롯데카드㈜ 금감원 경영유의사항 · 2026-07-31

경영유의사항 등 공개안

1. 금융기관명 : 롯데카드㈜

2. 제재조치일 : 2026. 7. 31.

3. 제재조치내용

4. 제재대상사실

가. 개선사항

(1) 개인(신용)정보 유출 시 사후 대응 개선

금융회사는 해킹사고 발생 시 신속하게 사고를 수습하고 금융소비자 피해에 대해서는 적절한 보상이 이루어질 수 있도록 적절한 대응체계를 마련하고 운영하여야 한다.

회사는 ｢ 개인(신용)정보 유출 대응 매뉴얼｣ 을 운영하고 있으나, 해킹사고

발생 시 세부 조치사항 및 소비자 보호방안을 매뉴얼에 구체적으로 정하지 않았다.

이로 인해 2025.8.13. ~ 2025.8.28. 기간 중 온라인 결제 서비스 이용 고객 2,974,778명의 신용정보가 유출되는 해킹사고가 발생하였음에도 홈페이지 및 콜센터 비상운영방안 등 조치방안*을 신속하게 마련·이행하지 못하였으며 소비자 피해에 대한 구체적인 보상방안도 마련하지 못하였다.

* 홈페이지 및 앱 등을 통한 소비자 안내, 콜센터 비상운영(콜센터 인력 확대, 주말/심야 시간 대응 등), 신용카드 탈회 및 재발급 신속처리방안, 영업점 운영방안 등

<조치할 사항>

따라서 회사는 해킹사고 발생 시 조치사항 및 소비자 보호방안을 매뉴얼에 구체적으로 반영하고 관련 부서에 배포·교육하는 등 유사시 신속한 대응이 이루어 질 수 있도록 사후 대응체계의 실효성을 강화하시기 바랍니다.

(2) 장기 무실적 가맹점에 대한 관리 개선

｢ 신용카드 가맹점 표준약관｣ 제17조에 따르면 카드사는 1년 이상 카드거래가

없어 가맹점으로 부적당하다고 인정되는 가맹점에 대하여 가맹점 자격을 일시적 으로 정지하거나 가맹점 계약을 해지할 수 있다.

그럼에도 회사는 장기간 카드거래 실적이 없는 가맹점을 식별하고 관리 하기 위한 내부 기준*이나 시스템을 마련하지 않았으며 장기 무실적 가맹점에 대해 정기적으로 점검을 실시하거나 가맹점 계약 해지를 검토하지 않았다.

* 무실적 가맹점 선정 기준, 가맹점 계약 해지 관련 안내 방법, 가맹점 해지 및 이력 관리 등 이로 인해 장기 무실적 가맹점에 대한 결제 시스템 보안 업데이트가 이루어지지 않은 채 방치되어 해킹사고의 공격지점으로 이용된 사례*가 발생 하였다.

* 2022.6월 UPOP(UnionPay Online Payment) 서비스에 대한 가맹점 매입이 중단되어 장 기간 카드매출 실적이 발생하지 않았는데도 회사는 UPOP 서비스에 대한 외부 접근을 차단하지 않은 채 웹해킹 방어 등 보안관제 대상에서 누락 ☞ 해커는 UPOP을 통해 회사의 온라인 결제시스템에 침입하여 고객정보를 유출

<조치할 사항>

따라서 회사는 장기 무실적 가맹점 관리 및 계약 해지 등 관련 내부 기준을 구체적으로 마련하여 실행하고, 가맹점 결제 시스템에 대한 보안 업데이트 이행 여부를 주기적으로 점검하여 해킹사고를 방지할 수 있도록 관리를 개선 하시기 바랍니다.

(3) 카드회원 탈회 절차 개선

카드사는 탈회를 원하는 소비자가 본인 의사에 따라 자유롭게 탈회를 할 수 있도록 절차 및 시스템을 마련하여 운영하여야 한다.

그럼에도 회사는 검사착수일(2025.9.2.) 현재 탈회하려는 고객에 대하여 미납 대금 완납, 포인트 현금 전환, 연회비 환급 안내 등이 필요하다는 이유로 콜센터 상담을 통해서만 탈회할 수 있도록 운영함으로써 번거로운 탈회 절차로 인해 탈회를 하고자 하는 소비자가 탈회 대신 카드 재발급 등 원하지 않는 선택을 하게 될 우려가 있다.

<조치할 사항>

따라서 회사는 콜센터 상담 없이 인터넷 홈페이지 및 앱 등 비대면 절차를 통해 탈회가 가능하도록 시스템을 개선하시기 바랍니다.