🚨 롯데카드 해킹 사건 총정리

297만명 개인정보 유출 - 알아야 할 모든 것

2025년 8월 발생 | 최종 업데이트: 2025년 9월

1. 사건 개요

⚠️ 핵심 요약
2025년 8월 14~15일, 롯데카드 서버가 해킹당해 297만명의 개인정보가 유출되는 대규모 보안 사고가 발생했습니다. 이는 2014년 카드사 3사 해킹 사건 이후 금융권에서 발생한 최대 규모의 개인정보 유출 사태입니다. 공격에는 중국, 러시아 등 해외 해커 조직이 선호하는 구형 취약점이 악용되었습니다.

297만명

전체 피해자 수

28만명

민감정보 유출

200GB

실제 유출 데이터

SKT의 20배

유출 규모 비교

롯데카드는 전체 회원 960만명 중 약 30%에 해당하는 고객 정보가 유출됐으며, 이는 SK텔레콤, KT, YES24 등에 이어 2025년에 발생한 연쇄 해킹 사고 중 하나입니다.

                💡 규모의 심각성

                2025년 4월 발생한 SK텔레콤 해킹(9.82GB 유출)과 비교하면, 롯데카드의 유출량(200GB)은 약 20배에 달합니다. 데이터 유출량 기준으로는 2025년 최대 규모의 보안 사고입니다.

2. 해킹 발생 경위 및 타임라인

2025년 8월 12일

해커가 롯데카드 온라인 결제 서버(WAS)에 최초 침입

8월 13일

서버에 악성코드(웹쉘) 설치

8월 14일

최초 데이터 유출 시작 - 해커가 고객 정보를 탈취하기 시작

8월 14~27일

약 2주간 지속적인 데이터 유출 (매일 서버 접속)

8월 26일

롯데카드, 악성코드 감염 사실을 뒤늦게 확인

8월 31일

데이터 유출 정황 파악, 1.7GB 유출로 금융당국에 신고

9월 1일

금융감독원에 정식 신고

9월 18일 (오전)

금융위원회, 금융감독원, 금융보안원 등 관계 기관 긴급 대책회의 개최

9월 18일 (오후)

금융당국 조사 결과 발표 - 실제 유출량이 200GB로 확인 (당초 보고의 100배)

9월 18일 (오후)

조좌진 롯데카드 대표 공개 사과 및 보상안 발표

                📌 중요 포인트

                해커가 최초로 데이터를 유출한 8월 14일부터 롯데카드가 이를 인지한 8월 31일까지 17일이라는 시간이 소요되었습니다. 이 기간 동안 해커는 지속적으로 서버에 접속하여 고객 정보를 빼내갔습니다.

3. 유출된 정보 상세 내역

📊 전체 피해자 (297만명)

7월 22일부터 8월 27일 사이 롯데카드 온라인 결제 서버를 통한 결제 과정에서 생성·수집된 데이터가 유출되었습니다.

🔴 고위험군 (28만명) - 민감정보 유출

유출된 민감정보:

카드번호 (전체)
카드 비밀번호 앞 2자리
CVC 번호 (카드 뒷면 3자리 보안코드)
유효기간
주민등록번호
결제 내역

⚠️ 이 정보들이 모두 유출된 경우, 부정사용 위험이 매우 높습니다.

🟡 중위험군 (269만명) - 일부 정보 유출

유출된 정보:

암호화된 카드번호
가상결제코드
IP 주소
결제 요청 금액
온라인 결제 내역

ℹ️ CVC 등 핵심 정보는 유출되지 않았으나, 여전히 주의가 필요합니다.

📁 총 유출 데이터량

초기에는 1.7GB로 보고되었으나, 금융당국의 정밀 조사 결과 실제로는 200GB에 달하는 것으로 확인되었습니다. 이는 당초 보고의 약 100배에 해당하는 규모입니다.

4. 해킹 방법과 보안 취약점

🔓 악용된 취약점: CVE-2017-10271

⚠️ 심각한 문제
이번 해킹에 사용된 취약점은 2017년 10월에 이미 공개되고 패치가 제공된 8년 전 취약점입니다. 2018년 1월에는 한국인터넷진흥원(KISA)도 보안 업데이트를 권고했습니다.

📱 구체적인 해킹 수법

취약점 악용: Oracle WebLogic 서버의 원격 코드 실행 취약점(CVE-2017-10271)을 이용하여 서버 침투
웹쉘 설치: 악성코드인 웹쉘 5종을 설치하여 서버 관리자 권한 획득
악성코드 감염: 총 3개 서버에서 악성코드 2종 발견
은밀한 탈취: 프록시와 터널링 기법을 활용해 정상 통신처럼 위장
흔적 제거: 압축한 파일을 가져간 후 교묘하게 삭제하여 추적 어렵게 만듦

💡 웹쉘(Web Shell)이란?
해커가 공격에 성공한 후 서버에 심어두는 악성코드로, 이를 통해 서버를 원격으로 제어하고 추가 공격을 수행할 수 있습니다. 일종의 백도어(Backdoor) 역할을 합니다.

🎯 공격 특징

롯데카드 측은 "아주 짧은 공격을 계속하면서 아주 작은 파일을 하나씩 가져가는 형태"라고 설명했습니다. 이러한 방식은 보안 시스템의 탐지를 회피하기 위한 전략입니다.

⚠️ 해외 해커 조직의 표적
이번 공격에 사용된 CVE-2017-10271 취약점은 2017년 공개 이후 중국, 러시아 등 해외 해커 조직과 랜섬웨어 그룹이 지속적으로 악용해온 것으로 알려져 있습니다. 국내에서도 웹셸 설치, 크립토마이너 배포, 금융 정보 유출 등의 피해가 보고되어 왔습니다.

                🔍 전문가 의견

                "8년 전 공개된 취약점으로 해킹당했다는 것은 기본적인 보안 점검조차 제대로 이뤄지지 않았다는 의미입니다. 특히 금융권에서 이런 일이 발생했다는 것은 심각한 관리 부실을 보여줍니다." - 보안 전문가

5. 피해 규모와 영향 (중국 해킹조직 관련)

📈 피해 통계

960만명

롯데카드 전체 회원

30%

정보 유출 비율

28만명

고위험 피해자

0건

확인된 부정사용
(9월 18일 기준)

🔄 2차 피해 발생

롯데카드는 "현재까지 부정사용 사례는 확인되지 않았다"고 밝혔으나, 이미 피싱 공격에 유출된 정보가 악용되는 사례가 보고되었습니다.

⚠️ 실제 피싱 피해 사례
정보 유출 피해자 A씨는 자신의 롯데카드 번호 뒤 4자리가 정확히 기재된 피싱 이메일을 받았습니다. "아이폰17 259만원 결제"라는 거짓 내용으로 카드 정보를 추가로 입력하도록 유도하는 수법이었습니다.

🌐 2025년 연쇄 해킹과 중국 범죄 조직

2025년 국내에서 발생한 연쇄 해킹 사고들은 해외 범죄 조직, 특히 중국 해커 그룹의 공격이 포함되어 있는 것으로 분석되고 있습니다.

📱 KT 무단 소액결제 사건 - 중국 범죄 조직 관여
KT에서는 서버 해킹과 함께 "워 드라이빙(War Driving)"이라는 신종 해킹 수법이 발견되었습니다:

범행 방법: 중국 국적 범죄자들이 '펨토셀(초소형 가짜 기지국)' 장비를 승합차에 싣고 이동하며 KT 가입자 정보를 가로채 불법 소액결제
체포: 중국 국적 피의자 2명 구속 (2025년 9월 18일)
진술: 피의자들은 "윗선의 지시를 받아 범행했다"고 진술
기간: 지난달 말부터 이달 초까지 통신망 침투 활동

보안 전문가들은 금융과 통신이 상호 밀접히 연결되어 있어, 한쪽에서 발생한 사고가 다른 영역으로 확산될 수 있다고 경고하고 있습니다.

📊 과거 사례와 비교

🔍 2025년 SK텔레콤 사건과 비교
2025년 4월 발생한 SK텔레콤 해킹 사고에서는 약 2,300만명의 개인정보가 유출되었으며, 유출된 데이터 양은 9.82GB였습니다. 롯데카드의 유출량 200GB는 이보다 약 20배나 많은 규모입니다. 단순 데이터 양으로만 보면 롯데카드 해킹이 훨씬 더 심각한 수준입니다.

2014년 카드사 3사 해킹 사건:

롯데카드, KB국민카드, NH농협카드 등 3개사
1억 580만건의 개인정보 유출
대한민국 경제활동 인구 75%의 정보 유출
CEO 사퇴, 대규모 과징금 등 후속 조치

당시 이후 금융권은 ISMS-P 의무화, 외주 관리 강화 등 제도적 장치를 마련했으나, 11년이 지난 2025년 또다시 같은 회사에서 대규모 유출 사고가 발생했습니다.

6. 롯데카드 대응 및 보상안

🙇 공식 사과

조좌진 롯데카드 대표이사는 2025년 9월 18일 기자회견을 통해 공식 사과했습니다:

"이번 사태는 저희 회사의 보안 관리가 미흡했던 데서 비롯된 것이며 모든 책임은 저와 롯데카드에 있습니다. 고객 개인정보를 관리하는 시스템에 외부 해킹에 의한 침투가 있었다는 것만으로도 변명의 여지가 없습니다."

💰 보상 방안

✅ 전액 보상 약속

부정사용 피해: 명의도용 등으로 인한 카드 부정사용 피해 전액 보상
2차 피해: 개인정보 유출로 인한 2차 피해도 연관성이 확인되면 전액 보상

🎁 고객 지원 혜택

전체 피해자 (297만명):
- 연말까지 금액 제한 없이 무이자 10개월 할부 서비스 무료 제공
고위험 피해자 (28만명):
- 카드 재발급 시 차년도 연회비 한도 없이 면제
- 우선 카드 재발급 및 사용정지 조치

🛡️ 보안 강화 대책

투자 확대: 향후 5년간 정보보호에 총 1,100억원 투자
24시간 상담센터: 전용 ARS 메뉴 신설 및 오후 10시까지 연장 운영
실시간 모니터링: 국내외 모든 의심 거래 실시간 모니터링
간편 보안 조치: 앱/홈페이지에서 비밀번호 변경, 해외거래 차단, 카드 재발급 간편 링크 제공

                💳 카드 재발급 현황 (9월 18일 기준)

                고위험군 28만명 중 5만 5천명이 이미 카드 재발급, 사용정지 또는 회원 탈퇴를 완료했습니다.

7. 2차 피해 - 피싱 공격 주의

🚨 긴급 경고
유출된 개인정보를 이용한 보이스피싱 및 스미싱 공격이 이미 시작되었습니다. 각별한 주의가 필요합니다!

🎣 확인된 피싱 수법

허위 결제 알림: "고액 상품이 결제되었습니다" 등의 문자/이메일 발송
개인정보 유출: 피해자의 실제 카드 번호 일부를 포함하여 신뢰도 높임
정보 입력 유도: 클릭 시 가짜 사이트로 연결되어 카드정보 입력 요구
롯데카드 사칭: 롯데카드 직원을 사칭한 전화로 추가 정보 요구

🛡️ 피싱 예방 수칙

✅ 반드시 지켜야 할 사항:

의심스러운 문자나 이메일의 링크는 절대 클릭하지 마세요
롯데카드나 금융당국은 URL을 발송하지 않습니다
전화로 카드번호, 비밀번호, CVC 등을 절대 알려주지 마세요
확인이 필요한 경우 직접 롯데카드 공식 홈페이지에 접속하세요
1588-8100 (롯데카드 고객센터)로 직접 전화하여 확인하세요

⚠️ 이런 문자/이메일은 100% 피싱입니다

"고객님의 카드가 ○○만원 결제되었습니다. 취소를 원하시면 클릭하세요"
"개인정보 유출 확인을 위해 다음 링크로 접속하세요"
"보상금 지급을 위해 계좌정보를 입력하세요"
"카드 재발급을 위해 다음 사이트에서 신청하세요" (URL 포함)

📞 롯데카드 고객센터 전화하기

8. 개인 대응 방법 (필독)

1단계: 정보 유출 여부 확인

📱 확인 방법 (3가지)

문자 메시지: 롯데카드가 9월 18일 전체 피해자에게 개별 발송
롯데카드 앱: '개인신용정보 유출 여부 확인' 메뉴
홈페이지: 롯데카드 공식 홈페이지 확인 코너
고객센터: 1588-8100 (오후 10시까지 연장 운영)

⚠️ 문자 메시지에는 분량 제한으로 전체 유출 정보가 기재되지 않을 수 있으므로, 앱이나 홈페이지에서 반드시 추가 확인하세요.

2단계: 즉시 조치사항

🔴 고위험군 (28만명 - CVC 등 민감정보 유출자)

즉시 카드 재발급: 기존 카드는 사용 중지
비밀번호 변경: 모든 롯데카드 비밀번호 변경
해외이용 차단: 필수 설정
소액결제 차단: 5만원 미만 결제 알림 설정
회원 탈퇴 검토: 필요시 고려 (포인트 확인 후)

🟡 중위험군 (269만명 - 일부 정보 유출자)

비밀번호 변경: 즉시 변경 권장
카드 재발급: 불안하면 재발급 신청 가능
결제 내역 모니터링: 주기적으로 확인
해외이용 차단: 선택적 설정

3단계: 지속적 모니터링

매일 카드 사용 내역 확인
소액 결제 알림 서비스 활용
의심스러운 거래 즉시 신고
피싱 문자/이메일 주의

4단계: 부정사용 발견 시

📞 즉시 연락

롯데카드 고객센터: 1588-8100
신고 방법: 콜센터, 홈페이지, 앱 모두 가능
보상: 침해 사고로 인한 피해는 전액 보상

📍 오프라인 지원

스마트폰이나 인터넷 사용이 어려운 경우, 전국 31개 롯데백화점 내 카드센터에서 카드 재발급 및 해지가 가능합니다. (백화점 영업시간 내)

                💡 TIP

                고객센터 대기시간이 길 수 있으니, 가능하면 롯데카드 앱을 이용하는 것이 가장 빠릅니다. 앱에서 비밀번호 변경, 카드 재발급, 해외 거래 차단 등을 간편하게 처리할 수 있습니다.

🔗 롯데카드 공식 홈페이지 📞 고객센터 전화

9. 문제점 및 비판

🔍 지적된 주요 문제점

1. 구형 취약점 방치

2017년 공개된 취약점을 8년간 방치
패치가 이미 제공되었음에도 미적용
기본적인 보안 점검 소홀

2. 사고 인지 지연

최초 해킹(8월 14일)부터 인지(8월 31일)까지 17일 소요
그 사이 해커가 매일 서버에 접속하여 지속적으로 데이터 탈취
실시간 보안 모니터링 시스템 부재

3. 축소 보고 의혹

초기 1.7GB 보고 → 실제 200GB 확인 (100배 차이)
피해 규모 파악 능력 부족 또는 의도적 축소 의혹
2025년 4월 SK텔레콤 유출량(9.82GB)보다 20배 많은 규모임에도 축소 보고
금융당국: "롯데카드 해킹 규모가 생각 이상으로 커 당국 차원의 대응 방안을 빠르게 마련 중"

💢 보상안에 대한 비판

불충분한 보상: 10개월 무이자 할부, 연회비 면제 등은 실질적 피해 보상으로 부족
2차 피해 보상 조건: "연관성이 입증되면" 보상한다는 조건은 사실상 보상을 회피하려는 것
정신적 피해 미고려: 개인정보 유출로 인한 불안감, 스트레스 등에 대한 보상 부재

🏢 경영진 책임 문제

MBK파트너스 수익 극대화 의혹
롯데카드의 최대주주인 사모펀드 MBK파트너스가 수익 극대화에 치중한 나머지 정보보호 투자에 소홀했다는 지적이 제기되고 있습니다.

롯데카드는 "2022년부터 2025년까지 정보보호 관련 투자를 지속적으로 확대했다"고 밝혔으나, 기본적인 보안 패치조차 제때 이루어지지 않았다는 점에서 신뢰성에 의문이 제기됩니다.

⚖️ 정부 제재 전망

금융당국은 롯데카드의 정보보안 시스템과 늑장 대응 여부 등을 종합적으로 검사하여 제재 수준을 정할 방침입니다. "일벌백계" 방침을 밝혔으며, 영업정지 등 중징계 가능성도 있습니다.

📢 집단소송 진행

2025년 9월 기준, 롯데카드를 상대로 집단소송을 준비하는 네이버 카페 가입자 수가 1,500명에 육박하고 있습니다.

10. 향후 전망 및 교훈

🔮 예상되는 후속 조치

금융당국 제재: 과징금, 영업정지 등 중징계 예상
경영진 책임: 조좌진 대표 등 경영진 사퇴 또는 문책 가능성
보안 규제 강화: 금융권 전반의 보안 규제 강화 예상
집단소송: 피해자들의 법적 대응 본격화

📚 교훈과 시사점

                1. 기본의 중요성

                최신 보안 기술보다 기본적인 패치 관리가 더 중요할 수 있습니다. 구형 취약점 관리를 소홀히 하면 치명적인 결과를 초래합니다.

                2. 실시간 모니터링 필수

                17일 동안 해킹을 인지하지 못했다는 것은 보안 모니터링 시스템의 심각한 결함을 보여줍니다. 실시간 탐지 및 대응 체계가 필수입니다.

                3. 투명한 정보 공개

                초기 축소 보고는 신뢰를 더욱 떨어뜨립니다. 정확하고 신속한 정보 공개가 피해를 최소화하는 길입니다.

                4. 경영진의 보안 인식

                보안은 비용이 아닌 필수 투자입니다. 경영진이 보안의 중요성을 인식하고 적극적으로 지원해야 합니다.

🌐 국가적 과제

2025년은 "해킹의 해"라고 불릴 만큼 대규모 보안 사고가 연쇄적으로 발생했습니다:

📊 2025년 주요 해킹 사고

SK텔레콤 (4월): 약 2,300만명 정보 유출, 9.82GB / 과징금 1,347억원
YES24: 대규모 개인정보 유출
KT: 서버 침해 정황 확인, 무단 소액결제 사건
LG U+: 보안 사고 발생
롯데카드 (8월): 297만명 정보 유출, 200GB - 데이터량 최대 규모

이러한 연쇄 사고는 대한민국의 사이버 보안 전반에 심각한 구조적 문제가 있음을 보여줍니다.

🛡️ 필요한 대책

금융·통신 분야 통합 보안 전략 수립
보안 투자 의무화 및 점검 강화
징벌적 과징금 제도 도입
국가 차원의 사이버 보안 역량 강화
개인정보 보호 법제 강화
국제 해커 조직(중국, 러시아 등)에 대한 공동 대응 체계 마련
워 드라이빙 등 신종 해킹 기법 대응 방안 수립

⚠️ 국경을 넘는 사이버 위협
이번 롯데카드 해킹과 KT 사건은 단순한 국내 보안 문제를 넘어, 중국 등 해외 조직적 범죄 집단의 표적이 되고 있음을 보여줍니다. 국가 간 공조와 함께 선제적 방어 체계 구축이 시급합니다.

💪 개인의 자기방어

이번 사건을 통해 우리는 개인도 스스로를 보호해야 한다는 교훈을 얻었습니다:

정기적인 비밀번호 변경
카드 사용 내역 모니터링
피싱 공격에 대한 경각심 유지
불필요한 카드는 해지
소액결제 알림 서비스 활용

📌 마무리

🚨 지금 바로 확인하세요!
롯데카드를 보유하고 계신다면, 지금 즉시 정보 유출 여부를 확인하고 필요한 조치를 취하시기 바랍니다.

이번 롯데카드 해킹 사건은 단순히 한 기업의 문제가 아닌, 우리 모두가 관심을 가져야 할 사이버 보안의 중요성을 일깨워주는 사건입니다.

피해를 입으신 분들께서는 롯데카드의 안내에 따라 적절한 보호 조치를 취하시고, 2차 피해가 발생하지 않도록 각별히 주의하시기 바랍니다.

📞 긴급 연락처

롯데카드 고객센터
1588-8100

운영시간: 평일 오후 10시까지 연장 운영 중

🔗 롯데카드 공식 홈페이지 방문 📞 지금 바로 전화하기

#롯데카드해킹 #개인정보유출 #금융보안 #사이버보안 #카드보안 #해킹사고 #보안사고 #피싱주의 #중국해커 #정보보호

노바 제니스

롯데카드 해킹 사건 총정리 - 297만명 개인정보 유출