가상자산 거래소 빗썸의 사내 모바일 그룹웨어 시스템이 외부 공격을 받아 고객 844명의 개인정보가 유출된 것으로 확인됐다. 유출 정보에는 주민등록번호와 계좌번호, 신분증 사본 등 민감한 정보도 포함돼 임직원 사칭 등을 통한 2차 피해 우려가 커지고 있다.
29일 빗썸에 따르면 지난 27일 사내 모바일 그룹웨어 시스템인 '다우오피스'에 외부 비인가자가 침입해 고객 6444명의 정보가 유출 대상에 포함됐다. 이 중 5600명의 정보는 외부에서 접근할 수 없도록 암호화(DRM)된 파일에 저장돼 실제 개인정보가 노출된 고객은 844명으로 파악됐다.
유출 항목은 성명, 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 고객별로 실제 유출된 정보의 범위는 다른 것으로 확인됐다. 같은 날 빗썸 임직원 715명의 정보도 유출됐다.
이번 사고는 외부에서 제공한 사내 모바일 그룹웨어의 취약점을 노린 공격으로 발생했다. 고객 개인정보는 임직원들이 업무 목적으로 해당 시스템을 사용하는 과정에서 유출된 것으로 파악됐다.
빗썸은 침해된 그룹웨어가 고객의 거래소 계정 및 보유 자산 정보와 분리된 내부 업무 시스템이라고 설명했다. 현재까지 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다는 입장이다.
침입은 27일 오전 11시 28분부터 낮 12시 27분 사이 발생했다. 빗썸은 낮 12시 14분 비정상적인 접근을 최초 인지한 뒤 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다. 현재 시스템 개발사와 함께 보안 점검과 패치를 진행하고 있다.
빗썸은 사고 당일 오후 11시 39분 한국인터넷진흥원(KISA)에 신고했으며, 이튿날 오전 0시 48분 개인정보보호위원회에도 신고했다. 두 기관 모두 법정 신고 기한보다 앞서 신고가 이뤄졌다고 설명했다.
빗썸은 이날 오후부터 개인정보가 유출된 고객에게 순차적으로 개별 안내를 진행할 예정이다. 고객은 빗썸 홈페이지에서도 개인정보 유출 여부를 직접 확인할 수 있다.
특히 유출된 개인정보를 악용한 2차 피해에 주의를 당부했다. 빗썸 임직원을 사칭해 인증번호를 요구하거나 특정 애플리케이션 설치를 유도하는 연락에 응하지 말고, 피해 신고와 문의는 공식 고객센터를 이용할 것을 안내했다.
이재원 빗썸 대표는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다”고 밝혔다.
이어 “이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다”고 덧붙였다.
금융당국도 이번 사고에 대한 조사에 착수했다. 금융위원회는 전날 금융감독원, 금융보안원, 디지털자산거래소 공동협의체(DAXA), 빗썸 등이 참석한 긴급 점검회의를 개최하고 현장조사에 나섰다.
금융당국은 사고 원인과 피해 범위를 조사하고 소비자 피해가 발생할 경우 전액배상 등 보호조치가 이뤄지도록 관리·감독할 방침이다. 현장점검 과정에서 법규 위반 사항이 발견되면 정식 검사로 전환할 계획이다. 전자금융거래법이 적용되지 않는 가상자산업권의 보안 수준을 은행 등 주요 금융회사 수준으로 강화하는 방안도 추진한다.
송혜영 기자 hybrid@etnews.com
