롯데카드㈜ 금감원 제재공시 · 2024-08-02

제재내용 공개안

1. 금융회사명 롯데카드㈜ :

2. 제재조치일 : 2024. 8. 2.

3. 제재조치내용

제재대상 제재내용

기 관 기관주의 과태료 만원 부과 , (3600 )

임 원 퇴직자 위법·부당사항 주의 상당 명 ( ) 1

직 원 자율처리 필요사항 건 2

4. 제재대상사실

가. 신용정보전산시스템의 안전보호 위반

신용정보의이용및보호에관한법률｣ 제 조 제 항 동법 시행령 제 조

｢ 19 1 , 16

및 ｢신용정보업감독규정｣ 제 조 별표 에 의하면 신용정보회사등은 취급 중인

20 [ 3]

개인신용정보가 인터넷 홈페이지 등을 통해 열람 권한이 없는 자에게 공개되지 않도록 개인신용정보처리시스템을 설정하여야 하는데도

롯데카드㈜는 ㉮ 프로젝트 기간 중 본인인증에 필요한 (2022. 6. 14. ~ 2022. 6. 16.)

필수 전문 이 누락된 상태로 개발한 프로그램을 신규 모바일 앱에 반영함에 따라

*

* 모바일 앱에서 본인인증시 이용자 매칭을 위해 롯데카드㈜와 B사가 주고받는 전문 내

필수 정보값으로 이용자의 인증요청 순서에 따라 생성되는 고유거래번호 기간 중 동 모바일 앱의 휴대폰 본인인증 서비스를

2022. 6. 14. ~ 2022. 6. 16.

해당 프로그램으로 총 분간 임시로 운영하는 과정에서 이용자의 인증정보가 다른 27

이용자에게 잘못 매칭되어

롯데카드를 보유한 고객 총 ○○명의 카드결제내역 등이 포함된 개인신용정보가 열람권한이 없는 각각 다른 고객에게 노출되는 결과를 초래한 사실이 있음

< 관련법규 >

1. ｢신용정보의 이용 및 보호에 관한 법률｣ 제 조 제 항 19 1

2. ｢신용정보의 이용 및 보호에 관한 법률 시행령｣ 제 조 16

3. ｢신용정보업감독규정｣ 제 조 별표 20 [ 3]

나. 프로그램 변경통제 등 전자금융거래의 안전성 확보 의무 위반

전자금융거래법｣ 제 조 제 항 ｢전자금융감독규정｣ 제 조 제 조 및 제 조

｢ 21 2 , 7 , 27 29

제 호에 의하면 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 6

장애 또는 오류 등에 의한 전산원장의 변경을 위하여 변경 전후내용 자동기록 및 보존 변경내용의 정당여부에 대한 제 자 확인 등이 포함된 전산원장 변경

, 3

절차를 수립·운용하여야 하고 프로그램의 운영시스템 적용은 처리하는 정보의 ,

기밀성‧무결성‧가용성을 고려하여 충분한 테스트 후 실시하여야 하며 전자금융거래법｣ 제 조 제 항 및 ｢전자금융감독규정｣ 제 조 제 항 제 호에

｢ 40 1 60 1 2

의하면 전자금융거래의 안전성 및 신뢰성과 금융회사의 건전성을 확보할 수 있도록 전자금융거래를 위한 외부주문의 경우에는 원장 등 중요 데이터 변경을

금지하여야 하는데도 ,

롯데카드㈜는 기간 중 신규 모바일 앱에 포함되어

2022. 6. 14. ~ 2022. 6. 16.

있는 휴대폰 본인인증 프로그램을 추가 개발하는 과정에서

이용자 매칭 프로세스의 무결성 검증과 관련된 테스트 를 실시하지 아니하여 *

,

이용자 매칭을 위한 필수 정보값인 기관전문관리번호 가 누락된 상태로 **

휴대폰 본인인증 프로그램을 신규 모바일 앱에 적용함에 따라 ,

* B사의 휴대폰 본인인증 서비스를 백업용 프로그램으로 추가 개발

** 모바일 앱에서 본인인증시 이용자 매칭을 위해 롯데카드㈜와 B사가 주고받는 전문 내

필수 정보값으로 이용자의 인증요청 순서에 따라 생성되는 고유거래번호 기간 중 모바일 앱의 기존 휴대폰 본인인증 프로그램을

2022. 6. 14. ~ 2022. 6. 16.

추가 개발한 프로그램으로 임시 전환하는 과정에서 이용자의 인증정보가

다른 이용자에게 잘못 매칭되어 총 분간 롯데카드㈜ 고객 ○○명의 개인 27

신용정보가 각각 다른 고객에게 노출된 사실이 있으며 ,

검사대상 기간 중 전산 장애 또는 오류 등의 사유로 총 ○○건의 중요 데이터가 저장된 전산원장을 변경하면서 전체 변경 건에 대하여 변경 전후 내용을 자동

기록‧보존하지 않았고 ,

* 결제 금액, 결제 일자, 탈회 법인회원 정보 등

외부주문 업체 소속 직원이 동 전산원장에 저장된 중요 데이터를 직접 변경한 사실이 있음

< 관련법규 >

1. ｢전자금융거래법｣ 제 조 제 항

21 2

2. ｢전자금융거래법｣ 제 조 제 항

40 1

3. ｢전자금융감독규정｣ 제 조 제 호 및 제 호

7 3 4 ,

제 조 제항 및 제항 제 조 제호

27 1 2 , 29 6 ,

제 조제항제호

60 1 2