[메가경제=정태현 기자] 가상자산 거래소 빗썸의 사내 업무 시스템에 외부 침입자가 접근하면서 고객 844명과 임직원 등의 개인정보가 유출됐다. 일부 고객의 주민등록번호와 신분증 사본, 계좌번호 등 민감한 정보도 포함된 것으로 파악됐다. 빗썸은 거래소 핵심 시스템에 대한 직접적인 침해 정황은 확인되지 않았다며 공식 사과와 함께 2차 피해 예방을 당부했다.

빗썸은 지난 27일 사내 모바일 그룹웨어 '다우오피스'에 외부 비인가자가 침입해 일부 고객과 임직원의 개인정보가 유출된 사실을 확인했다고 30일 밝혔다. 

 

▲ [CI=빗썸]

이번 사고와 관련된 고객 정보는 총 6444명분이다. 이 가운데 5600명의 자료는 디지털저작권관리(DRM) 기술로 암호화돼 외부에서 내용을 확인할 수 없는 상태였으며, 나머지 844명의 개인정보가 실제 노출된 것으로 파악됐다.

유출 항목은 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 구체적인 정보 유출 범위는 고객마다 차이가 있다.

같은 날 임직원 등 715명의 개인정보도 유출됐다.

빗썸이 홈페이지에 공개한 사고 안내문에 따르면 이 가운데 646명은 임직원, 69명은 협력사 등 외부 인력으로, 해당 인원에 대한 개별 안내는 이미 완료됐다.

고객 정보는 임직원들이 업무 수행을 위해 사내 그룹웨어를 이용하는 과정에서 유출된 것으로 파악됐다.

다만 침입 사고가 발생한 시스템은 고객의 거래소 계정 및 보유 자산 정보와 분리된 내부 업무망이다. 빗썸은 현재까지 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다고 설명했다.

외부 침입은 지난 27일 오전 11시 28분부터 낮 12시 27분까지 약 1시간 동안 발생했다.

빗썸은 같은 날 낮 12시 14분 비정상적인 접근을 처음 인지한 뒤 공격자의 접속 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단하는 등 긴급 보안 조치를 시행했다.

이후 사고대응 전담조직을 구성하고 서비스 개발사와 함께 보안 점검과 취약점 보완 작업에 착수했다.

관계기관 신고도 진행했다. 빗썸은 사고 당일 오후 11시 39분 한국인터넷진흥원(KISA)에 침입 사고를 신고했으며, 이튿날인 28일 오전 0시 48분 개인정보보호위원회에도 신고를 마쳤다.

이는 한국인터넷진흥원과 개인정보보호위원회에 적용되는 신고 기한인 각각 24시간과 72시간 이내에 이뤄진 조치다.

빗썸은 지난 29일 오후부터 개인정보 유출이 확인된 고객에게 사고 내용과 대응 방법을 순차적으로 안내한다고 밝혔다. 홈페이지에도 관련 공지를 게시하고 고객이 직접 개인정보 유출 여부를 조회할 수 있도록 했다.

이번 사고로 유출된 정보가 금융사기에 악용될 가능성도 있어 주의가 요구된다.

빗썸은 임직원을 사칭해 인증번호를 요구하거나 악성 애플리케이션 설치를 유도하는 연락에 응하지 말고, 의심스러운 요청을 받으면 공식 고객센터를 통해 확인해 달라고 당부했다.

임직원에게도 의심스러운 웹 링크 접속 자제와 비밀번호 변경 등 2차 피해 예방 조치를 안내했다.

이재원 빗썸 대표이사는 "고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다"며 "개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다"고 밝혔다.

이어 "이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다"고 말했다. 

 

 

[ⓒ 메가경제. 무단전재-재배포 금지]