'유출 사기 주의' 알리던 빗썸도 뚫렸다…거래소 보안 잇단 경고음

[경제일보] 가상자산 거래소 빗썸의 사내 모바일 그룹웨어가 해킹당해 개인정보가 유출됐다. 회사는 회원정보가 포함됐을 가능성까지 열어두고 피해 범위를 분석 중이다. 고팍스와 프라뱅에 이어 빗썸에서도 침해사고가 확인되면서 고객 계정부터 사내 업무시스템까지 거래소 보안 관리 범위가 도마에 올랐다.

28일 가상자산 업계 등에 따르면 빗썸은 전날 사내 모바일 그룹웨어에서 외부 비인가자의 비정상적인 접근으로 개인정보가 유출된 사실을 인지했다. 같은 날 한국인터넷진흥원(KISA)과 개인정보보호위원회에 사고를 알렸다.

빗썸은 회원정보 포함 여부와 유출 항목, 피해 인원 등을 확인하고 있다. 구체적인 침입 경로와 정보 유출 기간은 공개되지 않았다.

그룹웨어는 임직원이 업무자료와 메시지 등을 주고받는 협업시스템이다. 조사에서는 회원 관련 자료의 보관 여부와 업무상 필요성, 조회·다운로드 권한을 확인해야 한다. 외부 접속을 어떤 방식으로 인증하고 비정상적인 자료 접근을 언제 탐지했는지도 주요 점검 대상이다.

앞서 금융위원회는 지난 14일 금융권 침해사고 대응 회의에서 고팍스 운영사 스트리미와 코인마켓 거래소 프라뱅의 사고를 공개했다. 프라뱅은 원화 대신 가상자산 간 거래를 지원하는 거래소다.

고팍스는 지난 16일 공지에서 9월 초부터 발생한 일부 고객 계정의 비정상적인 접근과 닉네임·로그인 이력 등의 조회 정황을 10월 초 확인했다고 밝혔다. 현재까지 고객의 원화·가상자산에 대한 비정상 출금이나 자산 손실은 확인되지 않았다는 것이 회사 설명이다.

프라뱅은 지난 9일 공지를 통해 이달 2일께 외부 비인가자의 비정상적인 접근으로 고객 약 20명의 정보가 유출된 사실을 확인했다고 밝혔다. 유출 항목은 이름·생년월일·연락처 등 12개다. 회사는 접속 IP 차단과 비정상 접근 모니터링, 홈페이지 취약점 점검·보완을 진행했다고 설명했다.

잇단 사고는 거래소가 관리해야 할 정보의 범위가 넓다는 점을 보여준다. 회원 계정과 개인정보는 고객 응대와 내부 업무에서도 사용된다. 업무상 자료를 추출하거나 공유했다면 저장 위치와 보관기간, 접근권한까지 통제해야 한다. 핵심 거래시스템의 보호와 함께 정보가 이동하는 경로를 점검해야 하는 이유다.

빗썸은 이달 14일 공식 정보보호 캠페인에서 “내 정보를 알고 있어도, 진짜는 아닙니다”라며 유출정보를 이용한 사기를 경고했다. 공격자가 이름·연락처·이용 서비스명 등 실제 정보를 제시해 신뢰를 얻은 뒤 피싱 사이트 접속이나 원격제어앱 설치, 자금 이체를 유도할 수 있다는 내용이다.

한편 회사가 안내한 위험은 이번 사고의 후속 대응에도 적용된다. 유출정보가 거래소 직원을 사칭한 보안점검이나 피해보상 연락에 악용될 수 있기 때문이다. 고객별 유출 여부와 공식 안내 경로를 신속히 제시해야 이용자의 불안을 노린 사칭 연락을 줄일 수 있다.

빗썸의 후속 발표에는 고객별 유출 항목과 확인 방법, 문의·피해구제 절차가 담겨야 한다. 어떤 접근을 허용했고 어디에서 차단하지 못했는지, 보관 중인 업무자료와 계정 권한을 어떻게 재점검했는지도 설명할 필요가 있다.