빗썸 해킹에 고객 844명 개인정보 노출…계좌번호·신분증 사본까지

[이데일리 정윤영 기자] 디지털자산(가상자산) 거래소 빗썸의 사내 모바일 그룹웨어가 해킹당해 고객 6444명의 정보가 담긴 파일이 유출됐다. 빗썸은 이 가운데 5600명의 정보는 암호화돼 개인정보가 노출되지 않았으며, 실제 개인정보가 노출된 고객은 844명이라고 밝혔다.

28일 서울 서초구 빗썸 모습 (사진=연합뉴스)

29일 빗썸에 따르면 지난 27일 사내 모바일 그룹웨어인 다우오피스에 외부 비인가자가 접근해 일부 고객과 임직원의 개인정보가 유출됐다. 유출된 고객 정보에는 △성명 △휴대전화번호 △이메일 주소 △주민등록번호 △운전면허번호 △계좌번호 △신분증 사본 등이 포함됐다.

유출 항목은 고객마다 다르다. 빗썸은 고객 5600명의 정보가 담긴 파일에는 문서보안(DRM) 암호화가 적용돼 외부에서 내용을 확인할 수 없다고 설명했다. 임직원 715명의 정보도 유출됐다.

고객 정보는 임직원이 업무를 수행하는 과정에서 그룹웨어에 보관한 자료를 통해 유출된 것으로 파악됐다. 빗썸은 외부 업체가 제공하는 모바일 그룹웨어의 취약점을 노린 공격으로 보고 서비스 개발사와 보안 점검 및 패치를 진행하고 있다.

다만 사고가 발생한 그룹웨어는 고객의 거래소 계정 및 보유 자산 정보를 관리하는 시스템과 분리돼 있다는 게 빗썸의 설명이다. 현재까지 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다.

비인가자의 접근은 27일 오전 11시28분부터 낮 12시27분 사이 발생했다. 빗썸은 낮 12시14분 비정상적인 접근을 처음 인지한 뒤 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다고 밝혔다.

빗썸은 사고 당일 오후 11시39분 한국인터넷진흥원(KISA)에, 이튿날인 28일 오전 0시48분 개인정보보호위원회에 각각 신고했다.

고객 정보 유출 범위를 파악한 이날 오후부터는 해당 고객에게 순차적으로 개별 안내할 예정이다. 고객은 빗썸 홈페이지에서도 개인정보 유출 여부를 확인할 수 있다.

빗썸은 유출 정보를 이용한 2차 피해에도 주의를 당부했다. 임직원을 사칭해 인증번호를 요구하거나 앱 설치를 유도하는 연락에 응하지 말고, 피해 신고와 문의는 공식 고객센터를 이용해달라고 안내했다.

이재원 빗썸 대표이사는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보가 유출된 고객에게서 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다”고 밝혔다. 이어 “내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다”고 말했다.