[녹색경제신문 = 박금재 기자] 가상자산 거래소 빗썸이 사내 모바일 그룹웨어 시스템 해킹으로 개인정보가 유출된 사실을 확인했다. 현재까지 확인된 유출은 임직원 정보 위주이며, 회원 정보가 포함됐는지는 분석 중이다.

28일 금융권에 따르면 빗썸은 전날인 27일 사내 모바일 그룹웨어에서 외부 비인가자의 비정상적인 접근을 확인하고 차단 조치를 했다. 사고를 인지한 당일 한국인터넷진흥원(KISA)과 개인정보보호위원회에 침해 사고를 신고했다.

빗썸 측은 임직원 정보 위주로 파악되고 있지만 회원 정보가 포함됐을 가능성까지 열어두고 정확한 내용을 분석 중이라고 설명했다. 임직원이 사내 메신저로 주고받은 업무용 파일에 회원 정보가 들어 있었는지도 조사 대상이다. 유출 항목과 규모, 공격 방식은 계속 확인하고 있으며, 임직원에게는 사고 사실을 알렸다. 이날 오전 중 홈페이지 등을 통해 고객에게 공식 안내할 예정이라고 밝혔다.

고객 자산 피해 여부는 아직 공식 확인되지 않았다. 침해 지점이 거래·자산 시스템이 아닌 사내 업무 시스템인 만큼 곧바로 고객 가상자산 탈취로 이어지는 것은 아니라는 관측이 나오지만, 거래·자산 시스템의 침해 여부는 별도 확인이 필요하다.

2차 피해 우려도 있다. 빗썸은 앞서 14일 홈페이지에 개인정보를 앞세운 사칭 연락에 주의하라는 안내를 올렸다. 유출 피해 보상이나 계정 점검을 명분으로 링크 접속, 앱 설치, 자금 이체를 요구하는 연락에 응하지 말고 공식 앱이나 홈페이지로 직접 확인하라는 내용이다. 당시 안내는 새 유출 사고를 알린 것이 아니라 최근 금융권에서 유출된 정보가 사기에 재활용될 수 있다는 경고였다. 이번 사고 이후에도 회사는 피싱 주의를 당부했다.

이번 사고는 금융권 연쇄 해킹 국면에서 나왔다. 금융위원회는 14일 제2차 긴급 상황대응 회의에서 금융회사 16곳의 개인정보 약 10만건이 유출된 것으로 파악됐다고 밝혔다. 이날 DB저축은행, 산은캐피탈, 브라이트픽스, 고팍스 운영사 스트리미, 프라뱅 5곳이 새로 확인됐고, 원화 가상자산 거래소가 피해 업체에 포함된 것은 처음이었다. 유출 항목은 이름, 연락처, 주민등록번호, 이메일이며 계좌 비밀번호나 카드번호 유출은 확인되지 않았다. 당국은 사고 간 연관성과 동일 공격자 여부, 인공지능(AI) 활용 가능성을 조사 중이다. 빗썸 사고가 이들 사건과 같은 공격자의 소행인지는 확인되지 않았다. 같은 날 대신증권도 외부 해킹으로 고객 약 3만8000명의 개인정보가 유출됐다고 밝혔다.