빗썸, 개인정보 유출 공식 사과⋯“거래소 계정ㆍ자산 침해 정황 없어”

국내 가상자산 거래소 빗썸은 29일 사내 그룹웨어 시스템에 외부 비인가자가 접근해 일부 고객과 임직원의 개인정보가 유출된 사고와 관련해 공식 사과하고 2차 피해 예방을 당부했다.

사고는 27일 빗썸의 사내 모바일 그룹웨어 시스템인 다우오피스에서 발생했다. 빗썸은 개인정보 유출 사실이 확인된 고객에게 이날 오후부터 차례로 개별 안내하고 있으며 홈페이지에도 사고 내용과 대응 조치를 게시했다. 고객은 홈페이지를 통해 개인정보 유출 여부를 직접 확인할 수 있다.

이번 사고와 관련된 고객은 총 6444명이다. 이 가운데 5600명의 정보는 외부에서 접근할 수 없도록 디지털저작권관리(DRM) 방식으로 암호화된 파일에 담겨 있어 실제 개인정보가 노출되지는 않았다. 개인정보가 노출된 고객은 844명으로 파악됐다.

유출 항목은 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 실제 유출된 정보의 종류와 범위는 고객마다 다른 것으로 확인됐다. 같은 날 임직원 715명의 개인정보도 유출됐다.

빗썸은 임직원이 업무 수행 과정에서 사내 모바일 그룹웨어를 사용하는 과정에서 고객 개인정보가 노출된 것으로 파악하고 있다. 다만 해당 그룹웨어는 고객의 거래소 계정과 보유 자산 정보를 관리하는 시스템과 분리돼 있으며, 현재까지 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 설명했다.

침입은 27일 오전 11시28분부터 낮 12시27분 사이 발생했다. 빗썸은 낮 12시14분 비정상 접근을 처음 인지한 뒤 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다. 현재 서비스 개발사와 보안 점검 및 패치를 진행하고 있다.

관계기관 신고도 사고 인지 당일 이뤄졌다. 빗썸은 27일 오후 11시39분 한국인터넷진흥원(KISA)에 신고했고, 다음 날인 28일 오전 0시48분 개인정보보호위원회에도 신고를 마쳤다.

빗썸은 고객들에게 임직원을 사칭한 인증번호 요구나 앱 설치 요청 등에 응하지 말고 피해 신고와 문의는 공식 고객센터를 이용해달라고 당부했다. 임직원에게도 의심스러운 웹 링크 접속을 자제하고 비밀번호를 변경하는 등 2차 피해 방지 조치를 안내했다.

이재원 빗썸 대표이사는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다”고 말했다.

이어 “이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다”고 덧붙였다.