내부직원, 외부침입), 위반건수 및 개인신용정보 등의 보호대책의 소홀 정도 등을 종합적으로 감안하여 기관 및 임직원을 제재한다. ◦ 신용정보관리보호인, 정보보호최고책임자 등이 CEO 등 임원에게 정보보호관련 조치필요사항을 보고하였음에도 적정한 조치를 취하지 않은 경우에는 소관임원에게 주된 책임을 부과한다. 원인 결과 * 정보보호 소홀정도가 중대 정보보호 소 홀 정 도 가 경 미 기관 임직원 기관 임직원 중 대 업무정지 직무정지 (정직) 이상 기관경고 문책경고 (감봉) 보 통 기관경고 문책경고 (감봉) 기관주의 주의적경고 (견책) 경 미 기관주의 주의적경고 (견책) - - * 위반경로·유형별 위반건수, 신용정보 등의 유형(신용정보, 식별정보), 사회적 물의 야기, 고객피해 정도 등 3. (생략) 4. 가중 및 감경 ㆍ 개인신용정보 등의 부당이용 또는 유출 등으로 인하여 사회적 물의를 야기하여 신용정보 등의 보호에 대한 신뢰가 훼손된 경우에는 제재를 가중할 수 있다. ㆍ (생략)

2. 관련 금융기관에 대한 과징금 산정방식 가. 과징금 부과의 기초가 되는 기준금액을 정한다. 나. 기준금액에 법에서 정한 부과비율을 곱하여 법정부과한도액을 산정하며, 기준 금액이 위반금액 전액인 경우에는 그 금액을 법정부과한도액으로 한다. 다만, 이 기준에서 따로 정하는 경우에는 그러하지 아니하다. 다. 법정부과한도액에 부과기준율을 곱하여 기본과징금을 산정한다. 라. 위반자에게 가중 ㆍ 감경사유가 있는 경우에는 이에 따라 기본과징금을 조정한다. 마. ~ 바. (생략) 3. 기준금액과 법정부과한도액의 산정 가. 기준금액은 법정부과한도액 산정의 기초가 되는 금액으로서 (중략) 「신용정보의 이용 및 보호에 관한 법률」 제42조의2제1항 및 제2항 (중략)에서 정한 위반금액 (위반행위가 신용공여 관련사항으로서 하나의 신용공여가 여러 위반행위를 구성 하는 경우 당해 신용공여는 위반금액에 중복하여 포함하지 아니한다)을 말하며, 위반행위가 일정기간 지속된 경우에는 그 기간중 위반금액의 최고액을 기준금액 으로 한다. 나. 법정부과한도액은 기준금액에 (중략) 「신용정보의 이용 및 보호에 관한 법률」 제42조의2제1항 본문 (중략)에서 정한 부과비율(이하 "법정최고부과비율"이라 한다)을 곱한 금액 및 (중략) 「신용정보의 이용 및 보호에 관한 법률」 제42조의2 제1항 단서 또는 제2항 단서 및 동법 시행령 제35조의3제4항 (중략)에서 정하는 금액을 말한다. 4. 기본과징금의 산정 가. 금융지주회사(자회사등 포함), 은행(은행법상의 금융기관), 여신전문금융회사등, 부가 통신업자, 보험회사, 금융투자업자, 종합금융회사, 신용정보회사, 대부업자, 상호저축 은행 등의 경우에는 법정부과한도액에 아래표의 부과기준율을 곱하여 기본과징금을 산정한다. < 부과기준율표 > 중대성의 정도 세부평가 기준표에 따른 산정점수 부과기준율 매우 중대한 위반행위 2.3이상 100% 중대한 위반행위 1.6이상 2.3미만 75% 중대성이 약한 위반행위 1.6미만 50%

※ 세부평가 기준표에서 고려되지 않거나 세부평가 기준표와 다르게 고려할 사유 (해당 사유가 가중 또는 감면사유와 중복되는 경우는 제외한다)가 있는 경우에는 부과기준율에 10%를 가감하여 비율을 달리 결정할 수 있다. 다만, 이 경우 그 사유를 검사결과 조치안에 명시하여야 한다. < 세부평가 기준표 > ※ 위반행위가 세부 참작사항별 부과수준 중 두 가지 이상에 해당하는 경우에는 높은 점수의 부과수준을 적용한다. 부과수준 상(3점) 중(2점) 하(1점) 참작사항 비중 위반 행위 내용 위반행위 동기 0.2 위반행위가 위반자의 고의에 의한 경우로서 위반행위의 목적, 동기, 당해 행위에 이른 경위 등에 특히 참작할 사유 가 없는 경우 위반행위가 위반자의 고의에 의한 경우로서 위반행위의 목적, 동기, 당해 행위에 이른 경위 등에 특히 참작할 사유 가 있는 경우 또는 위 반행위가 위반자의 중 대한 과실에 의한 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우 위반행위 방법 0.2 위반행위의 방법 및 수 단을 고려할 때, 부당성 이 현저히 큰 경우 위반행위의 방법 및 수 단을 고려할 때, 부당성 이 경미하지 않은 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우 위반 행위 정도 부당이득 규모 0.2 위반기간, 위반금액, 거 래조건, 위반자의 재무 현황 등을 고려할 때, 위반행위로 현저한 경 제적 이득을 취하였거 나 취할 가능성이 큰 경우 위반기간, 위반금액, 거 래조건, 위반자의 재무 현황 등을 고려할 때, 위반행위로 경미하지 않은 수준의 경제적 이 득을 취하였거나 취할 가능성이 큰 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우 피해규모 0.2 위반기간, 위반금액, 당 해 금융기관의 재무현 황, 기회비용 등을 고려 할 때, 금융기관 또는 금융거래자에게 현저한 손해를 입혔거나 입힐 가능성이 큰 경우 위반기간, 위반금액, 당 해 금융기관의 재무현 황, 기회비용 등을 고려 할 때, 금융기관 또는 금융거래자에게 경미하 지 않은 수준의 손해를 입혔거나 입힐 가능성 이 큰 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우 시장에 미치는 영향 0.1 당해 위반행위로 인해 금융시장 안정성이나 신용질서의 침해 ㆍ 훼손 정도가 현저히 큰 경우 당해 위반행위로 인해 금융시장 안정성이나 신용질서의 침해 ㆍ 훼손 정도가 경미하지 않은 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우 위반기간 및 횟수 0.1 위반기간이 2년을 초과 하거나 과징금 부과처 분을 받은 날로부터 5 년 이내에 기존의 과징 금 부과처분과 동일한 법규위반 행위를 2회 이상 한 경우 위반기간이 1년을 초과 하거나 과징금 부과처 분을 받은 날로부터 5 년 이내에 기존의 과징 금 부과처분과 동일한 법규위반 행위를 한 경우 상(3점) 또는 중(2점)에 해당되지 않는 경우

※ 부당이득 규모는 위반자가 제3자(「금융회사의 지배구조에 관한 법률」 제2조에 따른 특수관계인에 한정한다)로 하여금 취득하도록 한 부당이득을 포함한다. ※ 산정점수는 참작사항별 비중치에 부과수준별 점수를 곱한 후 각 점수를 합하여 산출 하며, 참작사항별 부과수준의 세부평가에 대한 예시는 아래와 같다. 나. 삭 제 <2013.12.20> 다. 삭 제 <2017.10.19.> 5. ~ 7. (생략) (1) 위반행위 동기 : 위반자가 고의로 위반행위를 하였으나 금융거래자의 피해 발생을 방지하거나 정부 정책에 적극 협조하려는 목적이 있는 경우 등 ☞ 중(2점) (2) 위반행위 방법 : 위반행위가 금융기관 내 조직적으로 이루어진 경우, 소속 임원이 주된 행위자로서 위반행위에 직접 관여한 경우 등 ☞ 상(3점) 위반행위가 조직적으로 이루어지지는 않은 경우 등 ☞ 중(2점) (3) 부당이득 규모 : 신용공여, 채권 ㆍ 주식 취득, 비업무용 부동산 소유 등 위반금액 대비 위반으로 인한 수익 (제3자가 취득한 수익을 포함) 비율이 위반기간 동안 위반자의 자기자본순이익률(당기순이익/자기자본) 보다 큰 경우 등 ☞ 상(3점) 위반금액 대비 위반으로 인한 수익(제3자가 취득한 수익을 포함) 비율이 위반기간 동안 위반자의 총자산 순이익률(당기순이익/총자산)보다 큰 경우, 정상적인 거래조건보다 유리한 조건으로 부당이득을 취득한 경우, 부당이득이 위반기간 동안 영업수익의 1%(또는 당기순이익의 10%)보다 큰 경우 등. 다만, 부당이 득이 10억원(자기자본 1.5조원 미만시 3억원) 이하인 경우에는 하(1점)로 볼 수 있다. ☞ 중(2점) (4) 피해규모 : 당해 금융기관의 손해액(예상액 포함)이 규정 제17조제1항제7호다목(1)이 정하는 금액을 초 과하거나 이에 준하는 경우 등 ☞ 상(3점) 당해 금융기관의 손해액(예상액 포함)이 10억원(자기자본이 1.5조원 미만인 경우에는 3억원)을 초과하는 경우, 금융거래자에게 피해가 발생하였고 비교적 단기간에 피해회복이 어려운 경우 등 ☞ 중(2점) (5) 시장에 미치는 영향 : 당해 또는 동일 위반행위가 언론(「방송법」에 따른 지상파방송사업자가 전국을 대 상으로 행하는 방송 또는 「신문 등의 진흥에 관한 법률」에 따른 일반일간신문 중 서울에 발행소를 두고 전국을 대상으로 발행되는 둘 이상의 신문을 말한다. 이하 같다)에 공표되어 당해 금융기관은 물론 금융업계의 공신력을 실추시킨 경우 등 ☞ 상(3점) 당해 또는 동일 위반행위가 언론에 공표되어 당해 금융기관의 공신력을 실추시키거나 당해 금융기관이 신뢰를 상실하여 금융상품 해지 등이 초래된 경우 등 ☞ 중(2점)

< 붙임 2> 제재내용 공개안 1. 금융기관명 : 롯데카드㈜ 2. 제재조치일 : 2026. 6. 3. 제재조치내용 제재대상 제 재 내 용 회사 업무 일부정지 4.5월, 과징금 50억원 임원 퇴직자 위법사실 통보 (문책경고 수준) 직원 퇴직자 위법사실 통보 (정직 수준), 정직, 감봉 3명 4. 제재대상사실 가. 금융거래의 안전성 확보의무 및 신용정보의 보호의무 위반과 이에 따른 대량 신용정보 유출 □ ｢ 여신전문금융업법｣ 제54조의4 및 제54조의5, ｢ 신용정보법｣ 제19조 및 제20조, ｢ 여신 전문금융업감독규정｣ 제26조의4, ｢ 전자금융감독규정｣ 제14조 및 제15조 등에 의하면 신용카드업자는 신용정보전산시스템에 대한 제3자의 불법적인 접근, 입력된 정보의 변경·훼손 및 파괴, 그 밖의 위험에 대하여 기술적·물리적·관리적 보안대책을 수립· 운용하는 등 신용정보의 보호 및 관리에 대한 조치를 하여야 하며, 금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치, 소요경비 등의 정보기술부문 및 전자금융업무 등에 대한 보안대책 기준을 준수하여야 하는데도, 롯데카드㈜는 2023.1.1.~2025.8.28. 기간 중 온라인 결제 시스템을 운영하면서 다음과 같이 신용정보전산시스템에 대한 보안대책을 적정하게 수립·운영하지 아니하고, 금융거래의 안전성과 신뢰성 확보를 위한 정보기술부문 및 전자금융업무 등에 대한 보안대책 기준을 준수하지 아니함으로써 2025.8.13.∼2025.8.28. 기간 중 신원미상의 해커에 의해 롯데카드 고객 297만명의 신용정보가 유출되는 결과를 초래하였음

㈎ 정보처리시스템의 보정(patch) 작업 미실시 * * ｢ 여신전문금융업법｣ 제54조의4, ｢ 여신전문금융업감독규정｣ 제26조의4, ｢ 전자금융감독규정｣ 제14조 등 위반 □ 롯데카드는 전체 웹 어플리케이션 서버 (총 20식) 중 일부에만 보안패치를 적용하고 온라인 결제 서버 (5식) 에는 중요 취약점 보안 패치의 보정작업을 미실시 하였음 (정보유출 종료일인 2025.8.28. 기준) ㅇ 서버 소프트웨어 제조사 (오라클 社) 는 해킹 위험에 따른 중요 보안 취약점 보안패치를 배포 * 하고, 금융보안원이 세 차례에 걸쳐 동 보안패치의 보정작업을 권고 ** 하였으며, 금융감독원은 관련한 개선요구 *** 를 한 바 있음 * 2017.10월 오라클社가 중요 보안 취약점(CVE-2017-10271) 패치 배포 ** 2018.1.11.∼2024.10.11. 기간 중 금융보안원은 웹 어플리케이션 서버 프로그램 (웹로직) 취약점에 대해 보안패치를 적용하라고 권고문을 3차례 전 금융회사에 발송 *** 2022.6.9.∼7.8. 기간 중 실시된 금융감독원의 정기검사 결과 취약점 분석·평가 관리 체계 관련 업무절차 등을 개선하고, 신규 취약점을 악용한 해킹 및 악성코드 감염 우려가 있는 기술지원이 종료된 전산자원을 업그레이드·교체하는 등 관리를 강화하도록 조치 ㈏ 침입차단･ 침입탐지시스템 미설치 * * ｢ 여신전문금융업법｣ 제54조의4, 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.1. 접근통제), ｢ 전자 금융감독규정｣ 제15조 등 위반 □ 롯데카드는 정보보호장비인 웹방화벽에 해외카드 온라인 결제 웹서비스의 등록 * 을 누락함으로써 동 서비스에 침입차단 및 탐지시스템이 미설치되었음 * 해킹 등 침해행위는 탐지 관문이 되는 웹 방화벽에 탐지 대상 서비스의 환경정보(웹서비스 IP주소, 서비스 포트 번호, 정보보안 서버정보 등)를 등록해야 해당 서비스의 선제적 침입탐지·차단 기능 수행 가능 ㈐ 주민등록번호 및 비밀번호 암호화 미이행 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용 정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.3. 개인신용정보의 암호화) 등 위반 □ 롯데카드는 온라인결제시스템 (내부망) 에 비밀번호, 주민등록번호 (개인식별번호) 등이 포함된 거래 기록 (로그) 를 저장하면서도 이를 암호화 * 하지 않았음 * 저장과 동시에 암호화하지 않고 일정 시간(24시간∼48시간)이 경과한 후 암호화되도록 운영함으로써 거래기록이 장시간 평문상태로 유지되도록 방치하였고, 비밀번호 네자리를 암호화하여 저장하지 않은 로그 파일 172,166건도 존재(다만, 이번 사고로 유출되지는 않았음)

㈑ 바이러스 백신 소프트웨어 미설치 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅱ.4. 컴퓨터바이러스 방지) 등 위반 □ 롯데카드는 온라인 결제 웹 어플리케이션 서버(유닉스·리눅스)에 악성프로그램 (웹쉘)이 설치되는 것을 선제적으로 탐지･ 차단･ 치료하기 위한 바이러스 백신 소프트 웨어를 미설치 하였음 * 침해사고가 발생한 이후 해당 서버(유닉스·리눅스)에 백신 소프트웨어를 설치하자 동 백신 소프트 웨어가 악성프로그램을 탐지하여 삭제하였음 ※ 2025.6.20. 롯데카드 정보보호최고책임자(CISO)는 운영 리스크 미팅시 SK텔레콤이 리눅스 서버에 바이러스백신 등 보안 프로그램을 운영하지 않아 해킹사고 방지에 실패하였고, 롯데카드도 동일한 상황이라는 것을 대표이사 등 경영진에 보고하였음에도 별다른 보완 조치가 이루어지지 않음 ㈒ 신용정보보호 관련 법규 준수 여부에 대한 점검 소홀 * * ｢ 여신전문금융업법｣ 제54조의5, ｢ 여신전문금융업법 시행령｣ 제19조의24, ｢ 신용정보법｣ 제19조, ｢ 신용 정보법 시행령｣ 제16조 및 ｢ 신용정보업감독규정｣ 제20조, 별표 3(Ⅲ.1. 신용정보관리보호인) 등 위반 □ 롯데카드의 신용정보관리·보호인은 2023년부터 2025년까지 “신용정보 관리 및 보호 실태 (금융분야 정보보호 상시평가) ”를 점검하면서 대량의 개인신용정보가 저장된 온라인결제시스템의 기술적·물리적·관리적 보안대책 적정성에 대해서는 점검하지 않았음 ◦ 그럼에도 불구하고, 롯데카드의 신용정보관리·보호인은 모든 신용정보전산시스템의 기술적·물리적·관리적 보안대책 점수를 100점으로 평가하여 대표이사 및 이사회에 이상이 없는 것으로 보고하였음 <관련법규> 1. ｢ 여신전문금융업법｣ 제54조의4 제2항, 제54조의5 제1항 및 제4항, 제57조 제1항 제2호 2. ｢ 여신전문금융업법 시행령｣ 제19조의24 제1항, 제21조 제1항 및 제2항 3. ｢ 여신전문금융업감독규정｣ 제26조의4 4. ｢ 신용정보의 이용 및 보호에 관한 법률｣ 제19조 제1항, 제20조 제3항, 제4항 및 제6항, 제42조의2 제1항 제1호 5. ｢ 신용정보의 이용 및 보호에 관한 법률 시행령｣ 제2조 제6항, 제16조 제1항, 제2항, 제17조 제7항 및 제8항 6. ｢ 신용정보업감독규정｣ 제20조, [별표3] 7. ｢ 전자금융감독규정｣ 제14조 제4호, 제15조 제1항 제1호

< 참고 : 안건소위 수정안 > □ (심의결과) 금융거래의 안전성 확보의무 및 신용정보 보호 의무와 관련하여 ‘업무 일부정지 4.5개월’을 ‘업무 일부정지 1.5개월’로 수정 □ (수정의결 사유) 법 위반의 정도, 기존 제재사례와의 형평성, 사후 수습노력 등을 종합적으로 감안하여 업무정지 기간 재산정

< 의안 소관 부서명 > 금융위원회 금융감독원 소관부서 중소 금 융과 중 소 금융 검 사3국 금융 데 이터 정 책과 IT검 사국 연 락 처 02-2100-2990 02-3145-8810 02-2100-2620 02-3145-7420