빗썸 해킹, 고객 844명 계좌번호·신분증 사본까지 노출

사내 모바일 그룹웨어 '다우오피스' 침입…임직원 715명 피해도 추가 확인

서울 서초구에 위치한 가상자산 거래소 빗썸 사옥 외관을 바라보고 있다. 연합뉴스

가상자산 거래소 빗썸이 사내 모바일 그룹웨어 해킹으로 고객 6천444명의 개인정보가 유출됐다고 29일 밝혔다.

이 중 844명은 이름, 휴대전화 번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등 민감 정보가 직접 외부에 노출됐다. 나머지 5천600명의 정씨 암호화된 파일 형태로 유출됐으며, 빗썸은 해당 파일의 내용을 외부에서 확인할 수 없는 상태라고 설명했다.

침입 경로는 사내 모바일 그룹웨어 '다우오피스'였다. 외부 비인가자가 이 시스템에 접근해 고객 6천444명과 임직원·직원 715명 등 총 7천159명의 정보가 담긴 자료를 무단 반출했다. 유출된 고객 빗썸 직원이 업무 중 사내 모바일 시스템을 사용하는 과정에서 외부로 빠져나간 것으로 파악됐다.

해킹은 27일 오전 11시 28분부터 낮 12시 27분까지 약 1시간 동안 이뤄졌다. 빗썸은 낮 12시 14분에 사고를 인지하고 공격자 접근 경로와 시스템 사용을 차단하는 긴급 보안 조치를 즉시 시행했다. 사고 인지 직후 모바일 그룹웨어 사용도 전면 중단했으며, 현재 서비스 개발사와 함께 보안 점검 및 패치를 진행하고 있다.

빗썸은 사고 당일 한국인터넷진흥원(KISA)에, 이튿날인 28일 개인정보보호위원회에 각각 사고를 신고했다. 당초에는 임직원 정보 유출만 신고했으나, 이후 정확한 유출 범위를 분석하는 과정에서 고객 정보 피해를 추가로 확인해 29일 공개했다. 해킹 사고 발생 사실 자체는 28일 외부로 먼저 알려졌지만, 고객 정보 유출을 포함한 피해 범위는 하루 뒤에야 공개된 셈이다. 피해 고객에게는 29일 오후부터 차례로 개별 안내할 예정이다.

빗썸은 이번 사고가 발생한 시스템은 고객 거래소 계정이나 보유 자산 정보와 분리돼 있다고 강조했다. 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 없다는 설명이다.

이재원 빗썸 대표이사는 "고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다"며 "개인정보가 유출된 고객의 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다"고 말했다. 이 대표는 "이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다"고 덧붙였다.

빗썸은 고객들에게 임직원을 사칭한 인증번호 요구나 앱 설치 요청에 응하지 말 것을 당부했다. 피해 신고 및 문의는 빗썸 공식 고객센터를 통해 접수할 수 있다.

이번 사고는 가상자산 업계에서 해킹이 잇따르는 가운데 발생했다. 원화 가상자산 거래소 고팍스 운영사 스트리미도 이달 일부 고객 계정에 비정상적인 접근 정황을 파악하고 관련 조사와 보안 조치를 진행했다. 고팍스 측은 자산 피해는 없다고 밝혔다. 코인마켓 거래소 프라뱅은 이달 해킹으로 1억원의 자산 피해를 입었으며, 보안 취약점 보완을 위해 현재 서비스를 잠정 중단한 상태다. 금융감독원은 프라뱅에 대해 현장 검사에 착수했다.