빗썸, 사내 그룹웨어 해킹에 고객 844명 개인정보 유출

국내 가상자산 거래소 빗썸에서 고객 844명의 개인정보가 외부로 빠져나갔다. 유출 항목에는 주민등록번호와 신분증 사본도 들어 있다. 빗썸은 29일 오후 홈페이지 공지에서 지난 27일 사내 모바일 그룹웨어 '다우오피스'에 외부 비인가자가 접근해 개인정보와 파일을 무단으로 가져간 사실을 확인했다고 밝혔다. 처음에는 임직원 정보만 새 나간 것으로 파악했지만, 추가 조사에서 고객 정보도 포함된 것으로 드러났다.

유출 대상 고객은 모두 6,444명이다. 이 가운데 5,600명의 정보는 암호화된 상태라 내용을 알아볼 수 없고, 나머지 844명의 정보가 그대로 유출됐다고 회사는 설명했다. 임직원과 협력사 직원 715명의 정보도 함께 빠져나갔다.

59분 동안 열려 있던 사내 업무망

빗썸에 따르면 외부 접근은 27일 오전 11시 28분부터 낮 12시 27분까지 59분 동안 이어졌다. 회사는 낮 12시 14분 비정상 접근을 알아채고 접근 경로를 막은 뒤 다우오피스 사용을 멈췄다. 구체적인 침입 원인은 아직 조사 중이며, 사고대응 TF를 꾸려 그룹웨어 개발사와 함께 보안 점검을 하고 있다.

1. 10월 27일 11:28외부 비인가자, 사내 모바일 그룹웨어 접근 시작
2. 10월 27일 12:14빗썸, 비정상 접근 인지…접근 경로 차단·그룹웨어 사용 중단
3. 10월 27일 23:39한국인터넷진흥원(KISA)에 사고 신고
4. 10월 28일 00:48개인정보보호위원회에 사고 신고
5. 10월 29일 17:49고객 개인정보 유출 공지·유출 여부 조회 페이지 공개

유출 항목은 성명, 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 사람마다 빠져나간 항목은 다를 수 있다. 임직원 715명은 빗썸 임직원 646명과 협력사 등 외부 인력 69명이며, 이들에게는 개별 안내를 마쳤다고 회사는 밝혔다.

거래소 계정·코인 잔고와는 분리된 시스템

빗썸은 침해된 그룹웨어가 고객의 거래소 계정과 보유 자산 정보와 분리된 내부 업무시스템이라고 했다. 거래소 서비스 시스템이나 고객 데이터베이스가 직접 뚫린 정황은 확인되지 않았고, 이상 거래와 출금을 실시간으로 감시하고 있다는 설명이다.

금융위원회는 하루 전인 28일 금융감독원·금융보안원·디지털자산거래소 공동협의체(DAXA)·빗썸 등과 가상자산업권 침해사고 긴급 점검회의를 열었다. 당시 빗썸은 임직원 정보 유출 정황을 보고하면서 이용자 정보 유출 여부는 확인 중이라고 했다. 이번 공지로 고객 정보 유출이 공식 확인된 셈이다. 금융위·금감원·금보원은 현장 조사에 들어갔고, 피해가 생기면 전액 배상 등 소비자 보호 조치가 이뤄지도록 관리·감독하겠다고 밝혔다.

"이번 사고를 계기로 개인정보의 취급과 보관 방식은 물론, 사내 시스템을 포함한 보안 관리 체계 전반을 원점에서 재점검하겠습니다."

이재원 빗썸 대표이사

명의도용·직원 사칭 2차 피해 우려

빗썸은 유출 정보가 명의도용, 보이스피싱, 빗썸 직원 사칭 같은 금융사기에 쓰일 수 있다고 경고했다. 회사는 전화·문자·메신저로 비밀번호나 인증번호를 묻거나, 링크를 보내 인증정보 입력을 유도하지 않는다고 강조했다. 상장(거래지원)을 미끼로 한 사칭 사기는 별도 제보 채널로 신고받는다.

피해 보상에 대해서는 이번 유출로 확인되는 모든 피해에 책임을 지고, 관련 법령과 피해 내용에 따라 구제와 보상 절차를 밟겠다고 했다. 개인정보 보호법에 따른 손해배상 청구와 분쟁조정 신청도 가능하다. 회사는 외부 전문기관의 보안 점검도 받겠다고 밝혔다.