가상자산 거래소 빗썸의 해킹 사고로 임직원을 넘어 고객 6444명의 개인정보가 담긴 자료가 유출됐다. 이 가운데 5600명의 정보는 암호화된 파일에 담겨 노출되지 않았으며, 실제 개인정보가 노출된 고객은 844명이다.

당초 임직원 정보 유출을 중심으로 파악되던 피해가 추가 조사에서 고객정보로까지 확대된 것이다. 빗썸은2차 피해가 확인될 경우 피해 구제와 보상에 나서겠다는 방침이다.

29일 빗썸에 따르면 지난 27일 사내 모바일 그룹웨어 시스템인 '다우오피스'에 외부 비인가자가 접근해 일부 고객과 임직원의 개인정보가 유출됐다.

유출된 자료에 포함된 고객은 총 6444명이다. 다만 빗썸은 이 중 5600명의 개인정보는 디지털저작권관리(DRM) 기술로 암호화된 파일에 담겨 외부에서 접근할 수 없는 상태라고 설명했다.

개인정보가 노출된 것으로 파악된 고객 844명의 유출 항목에는 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이 포함됐다. 유출된 정보의 범위는 고객별로 다르다. 임직원 715명의 정보도 유출됐다.

빗썸은 고객정보가 임직원의 업무 수행 과정에서 사내 모바일 그룹웨어를 통해 유출된 것으로 파악하고 있다. 다우오피스는 다우기술이 개발한 그룹웨어 솔루션으로, 고객이 직접 이용하는 거래 서비스가 아닌 내부 업무용 시스템이다.

빗썸 측은 해당 시스템이 고객의 거래소 계정 및 보유 자산 정보와 분리돼 있으며, 현재까지 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 밝혔다.

사고는 지난 27일 오전 11시 28분부터 낮 12시 27분 사이에 발생했다. 빗썸이 비정상적인 접근을 최초 인지한 시각은 같은 날 낮 12시 14분이다.

빗썸은 인지 즉시 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 차단하는 등 긴급 보안 조치를 했다고 밝혔다. 현재 서비스 개발사와 보안 점검 및 패치를 진행하고 있다.

한국인터넷진흥원(KISA)에는 사고 당일인 27일 오후 11시 39분, 개인정보보호위원회에는 이튿날인 28일 오전 0시 48분 각각 신고했다.

피해 고객에게는 29일 오후부터 순차적으로 개별 안내를 진행할 예정이다. 고객은 빗썸 홈페이지에서도 개인정보 유출 여부를 직접 확인할 수 있다.

빗썸은 유출된 정보를 악용한 2차 피해에도 주의를 당부했다. 임직원을 사칭한 인증번호 요구나 앱 설치 요청 등에 응하지 말고, 피해 신고와 문의는 공식 고객센터를 이용해 달라고 안내했다. 임직원에게도 의심스러운 웹 링크 접속 자제와 비밀번호 변경 등 피해 예방 수칙을 공지했다.

이재원 빗썸 대표이사는 "고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다'며 "개인정보가 유출된 고객에서 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다"고 말했다.

이어 "이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다"고 덧붙였다.

앞서 금융당국도 현장조사에 착수했다. 금융위원회는 지난 28일 유영준 디지털금융정책관 주재로 금융감독원과 금융보안원, 디지털자산거래소 공동협의체(DAXA·닥사), 빗썸 등이 참석한 긴급 점검회의를 열었다.

당시 빗썸은 회사와 자회사·협력업체 등의 임직원 정보가 유출된 정황을 확인했으며, 이용자 정보 유출 여부는 조사 중이라고 보고했다.

금융위·금감원·금보원은 관계기관 간 정보공유를 통해 사고 원인과 소비자 피해 여부를 점검하고 있다. 피해가 발생한 경우 전액배상 등 소비자 보호 조치가 이뤄질 수 있도록 관리·감독할 계획이다.

금융위는 가상자산업권 등 현재 전자금융거래법이 적용되지 않는 업권에 대해서도 은행 등 주요 금융회사 수준으로 보안조치를 강화하고 사고 발생 시 신속히 대응할 수 있도록 다각적인 방안을 추진할 방침이다.

chsn12@news1.kr