직원 정보만인 줄 알았는데 고객정보까지…빗썸 해킹 피해 확대

[경제일보] 가상자산 거래소 빗썸의 사내 모바일 그룹웨어 해킹으로 임직원뿐 아니라 고객 개인정보도 유출된 것으로 알려졌다. 사고 초기 임직원 정보 유출을 신고한 뒤 피해 범위를 조사하는 과정에서 고객정보 유출까지 파악한 것이다. 업무시스템에서 고객정보를 어떻게 보관·공유하고 보호했는지가 핵심 조사 과제로 떠올랐다.

29일 가상자산 업계 등에 따르면 빗썸은 지난 27일 인지한 사내 모바일 그룹웨어 침해사고를 분석하는 과정에서 고객정보 수백건이 유출된 사실을 추가로 파악한 것으로 전해졌다.

빗썸은 외부 비인가자의 비정상적인 접근을 확인한 당일 금융당국과 한국인터넷진흥원(KISA), 개인정보보호위원회에 임직원 개인정보 유출 사실을 알렸다. 이후 조사에서 피해 범위가 고객정보로 넓어졌다. 정확한 유출 항목과 전체 규모는 파악 중이다.

그룹웨어는 임직원이 메시지와 업무자료를 주고받는 협업시스템이다. 이번 사고에서는 고객 관련 자료가 어떤 업무 목적으로 저장·공유됐는지, 조회·다운로드 권한과 외부 접속 통제가 적절했는지 확인이 필요하다.

빗썸은 앞서 사내 그룹웨어와 거래소 서비스가 물리적으로 분리된 네트워크에서 운영된다고 설명했다. 고객정보 유출이 추가로 파악되면서 업무 과정에서 공유한 파일과 대화, 첨부자료까지 보호 범위에 포함했는지 점검할 필요성이 커졌다.

회사의 후속 안내도 중요하다. 고객별 유출 여부와 항목, 확인 방법, 문의·피해구제 절차를 구체적으로 공개해야 한다. 최초 신고 이후 고객정보 유출을 파악하기까지 어떤 자료를 분석했고, 현재 조사 범위를 어디까지 넓혔는지도 설명할 대목이다.

한편 가상자산 업권에서는 고팍스와 프라뱅에서도 침해사고가 잇따랐다. 고팍스는 지난 16일 고객 7명과 전·현직 임직원 2명의 개인정보 유출을 공지했다. 일부 고객 계정에 비정상적으로 접근해 닉네임과 로그인 이력 등이 조회된 정황으로, 회사는 당시 원화·가상자산의 비정상 출금이나 자산 손실은 확인되지 않았다고 밝혔다.

프라뱅에서는 자산 피해도 발생했다. 회사는 지난 24일 인터넷에 연결된 가상자산 지갑인 핫월렛에서 비정상 출금을 인지하고 점검하던 중 보안 취약점을 발견했다. 파악된 피해는 약 1억원이며, 서비스를 잠정 중단하고 피해 자산을 회사 자산으로 전액 보전하겠다고 밝혔다.

거래소별로 침해 지점은 계정과 업무시스템, 가상자산 지갑 등으로 다르다. 보안 점검도 거래·출금 시스템에 더해 고객정보가 복사되고 전달되는 업무 경로까지 살펴야 한다. 빗썸에는 공격 경로 차단과 함께 고객자료의 보관 필요성, 공유 범위, 접근권한을 재점검하고 그 결과를 이용자에게 설명할 책임이 남았다.