빗썸 사내 업무 시스템 외부 공격으로 고객 844명의 개인 정보가 유출됐다./뉴스1


가상자산거래소 빗썸 사내 업무 시스템이 외부 공격을 받아 고객 844명의 개인정보가 유출됐다. 유출 정보에는 주민등록번호와 계좌번호, 신분증 사본 등 민감한 개인정보가 포함된 것으로 확인됐다.

29일 빗썸에 따르면 지난 27일 사내 모바일 그룹웨어 시스템인 '다우오피스'에 외부 비인가자가 접근하면서 일부 고객과 임직원의 개인정보가 유출되는 사고가 발생했다. 다우오피스는 외부 업체가 제공하는 업무용 시스템으로 이번 사고는 해당 시스템의 취약점을 노린 침입으로 파악됐다.

사고는 지난 27일 오전 11시28분부터 낮 12시27분 사이 발생했다. 빗썸은 낮 12시14분 비정상적인 접근을 처음 인지한 뒤 공격자의 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다. 현재 서비스 개발사와 보안 점검 및 취약점 보완 작업을 진행하고 있다.

사고 영향권에 포함된 고객은 총 6444명이다. 이 가운데 5600명의 개인정보는 디지털저작권관리(DRM) 기술로 암호화된 파일에 저장돼 외부에서 접근할 수 없는 상태였다.

실제 개인정보가 노출된 고객은 844명으로 확인됐다. 임직원 715명의 정보도 함께 유출됐다.

유출된 정보에는 고객 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이 포함됐다. 고객별로 유출된 정보의 종류와 범위에는 차이가 있는 것으로 파악됐다. 현재까지 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았으며 고객 자산에도 피해가 없는 것으로 파악됐다.

관계기관 신고도 마쳤다. 빗썸은 사고 당일 오후 11시39분 한국인터넷진흥원(KISA)에 침해사고를 신고했으며, 이튿날인 28일 오전 0시48분 개인정보보호위원회에도 신고했다.

빗썸은 유출된 정보를 악용한 임직원 사칭 등 2차 피해에 주의를 당부했다. 특히 휴대전화번호와 신분증 정보 등이 유출된 만큼 임직원을 사칭해 인증번호를 요구하거나 악성 애플리케이션 설치를 유도하는 피싱·스미싱 등에 주의가 필요하다는 설명이다.

빗썸은 29일 오후부터 개인정보 유출이 확인된 고객에게 개별 안내를 진행할 예정이다. 홈페이지에도 사고 경위와 대응 조치를 안내했으며 고객이 직접 개인정보 유출 여부를 확인할 수 있도록 했다.

아울러 고객들에게 임직원을 사칭한 인증번호 요구나 출처가 불분명한 앱 설치 요청에 응하지 말 것을 당부했다. 피해 신고와 관련 문의는 공식 고객센터를 통해 접수하도록 안내하고 있다.

이재원 빗썸 대표는 "개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다. 이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다"고 밝혔다.