빗썸 해킹, 고객 844명 신분증 사본까지 샜다…‘적정’ 자가진단 9일 만
빗썸 사내 그룹웨어 침해로 임직원에 이어 고객 844명의 주민등록번호·신분증 사본 등이 노출된 것으로 확인됐다. 이틀 전까지 “코인과 회원 정보는 분리돼 있다”던 설명과 달리 직원들이 업무로 주고받은 파일이 통로가 됐다. 빗썸이 외부 노출 시스템을 ‘적정’으로 자체 평가한 지 9일 만의 사고라는 점에서 자가진단에 기댄 보안 감독의 한계도 드러났다.
진행 중인 사건빗썸 해킹 사태속보 3 · 기사 3
빗썸 그룹웨어 해킹의 피해가 고객에게까지 번졌다. 빗썸은 29일 고객 844명의 개인정보가 외부에 노출됐다고 밝혔다. 주민등록번호와 신분증 사본, 계좌번호가 포함됐다. 사고 직후 임직원 정보만 빠져나간 것으로 알려졌던 사안이 이틀 만에 고객 피해로 커진 것이다.
무슨 일이 있었나
뉴스1과 블록미디어 등에 따르면 유출된 자료에는 고객 6444명의 정보가 담겨 있었다. 이 가운데 5600명분은 문서보안(DRM)으로 암호화된 파일이라 외부에서 열 수 없었고, 실제로 노출된 것은 844명이다. 임직원 715명의 정보도 함께 새 나갔다. 노출 항목은 사람마다 다르며 이름·연락처·이메일, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다.
침입은 27일 오전 11시 28분부터 약 1시간 이어졌다. 빗썸은 낮 12시 14분 이상 접속을 감지해 경로를 막았고, 그날 밤 한국인터넷진흥원(KISA)에, 28일 새벽 개인정보보호위원회에 신고했다. 공격자는 거래 시스템이 아니라 직원용 모바일 그룹웨어를 통해 들어왔고, 직원들이 업무 중 주고받은 고객 정보가 함께 유출된 것으로 파악됐다. 빗썸은 29일 오후부터 해당 고객에게 개별 통지를 시작했고, 홈페이지에서 유출 여부를 조회할 수 있게 했다. 이재원 대표는 고객에게 사과하며 2차 피해가 확인되면 구제·보상하겠다고 밝혔다.
서울신문은 김형연 조국혁신당 의원실 자료를 인용해 빗썸이 사고 9일 전인 18일 당국의 보안 자체 점검에서 일부 노후 서버가 정기 보안 업데이트를 받지 못한다고 인정하면서도, 임직원 서비스를 포함한 외부 노출 시스템은 '적정'으로 평가했다고 보도했다. 같은 점검에서 이날 오후 핫월렛 사고가 알려진 프라뱅은 외부 접속 경로 차단, 접근권한 관리, 보안 업데이트 3개 항목을 '미흡'으로 적어냈다.
논점
빗썸의 설명이 어디까지 유효한지가 첫 쟁점이다. 회사는 거래 서비스와 고객 데이터베이스가 그룹웨어와 분리돼 있어 직접 침해 정황은 없다고 강조한다. 자산 피해가 없다는 점에서 망 분리가 최악은 막았다는 평가도 가능하다. 그러나 고객 신분증 사본이 직원 메신저와 첨부파일에 남아 있었다면, 시스템을 나눠도 사람이 경계를 넘나드는 업무 관행이 구멍이 될 수 있다는 점을 보여준 셈이다.
감독 방식도 도마에 올랐다. 금융당국은 연쇄 해킹 이후 금융회사에 12개 항목의 자체 점검을 요청했지만, 결과는 회사가 스스로 매긴 점수다. 김 의원은 미흡 항목이 실제로 개선됐는지 당국이 사전에 확인해야 한다고 지적했다. 반면 수백 개 사업자를 당국이 일일이 실사하기에는 인력과 시간이 부족하다는 현실론도 있다. 고객 공지가 사고 이틀 뒤에야 나온 점을 두고는 피해 범위 확정을 위한 시간이 필요했다는 회사 입장과, 신분증 유출이라면 더 빨리 알렸어야 한다는 비판이 엇갈린다.
시사점
이번 사고로 이달 침해가 확인된 국내 거래소는 고팍스, 프라뱅, 빗썸 세 곳이 됐다. 금융위원회가 28일 예고한 '은행급 보안' 제도 개선에 고객 신분증 유출이라는 구체적 사례가 더해진 만큼, 망 분리 범위와 내부 자료 취급 기준까지 논의가 넓어질 가능성이 있다. 개인정보보호위원회 조사 결과와 과징금 여부, 11월 20일 마감되는 사업자 갱신 신고 심사에 보안 사고가 어떻게 반영될지가 지켜볼 대목이다.
이용자는 빗썸 홈페이지에서 유출 여부를 먼저 확인하는 것이 좋다. 거래소 직원을 사칭해 인증번호를 묻거나 앱 설치를 권하는 연락은 응하지 말고 공식 고객센터로 확인해야 한다.
본 기사는 정보 제공 목적이며 투자 권유가 아닙니다.
참고