사내 그룹웨어에서 개인정보 노출
가상자산 거래소 빗썸의 사내 모바일 그룹웨어가 외부 공격을 받아 고객 844명과 임직원 715명의 개인정보가 유출됐다. 거래소 계정과 보유 자산을 관리하는 핵심 시스템 및 고객 데이터베이스가 직접 침해된 정황은 현재까지 확인되지 않았지만, 그룹웨어에 업무 목적으로 저장된 고객 정보가 외부에 노출된 사고다.
빗썸에 따르면 외부 비인가자는 10월 27일 오전 11시 28분부터 낮 12시 27분까지 사내 모바일 그룹웨어 ‘다우오피스’에 접근했다. 빗썸은 같은 날 낮 12시 14분 비정상 접근을 처음 인지한 뒤 공격자의 접속 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다. 이후 시스템 개발사와 보안 점검 및 취약점 보완 작업에 들어갔다.
| 구분 | 규모 및 내용 |
|---|---|
| 정보 유출 대상 고객 | 6,444명 |
| 암호화 자료 | 5,600명 |
| 실제 정보 노출 고객 | 844명 |
| 임직원 정보 노출 | 715명 |
주민등록번호·계좌번호 등 포함
유출 대상에 포함된 고객은 모두 6,444명이다. 이 가운데 5,600명의 자료는 디지털저작권관리(DRM) 기술로 암호화돼 외부에서 열람할 수 없는 상태였으며, 실제 개인정보가 노출된 고객은 844명으로 파악됐다. 고객별로 유출된 정보의 범위는 달랐다.
노출 항목에는 성명과 휴대전화번호, 이메일 주소를 비롯해 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이 포함됐다. 임직원 715명의 개인정보도 함께 유출됐다. 빗썸은 개인정보가 노출된 고객에게 10월 29일 오후부터 순차적으로 개별 안내를 진행하고, 홈페이지에서 본인의 유출 여부를 확인할 수 있도록 했다.
- 빗썸은 외부 제공 업무 시스템의 사용을 중단하고 보안 점검을 진행 중이다.
- 한국인터넷진흥원과 개인정보보호위원회에 사고를 신고했다.
- 금융당국은 현장점검에서 법규 위반이 확인되면 정식 검사로 전환할 계획이다.
금융당국, 사고 원인과 피해 범위 조사
빗썸은 사고 당일 오후 11시 39분 한국인터넷진흥원(KISA)에 신고했고, 다음 날 오전 0시 48분 개인정보보호위원회에도 신고했다. 회사는 두 기관의 법정 신고 기한인 각각 24시간과 72시간 이내에 신고 절차를 완료했다고 설명했다.
금융위원회는 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸 등이 참석한 긴급 점검회의를 열고 현장조사에 착수했다. 금융당국은 사고 원인과 피해 범위를 확인하고 소비자 피해가 발생할 경우 전액배상 등 보호조치가 이뤄지도록 관리·감독할 방침이다. 현장점검에서 법규 위반 사항이 발견되면 정식 검사로 전환한다는 계획도 밝혔다. 전자금융거래법이 적용되지 않는 가상자산업권의 보안 수준을 은행 등 주요 금융회사 수준으로 높이는 방안도 추진한다.
빗썸, 2차 피해 대응과 재발 방지 약속
빗썸은 유출 정보를 악용한 임직원 사칭 연락이나 인증번호 요구, 특정 애플리케이션 설치 유도에 응하지 말고 피해 신고와 문의는 공식 고객센터를 이용하라고 안내했다. 이는 거래소 서비스나 보유 자산 시스템의 직접 침해와는 별개로, 유출된 개인정보가 추가 범죄에 활용될 가능성에 대응하기 위한 조치다.
“고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다. 개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다.” — 이재원 빗썸 대표
이재원 대표는 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다고 밝혔다. 빗썸은 2017년 4월에도 악성코드가 포함된 이메일을 이용한 해킹으로 고객 개인정보 3만6,487건이 유출된 바 있으며, 당시 방송통신위원회는 같은 해 12월 개인정보 보호조치 의무 위반을 확인해 과징금 4,350만원과 과태료 1,500만원을 부과했다.
