홈플 사태 이어 롯데카드 해킹까지...부담 커지는 MBK

​​​​​​​해킹, 8년 전 발견 취약점 이용...기본 보안 미흡 지적
금감원과 금융보안원, 현장검사 착수...정보유출 확인

홈플러스 기업회생 사태에 이어 롯데카드 해킹 사고 등 잇단 악재로 대주주인 MBK파트너스 부담이 커지고 있다. 

11일 관련 업계에 따르면 롯데카드는 지난달 말 해킹 사고가 발생한 사실을 이달 1일 금융감독원에 신고했다. 이에 금감원은 지난 2일 롯데카드에 대한 현장 조사에 착수했다.

금융위원회 측은 정보 유출 규모를 1~2GB 정도로 파악한 것으로 알려졌다. 롯데카드는 홈페이지를 통해 "최근 온라인 결제 시스템에서 외부 해커의 침투 흔적이 발견돼 조사 중에 있으며 현재까지 조사된 바에 의하면 개인정보 유출 사실은 확인되지 않았다"고 밝혔다.

정보보안업계 일각에서는 이번 해킹과 관련해 약 8년 전 업계에서 이미 공개된 취약점으로 해킹을 당한 것이란 분석과 함께 '기본적 보안'이 미흡했다는 지적도 내놓고 있다.

2017년 오라클은 자사 웹 애플리케이션 서버 '웹로직'의 취약점'CVE-2017-10271'을 공개하며 패치를 배포했는데, 이번 롯데카드에 대한 해킹이 이 취약점을 이용해 서버 관리자 권한을 취득하고 공격할 수 있게 하는 웹셸 프로그램을 설치하는 방식으로 이뤄진 것으로 전해졌다.

여기에 롯데카드가 내부파일 유출이 발생하고 17일이 지나서야 해킹 사고를 인지한 것으로 알려지면서 제대로 내부통제가 이뤄졌는지 여부도 도마위에 올랐다.

현재 금융감독원과 금융보안원은 현장검사에 착수해 고객정보 유출 여부 등을 확인하고 있다. 금융당국은 롯데카드의 고객 데이터베이스(DB)를 관리하는 부분과 서버를 집중 관리하는 계정 등이 해킹된 것으로 파악하고 있는 것으로 전해졌다.

금감원이 파악해 강민국 국민의힘 의원실에 보고한 자료에 따르면 해킹에 따른 내부파일 유출은 지난달 14일 오후 7시경이며, 유출 시도는 16일까지 계속됐다. 14일과 15일 각 1차례씩 2회, 온라인결제 서버 해킹을 통해 내부파일이 외부로 반출됐다. 16일에는 반출에 실패했다.

롯데카드는 지난달 26일 서버 점검 중 일부 서버가 악성코드에 감염된 사실을 확인했고, 지난달 31일 온라인 결제 서버에서 1.7기가바이트(GB) 정도의 데이터가 유출된 흔적을 확인했다. 이달 1일 금융당국에 사고 신고를 했지만 개인정보 유출 여부는 확인하지 못했다.

홈플러스 사태와 롯데카드 해킹사고 등을 두고 정치권과 시민단체, 금융권 등에서는 MBK 경영방식과 거버넌스 등에 대해 비판 수위를 높이고 있다.

앞서 민주당 김남근 의원은 지난 2일 열린 이억원 금융위원장 후보자 인사청문회에서 "금감원이 MBK를 제대로 제재했다면 홈플러스와 같이 10만명이 걸린 사업장을 청산시키려는 무책임한 시도는 없었을 것"이라고 성토한 바 있다.

양미영 (flounder@bizwatch.co.kr)

ⓒ비즈니스워치의 소중한 저작물입니다. 무단전재와 재배포를 금합니다.