[서울=뉴스핌] 박가연 기자 = 가상자산 거래소 빗썸의 사내 모바일 그룹웨어가 해킹 공격을 받아 고객 844명과 임직원 715명의 개인정보가 유출됐다. 빗썸은 거래소 핵심 시스템에 대한 직접적인 침해 정황은 확인되지 않았다며 피해 고객 안내와 보안 점검에 나섰다.

29일 빗썸에 따르면 지난 27일 외부 비인가자가 사내 모바일 그룹웨어인 다우오피스에 침입하면서 고객과 임직원 정보가 외부에 노출됐다.

이번 사고와 관련된 고객은 총 6444명이다. 이 가운데 5600명의 자료는 디지털저작권관리(DRM) 기술로 암호화돼 외부에서 열람할 수 없는 상태였다. 실제 개인정보가 노출된 고객은 나머지 844명으로 확인됐다.

유출 항목은 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 고객마다 노출된 정보의 종류는 다르며 임직원 715명의 개인정보도 함께 유출됐다.

이번 사고는 외부 업체가 제공하는 사내 업무용 시스템에서 발생했다. 빗썸 직원들이 업무를 처리하는 과정에서 다우오피스에 저장된 고객 정보가 공격자에게 노출된 것으로 파악됐다.

다만 해당 그룹웨어는 고객의 거래소 계정과 보유 자산을 관리하는 핵심 시스템과 분리돼 있다. 빗썸은 현재까지 거래소 서비스나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다고 설명했다.

침입은 지난 27일 오전 11시 28분부터 낮 12시 27분까지 약 1시간 동안 이뤄졌다. 빗썸은 낮 12시 14분 비정상적인 접근을 감지한 직후 공격자의 접속 경로를 차단했다. 이어 모바일 그룹웨어 사용을 전면 중단하고 서비스 개발사와 보안 점검 및 취약점 보완 작업에 착수했다.

관계기관 신고도 마쳤다. 빗썸은 사고 당일 오후 11시 39분 한국인터넷진흥원(KISA)에, 다음 날 오전 0시 48분 개인정보보호위원회에 각각 신고했다. 두 기관의 법정 신고 기한인 24시간과 72시간 이내에 관련 절차를 완료했다.

개인정보가 노출된 고객에게는 29일 오후부터 사고 내용을 순차적으로 개별 안내한다. 홈페이지에도 관련 공지를 게시했으며 고객이 직접 유출 여부를 조회할 수 있도록 했다.

빗썸의 개인정보 유출 사고는 이번이 처음이 아니다. 2017년 4월에도 악성코드가 포함된 이메일을 이용한 해킹 공격으로 고객 개인정보 3만6487건이 유출됐다.

당시 방송통신위원회는 빗썸 운영사의 개인정보 보호조치 의무 위반을 확인하고 같은 해 12월 과징금 4350만원과 과태료 1500만원을 부과했다. 개인정보 파일을 암호화하지 않은 채 개인용 컴퓨터에 저장하고 외부 침입을 탐지하는 조치가 미흡했던 점 등이 제재 사유에 포함됐다.

빗썸은 이번 사고로 유출된 정보를 악용한 2차 피해 가능성에도 주의를 당부했다. 임직원을 사칭해 인증번호를 요구하거나 악성 애플리케이션 설치를 유도하는 연락에 응하지 말고, 피해 신고와 문의는 공식 고객센터를 이용하도록 안내했다.

이재원 빗썸 대표이사는 "고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다"며 "개인정보가 유출된 고객에게 2차 피해가 확인될 경우 피해 구제와 보상에 최선을 다하겠다"고 말했다.

이어 "이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다"고 덧붙였다.

eoyn2@newspim.com