의결 제2024-253호

□ 기관에 대한 조치

○ 「신용정보의 이용 및 보에에 관한 법률」상 '신용정보전산시스템의 안전보호 위반’ 및 「전자금융거래법」상 '전자금융거래의 안전성 확보의무’ 위반 등으로 과태료 3,600만원 부과

가. 지적사항

□ 기 관

1. 개인신용정보 보호대책 소홀로 인한 개인신용정보 유출

○ 롯데카드㈜는 ####.##.##.~####.##.##. 기간 중 신규 모바일 앱(“□□□□”)에서 운영 중이던 기존 휴대폰 본인인증 프로그램을 추가 개발한 프로그램으로 임시 전환하는 과정에서

이용자 매칭을 위한 필수 정보값인 기관전문관리번호*가 누락된 상태로 모바일 앱에 적용되어 이용자 본인 인증정보가 다른 이용자에게 잘못 매칭됨에 따라

*모바일 앱에서 본인인증시 이용자 매칭을 위해 롯데카드㈜와 나이스평가정보㈜가 주고받는 전문 내 필수 정보값으로 이용자의 인증요청 순서에 따라 생성되는 고유거래번호

총 #일에 걸쳐 ●분간 롯데카드를 보유한 고객 총 ○명의 카드결제내역 등의 개인신용정보가 열람권한이 없는 다른 고객(○명)에게 노출되는 결과를 초래한 사실이 있음

2. 프로그램 변경통제 등 전자금융거래의 안전성 확보 의무 위반
(보호법익 : 정보기술부문 내부통제)

⑴ 금융회사는 전자적 전송이나 처리를 위한 운영시스템 적용시 처리하는 정보의 기밀성ㆍ무결성ㆍ가용성을 고려하여 충분한 테스트를 거쳐 실시하여야 하는데도

롯데카드㈜는 ####.##.##.~####.##.##. 기간 중 신규 모바일 앱(“□□□□”)에 포함되어 있는 휴대폰 본인인증 프로그램을 추가* 개발하는 과정에서 인증서비스 제공회사와 이용자 정보 매칭시 송ㆍ수신되는 전산정보의 정확성을 검증하는 테스트**를 실시하지 않았음

*나이스평가정보㈜의 휴대폰 본인인증 서비스를 백업용 프로그램으로 추가 개발
**롯데카드㈜와 나이스평가정보㈜간 송수신하는 전문이 정확한 상태임을 보증하는 테스트

⑵ 금융회사는 전산장애 또는 오류 등에 의해 전산원장을 변경하는 경우 변경 전후 내용을 자동기록 및 보존하는 등 전산원장 변경절차를 수립하고 이에 따른 운용을 하여야 하는데도

롯데카드㈜는 이번 검사대상 기간 중(####.##.##.～####.##.##.) 전산시스템 오류 등의 사유로 인해 총 ○건*의 중요 데이터가 저장된 전산원장을 변경하면서 변경 전후 전산원장 내용을 자동 기록ㆍ보존하지 않았음

*고객 결제 금액, 결제 일자, 탈회 법인회원 정보 등

⑶ 금융회사는 전자금융거래와 관련하여 전자금융보조업자와 제휴, 위탁 또는 외부주문에 관한 계약을 체결한 경우 금융회사와 이용자 간 암호화정보 해독 및 원장 등의 중요 데이터를 변경하지 않아야 하는데도

⑵의 전산원장 변경시 롯데카드㈜는 외부 위탁업체(■■■■)에 전산운영계약에 따른 전산원장 관리업무를 위탁하여 ■■■■ 소속 직원(○명)이 전산원장에 저장된 중요 데이터(○건)를 직접 변경케 하였음

나. 근거법규

□ 기관에 대한 조치

ㅇ 「전자금융거래법」 제21조(안전성의 확보의무) 제2항
ㅇ 「전자금융거래법」 제40조(외부주문등에 대한 감독 및 검사) 제1항
ㅇ 「전자금융거래법」 제51조(과태료) 제1항 제1호
ㅇ 「전자금융거래법 시행령」 제33조(과태료의 부과기준)
ㅇ 「전자금융감독규정」 제7조(전자금융거래 종류별 안전성 기준)
ㅇ 「전자금융감독규정」 제27조(전산원장 통제) 제1항ㆍ제2항
ㅇ 「전자금융감독규정」 제29조(프로그램 통제) 제6호
ㅇ 「전자금융감독규정」 제60조(외부주문 등에 대한 기준) 제1항 제2호
ㅇ 「신용정보의 이용 및 보호에 관한 법률」 제19조(신용정보전산시스템의 안전보호) 제1항
ㅇ 「신용정보의 이용 및 보호에 관한 법률」 제42조의2(과징금의 부과 등)
ㅇ 「신용정보의 이용 및 보호에 관한 법률」 제52조(과태료) 제2항
ㅇ 「신용정보의 이용 및 보호에 관한 법률 시행령」 제16조(기술적ㆍ물리적ㆍ관리적 보안대책의 수립 제1항 제4호)
ㅇ 「신용정보의 이용 및 보호에 관한 법률 시행령」 제35조의 3(과징금 산정기준) 제1항ㆍ제3항 [별표2의3]
ㅇ 「신용정보의 이용 및 보호에 관한 법률 시행령」 제38조(위반행위별 과태료의 부과기준)[별표4]
ㅇ 「신용정보업감독규정」 제20조(기술적ㆍ물리적ㆍ관리적 보안대책) [별표 3]