빗썸의 사내 모바일 그룹웨어 시스템이 외부 비인가자의 침입을 받아 고객 844명의 개인정보가 노출됐다. 빗썸은 거래소 핵심 시스템과 고객 데이터베이스(DB)는 침해되지 않았다며 임직원 사칭 등 2차 피해에 주의할 것을 당부했다.
빗썸은 지난 27일 사내 모바일 그룹웨어인 다우오피스에서 발생한 침입 사고로 고객과 임직원의 개인정보 일부가 유출됐다고 30일 밝혔다.
고객 정보 유출 대상은 총 6,444명이다. 이 가운데 5,600명의 정보는 외부에서 접근할 수 없는 암호화(DRM) 파일에 담겨 있어 개인정보가 노출되지 않았으며, 실제 노출이 확인된 고객은 844명이다. 노출 항목은 성명과 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 고객별로 노출된 정보의 종류와 범위는 다르다.
임직원 715명의 정보도 유출됐다. 빗썸은 임직원이 업무 목적으로 그룹웨어를 이용하는 과정에서 보관하던 고객 정보가 외부에 노출된 것으로 파악하고 있다.
사고가 발생한 그룹웨어는 거래소 계정과 고객 자산 정보 등을 관리하는 핵심 시스템과 분리된 내부 업무용 시스템이다. 빗썸은 현재까지 거래소 서비스나 고객 DB가 직접 침해된 정황은 확인되지 않았다고 설명했다.
침입은 지난 27일 오전 11시 28분부터 오후 12시 27분 사이에 발생했다. 빗썸은 같은 날 낮 12시 14분 비정상 접근을 처음 확인하고 공격 경로를 차단했다. 이후 모바일 그룹웨어 사용을 전면 중단하고 시스템 개발사와 함께 보안 점검과 취약점 보완 작업을 진행하고 있다.
관계기관 신고도 마쳤다. 빗썸은 사고 당일 오후 11시 39분 한국인터넷진흥원(KISA)에 신고했으며, 이튿날 오전 0시 48분 개인정보보호위원회에도 사고 사실을 알렸다. 법정 신고 기한보다 앞서 신고했다는 설명이다.
빗썸은 개인정보 노출 대상 고객에게 개별 안내를 진행하고 있으며, 홈페이지에서도 유출 여부와 사고 대응 내용을 확인할 수 있도록 했다. 고객에게는 빗썸 임직원을 사칭해 인증번호를 요구하거나 특정 앱 설치를 유도하는 연락에 응하지 말라고 당부했다. 피해 신고와 문의는 공식 고객센터를 이용해야 한다고 안내했다.
이재원 빗썸 대표이사는 “고객에게 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보 유출 고객에게 2차 피해가 발생하면 피해 구제와 보상에 최선을 다하고, 내부 업무 인프라 전반의 보안 체계를 재점검해 재발을 방지하겠다”고 말했다.
Copyright ⓒ 경향게임스 무단 전재 및 재배포 금지
