빗썸 고객 신분증·계좌정보까지 유출…"844명 정보 노출" 공식 사과

[경제일보] 빗썸이 사내 모바일 그룹웨어 해킹으로 고객과 임직원의 개인정보가 유출됐다고 공식 사과했다. 고객정보에는 주민등록번호와 계좌번호, 신분증 사본까지 포함됐다. 핵심 거래시스템과 분리된 업무용 시스템에서도 민감한 고객자료를 어떻게 취급하고 보호했는지가 조사 과제로 떠올랐다.

빗썸은 29일 사내 커뮤니케이션 시스템 ‘다우오피스(DaouOffice)’에 외부 비인가자가 접근해 임직원과 일부 고객의 개인정보가 유출됐다고 밝혔다.

회사에 따르면 고객 6444명의 정보가 담긴 파일이 유출됐다. 이 가운데 5600명의 정보는 디지털저작권관리(DRM)로 암호화된 파일에 있어 외부에서 내용을 열람할 수 없으며, 실제 개인정보가 노출된 고객은 844명이라는 설명이다.

유출 항목은 성명·휴대전화번호·이메일주소·주민등록번호·운전면허번호·계좌번호·신분증 사본 등이다. 고객별 유출 항목은 다르다. 같은 사고로 임직원 715명의 정보도 유출됐다.

고객정보는 임직원이 업무 목적으로 그룹웨어를 이용하는 과정에서 유출된 것으로 파악됐다. 빗썸은 해당 시스템이 고객의 거래소 계정·보유 자산 정보와 분리돼 있으며, 현재까지 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 설명했다.

사고와 대응 시각도 공개했다. 회사가 파악한 침입 시간은 지난 27일 오전 11시28분부터 낮 12시27분까지다. 비정상 접근을 처음 인지한 시각은 낮 12시14분으로, 침입 시작 후 46분이 지난 때였다.

빗썸은 인지 즉시 공격자의 접근 경로와 모바일 그룹웨어 사용을 차단했다고 밝혔다. 현재 서비스 개발사와 보안 점검·패치를 진행 중이다. KISA에는 27일 오후 11시39분, 개인정보보호위원회에는 28일 오전 0시48분 신고했다.

고객정보 유출 범위를 파악한 29일 오후부터 대상자에게 순차적으로 개별 안내할 예정이다. 홈페이지에서도 유출 여부를 확인할 수 있도록 했다. 이용자에게는 임직원을 사칭한 인증번호 요구나 앱 설치 요청에 응하지 말고 공식 고객센터로 문의하라고 당부했다.

이재원 빗썸 대표는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보가 유출된 고객에게서 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다”고 말했다. 내부 업무 인프라의 보안체계도 원점에서 재점검하겠다고 밝혔다.

한편 이번 사고는 거래시스템 밖으로 옮겨진 고객자료의 관리 문제를 드러냈다. 신분증 사본과 금융정보를 업무용 협업시스템에 보관한 목적과 기간, 열람·다운로드 권한을 확인해야 한다.

DRM 보호를 적용한 파일과 노출된 자료의 차이도 중요하다. 회사가 설명한 암호화와 접근 제한이 유출 파일에서도 유효한지 검증하고, 보호가 적용되지 않은 자료가 어떤 경로로 공유됐는지 살펴야 한다. 외부 공급 시스템의 취약점 보완과 함께 자사가 보관·공유한 고객정보의 보호조치까지 점검해야 재발 방지 대책의 실효성을 평가할 수 있다.