총 6444명 정보 새 나가…5600명은 암호화
임직원 등 715명 정보도 함께 빠져나가
비정상 접근 인지 뒤에도 13분간 반출

서울 서초구 빗썸 모습. 연합뉴스

가상자산 거래소 빗썸의 사내 업무 시스템이 해킹당해 고객 844명의 개인정보가 외부로 빠져나갔다. 노출된 정보에는 주민등록번호와 신분증 사본까지 들어 있었다.

빗썸은 지난 27일 사내 모바일 그룹웨어 ‘다우오피스’에 외부 비인가자가 접근해 고객과 임직원의 개인정보를 빼낸 사실을 확인했다고 29일 공지했다.

빗썸이 파악한 고객 정보 유출 규모는 모두 6444명이다. 회사 측은 이 가운데 5600명의 정보는 암호화된 채로 빠져나가 내용을 알아볼 수 없다고 설명했다. 하지만 나머지 844명은 개인정보가 암호화되지 않은 상태 그대로 노출됐다.

임직원 646명과 협력사 등 외부 인력 69명을 합친 715명의 정보도 함께 빠져나갔다.

유출 항목은 이름과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 명의를 도용하거나 빗썸 직원을 사칭한 금융사기에 바로 쓰일 수 있는 정보가 대부분이다.

외부인은 27일 오전 11시 28분부터 오후 12시 27분까지 1시간 가까이 그룹웨어에 머물며 저장된 개인정보와 파일을 들고 나갔다. 빗썸이 비정상 접근을 알아챈 것은 오후 12시 14분이었다. 회사가 사고를 인지한 뒤에도 13분 동안 반출이 이어진 셈이다.

빗썸은 이후 접근 경로를 차단하고 다우오피스 사용을 멈췄다. 한국인터넷진흥원(KISA)에는 같은 날 오후 11시 39분, 개인정보보호위원회에는 28일 오전 0시 48분에 각각 사고를 신고했다.

신고 당시 빗썸이 확인한 피해자는 임직원과 협력사 직원뿐이었다. 고객정보 유출은 추가 조사 과정에서 드러났다. 빗썸은 새로 확인된 내용을 관계기관에 보완 신고할 계획이다.

빗썸은 이번에 뚫린 그룹웨어가 거래소 계정이나 보유 자산 정보와 분리된 내부 업무 시스템이라고 설명했다. 거래소 서비스 시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다는 것이다. 빗썸은 이상 거래와 출금에 대한 실시간 감시를 강화했다.

빗썸은 정보가 유출된 고객에게 문자로 유출 항목과 대처 방법을 개별 안내할 예정이다. 모든 이용자는 공지에 붙은 링크에서 본인 정보가 유출됐는지 조회할 수 있다. 신분증 사본이 노출된 고객에게는 신분증 재발급과 명의도용 방지 서비스 가입 등 예방 조치를 따로 안내하기로 했다.

빗썸은 “이번 개인정보 유출 사고로 확인되는 모든 피해에 대해 책임을 지고, 피해를 입은 고객님들께 필요한 모든 지원과 보상 절차를 진행하도록 하겠다”고 밝혔다.

은행과 증권사 등 금융권을 덮친 해킹 사고가 가상자산 거래소로 번지면서 빗썸에 앞서 고팍스와 프라뱅에서도 피해가 잇따라 확인됐다.

원화 거래소 고팍스 운영사 스트리미에서는 이달 초 고객 7명과 전·현직 임직원 2명 등 9명의 계정에 비정상적인 접근이 있었던 사실이 확인됐다. 닉네임과 로그인 기록 등 일부 정보가 조회됐지만 자산 피해는 없었다.

코인마켓 거래소 프라뱅에서는 지난 24일 거래소 핫월렛(인터넷에 연결된 가상자산 지갑)에서 약 1억 원어치 자산이 비정상적으로 출금됐다. 최근 금융권 연쇄 해킹 가운데 고객 자산 피해가 확인된 첫 사례다.

프라뱅은 시스템 전반을 점검하다 보안 취약점을 발견해 서비스를 잠정 중단했다. 피해 자산은 정확한 규모를 파악한 뒤 회사 자산으로 전액 보전하겠다고 밝혔다.