(서울=뉴스1) 최재헌 기자 = 가상자산(디지털자산) 거래소 빗썸의 사내 업무 시스템 해킹 피해가 임직원에 이어 고객정보 유출로 확대됐다. 거래소 서비스 시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았지만, 별도 업무 시스템에 보관된 고객정보가 유출된 것이다.
유출 정보가 직원 사칭과 투자 사기, 피해 보상을 빙자한 피싱 등에 악용될 수 있다는 우려도 커지고 있다. 전문가들은 거래 시스템과 업무 시스템을 분리하는 데 그치지 않고, 업무 과정에서 보관·공유하는 개인정보와 직원·협력업체의 접근 권한까지 점검해야 한다고 지적한다.
임직원 이어 고객정보도 유출…주민번호·신분증 사본 등 포함
30일 빗썸에 따르면 지난 27일 사내 모바일 그룹웨어인 ‘다우오피스’에 외부 비인가자가 접근해 개인정보와 파일을 무단 반출했다. 당초 임직원과 협력업체 직원의 정보 유출을 확인했으나 추가 조사 과정에서 고객정보도 포함된 사실이 드러났다.
빗썸이 전날 공개한 유출 자료에 포함된 고객은 6444명이다. 회사는 이 가운데 5600명의 개인정보는 암호화된 상태로 내용 확인이 불가능하며, 나머지 844명의 개인정보가 노출됐다고 설명했다. 임직원 646명과 협력사 등 외부 인력 69명을 합쳐 715명의 정보도 유출됐다.
고객별 유출 항목은 다르지만 성명과 휴대전화번호, 이메일 주소뿐 아니라 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이 포함됐다.
침해된 다우오피스는 다우기술이 개발한 임직원용 업무 시스템이다. 빗썸은 해당 시스템이 고객의 거래소 계정·보유 자산 정보와 분리돼 있으며, 거래소 서비스 시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 밝혔다.
다만 이번 사고는 거래소 핵심 시스템이 직접 공격받지 않더라도 업무 시스템에 보관된 자료를 통해 고객정보가 유출될 수 있음을 보여줬다. 고객자산에 대한 직접적인 침해 여부와 별개로 개인정보 유출에 따른 추가 피해를 막아야 하는 상황이다.
직원 사칭부터 보상 빙자 피싱까지…유출 정보가 사기 신뢰 높일 수도
전문가들은 유출된 고객·임직원 정보가 특정인을 겨냥한 사기에 악용될 가능성을 경계한다. 실제 직원의 이름이나 고객의 개인정보를 알고 접근하면 거래소의 공식 연락으로 오인하게 만들 수 있기 때문이다.
황석진 동국대 국제정보보호대학원 교수는 빗썸 관계자를 사칭해 투자 권유나 송금을 유도하는 피싱 등에 정보가 악용될 수 있다고 우려했다. 직원들에게 회사를 사칭해 연수비 등의 명목으로 돈을 요구하는 사기도 가능하다고 설명했다.
황 교수는 “정보 주체 당사자의 경우 자기 정보가 노출돼 직접적으로 2차 피해를 볼 수 있고, 자기 이름을 사칭해서 다른 곳에서 악영향을 줄 수 있는 이중적인 문제가 있다”고 말했다.
거래소 임직원 사칭은 과거에도 발생했던 사기 수법이다. 빗썸은 2024년 7월 공지를 통해 본사 인근에서 만나거나 실제 임직원·관계자와의 친분을 내세워 신뢰를 얻은 뒤 상장 비용이나 로비 자금을 요구하는 사례를 경고했다.
올해 7월 사칭 주의 공지에는 위조 명함과 재직증명서로 접근하는 사례도 담겼다. 투자 리딩방 손실이나 개인정보 유출을 보상하겠다며 특정 사이트 가입을 유도하고, 고객 확인 명목으로 신분증과 개인정보를 요구하는 방식이다. 이들 사례가 이번 유출과 관련된 것은 아니지만, 거래소 직원 신분이나 피해 보상 안내가 사기의 신뢰 확보 수단으로 쓰일 수 있음을 보여준다.
빗썸도 이번 사고로 유출된 정보가 명의도용과 보이스피싱, 직원 사칭 등에 악용될 수 있다며 주의를 당부했다. 의심스러운 연락은 공식 고객센터를 통해 확인하고, 2단계 인증 등 계정 보안 설정을 점검해 달라고 안내했다.
업무 시스템도 보안 관리 대상…“침입 이후 대응까지 바꿔야”
추가 피해를 막기 위해서는 개인정보의 보관·공유 방식과 계정 관리부터 살펴야 한다는 조언이 나온다. 업무 시스템에 어떤 고객정보가 저장돼 있는지, 해당 정보에 접근할 수 있는 인원이 적절하게 제한돼 있는지 점검해야 한다는 것이다.
퇴사자 등 불필요한 계정이 남아 있는지 확인하고, 협력업체 인력이 사용하는 업무 시스템까지 점검 범위를 넓히는 것도 과제로 꼽힌다.
황 교수는 “직원 계정과 관리자 접근 권한을 전면 점검해 추가적인 침입을 차단하는 게 좋다”며 “유출 정보가 특정인을 겨냥한 맞춤형 공격인 ‘스피어 피싱’이나 계정 탈취에 악용될 가능성에 대비해 비정상 접속과 내부 정보 조회를 실시간으로 감시해야 한다”고 강조했다.
AI를 활용한 공격에 대응하려면 보안 투자 확대와 함께 실제 침입 이후의 대응 절차도 정비해야 한다는 지적이다. 모의해킹 훈련 역시 방어 성공 여부뿐 아니라 침해 이후 얼마나 신속하게 피해 확산을 막는지까지 살펴야 한다는 취지다.
황 교수는 “AI가 취약점 탐색과 공격에 걸리는 시간을 단축할 수 있다”며 “침입을 전제로 탐지·차단·복구와 피해 통지가 이어지는 실전 대응체계를 마련해야 한다”고 말했다.
빗썸은 사고 인지 후 접근 경로를 차단하고 모바일 그룹웨어 사용을 중단했으며, 관계기관에 신고했다고 밝혔다. 고객정보 유출에 따른 피해가 확인될 경우 구제와 보상에 나설 방침이다.
이재원 빗썸 대표는 사과문에서 개인정보 취급·보관 방식과 사내 시스템을 포함한 보안 관리 체계를 원점에서 재점검하고, 외부 전문기관 점검과 내부통제 강화로 취약점을 개선하겠다고 밝혔다.
※ 저작권자 ⓒ 뉴스1코리아, 무단전재-재배포 금지