 |
| ▲빗썸이 홈페이지에 고객 정보 유출과 관련해 사과문을 올렸다./사진=빗썸 홈페이지 갈무리 |
[소셜밸류=소민영 기자] 빗썸에서 또다시 보안 사고가 발생하면서 내부 정보보호 체계의 실효성이 시험대에 올랐다.
빗썸이 사내 그룹웨어 시스템을 통해 일부 고객 및 임직원의 개인정보가 유출된 것에 대해 공식 사과하고 2차 피해 예방을 당부했다고 29일 밝혔다.
지난 27일 빗썸의 사내 모바일 그룹웨어 시스템인 다우오피스에 외부 비인가자가 접근하는 침입 사고가 발생해 일부 고객의 개인정보가 유출됐다. 해당 고객에게는 정보가 파악된 29일 오후부터 순차적으로 개별 안내가 진행될 예정이다. 홈페이지를 통해서도 사고 내용 및 대응 조치에 대한 안내문이 게시됐다. 개인정보 유출 여부는 빗썸 홈페이지에서 직접 확인할 수 있다.
고객 유출 규모는 6,444명으로 확인됐다. 다만 그 중 5,600명은 외부에서 접근이 불가능한 암호화(DRM) 된 파일로 개인정보가 노출되지 않았으며, 개인정보가 노출된 고객은 844명이다. 유출 항목은 성명, 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등으로, 유출된 정보 범위는 고객별로 다를 것으로 파악되고 있다.
고객 개인정보는 임직원이 업무 수행 목적으로 사내 모바일 그룹웨어 시스템을 사용하는 과정에서 유출된 것으로 파악되고 있다. 다만 이번 침입 사고가 발생한 그룹웨어 시스템은 고객의 거래소 계정 및 보유 자산 정보와는 분리된 내부 업무 시스템으로, 현재까지 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다.
같은날 임직원 715명의 정보 유출도 발생했다.
이번 사고는 27일 오전 11시 28분부터 오후 12시 27분 사이에 발생했다. 빗썸은 이날 오후 12시 14분에 비정상적인 접근을 최초 인지했으며, 확인 즉시 공격자 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 차단하는 등 긴급 보안 조치를 단행했다. 현재는 서비스 개발사와 함께 보안 점검 및 패치를 진행 중이다.
관계기관 최초 신고는 법정 기한(KISA 24시간·개보위 72시간 내)을 앞당겨 이뤄졌다. 빗썸은 사고를 인지한 당일 오후 11시 39분에 한국인터넷진흥원(KISA), 이튿날 새벽 0시 48분에 개인정보보호위원회에 각각 신고를 마쳤다.
이용 고객을 대상으로 홈페이지에 안내문을 게시하고 임직원을 사칭한 인증번호 요구나 앱 설치 등에 응하지 말고, 피해 신고 및 문의는 공식 고객센터를 통할 것을 당부하고 있다. 임직원에게는 의심 웹 링크 접속 자제 및 비밀번호 변경 등 2차 피해 방지 대책 등을 사내 공지했다.
한편 빗썸은 과거에도 잇따른 해킹 및 정보 유출 사고로 보안 관리체계에 대한 우려를 낳은 바 있다. 2017년에는 직원 PC가 악성코드에 감염되면서 약 3만 6000명의 고객 개인정보가 유출됐으며, 2018년 6월에는 해킹으로 약 350억원 상당의 가상자산을 탈취당하는 사고가 발생했다. 2019년 3월에도 가상자산이 비정상적으로 유출돼 내부자 연루 가능성이 제기됐다. 이번 사고는 거래소의 핵심 거래시스템이 아닌 사내 업무용 그룹웨어에서 발생했다는 점에서 과거와 차이가 있지만, 반복되는 보안 사고로 고객정보 보호와 내부 접근 통제체계의 실효성이 다시 도마 위에 오를 것으로 보인다.
[저작권자ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
