[뉴스핌=노희준 기자] KB국민카드, NH농협카드, 롯데카드의 고객정보 유출 과정에서 용역회사직원(KCB)은 카드3사가 감독규정을 제대로 지키지 않아 손쉽게 실제 개인정보를 그대로 제공받아 USB로 빼내왔다고 금융당국은 밝혔다.

13일 금융감독원은 이날 국회 국정조사 기관보고에서 용역회사(KCB) 직원은 카드 '부정사용방지시스템(FDS)' 개선작업 용도로 제공받은 개인정보 실데이터를 보안프로그램이 설치되지 않은 PC를 통해 USB로 절취했다고 밝혔다.

이는 카드 3사가 전자금융감독규정을 위반한 것이다. 규정에 따르면, 금융회사는 전산프로그램 테스트 시 실데이터의 사용할 수 없고 이를 변환해 사용해야 한다. 하지만 카드 3사는 고객의 실제 개인정보를 변환없이 제공했다.

또한 용역직원이 USB 등으로 PC에 접근하는 것을 통제해야 하지만, 카드 3사는 이를 지키지 않았다. 이렇게 해서 KB국민카드는 2013년 6월, NH농협카드는 2012년 10월과 12월, 롯데카드는 2013년 12월에 총 1억581만건의 고객정보가 털렸다.

전체적인 개인정보 유출경로는 운영서버 →내부직원 PC (KB국민카드) 또는 개발서버(NH농협카드․롯데카드)  →USB 통제프로그램이 미설치된 KCB 직원 PC  →USB로 정리된다.

반면, 삼성·신한카드의 경우, 전자금융감독규정의 규정을 엄격히 적용해 이번 참사를 막을 수 있었다. 삼성카드(2013년 9월), 신한카드(2013년 4～12월)도 같은 용역회사(KCB) 직원에게 같은 유형의 프로그램 개선작업을 맡겼었다.

특히 신한카드의 경우 용역회사 직원으로부터 실데이터 제공을 요구받았지만, 이를 거절하고 변환된 데이터를 제공함으로써 개인정보 유출을 방지할 수 있었다고 금감원은 밝혔다.

금감원은 또한, 금융회사의 개인정보 관리실태 및 전산 개발 시 법규준수 여부 등을 수시로 현장에서 밀착 점검하는 데는 한계가 있었다고 인정했다.

그간 IT보안 관련 감독·검사는 해킹 등에 의한 정보유출 예방 및 내부통제규정, 정보보안절차 등 제도정비에 집중했다는 것이다.

이와 함께 정보의 과다수집 및 불법유통에 대한 규제노력 부족했고, 내부통제 및 금융보안의 중요성 인식 제고 노력도 미흡했다고 인정했다.

한편, 2009년 이후 지난 5년간 19개 금융회사에서 20건의 개인정보 유출사고가 발생해 1억919만건의 정보가 유출했다. 이번 카드3사 유출을 제외하면 338만건이 유출된 것이다.

2012년 이전에는 모두 내부직원(9건), 해커(7건)등에 의해 사고가 터졌지만, 이번 카드사 사고는 용역직원에 의해 발생했다. 해커나 용역직원은 인터넷, USB를 통해 유출한 반면, 내부직원은 이메일, USB, 출력물 등으로 유출경로가 다양했다.