일요주간 - [기자수첩] 사내 시스템 뚫린 빗썸… 민감정보 암호화 수칙 어디로 갔나

▲ (사진=newsis)

 

국내 굴지의 가상자산 거래소 빗썸이 보안 체계 강화를 대대적으로 공언한 지 채 한 달도 되지 않아 사내 그룹웨어 해킹으로 수백 명의 고객 민감정보를 암호화조차 하지 않은 채 유출시키는 참사를 맞았다.

빗썸은 지난 10월 27일 오전 11시 28분부터 약 1시간 동안 사내 모바일 그룹웨어 '다우오피스'가 외부 비인가자에게 침입당해 내부 파일과 개인정보가 무단 반출되는 사고를 겪었다. 인지 직후 시스템 중단 등 긴급조치에 나섰지만, 총 6444명의 고객과 임직원·협력사 인력 715명의 정보가 빠져나갔다. 이 중 DRM 기술로 보호된 5600명을 제외한 844명의 성명, 휴대전화번호, 계좌번호, 주민등록번호, 신분증 사본 등 치명적인 개인정보는 암호화 처리되지 않은 그대로 외부에 노출됐다.

빗썸 측은 해당 그룹웨어가 거래소 계정 및 자산 관리 DB와 분리된 내부 업무망이므로 가상자산 직접 탈취 피해는 없다고 해명했다. 하지만 법적으로 보호받아야 할 민감정보가 어째서 암호화도 없이 사내 업무망에 방치되어 있었는지에 대한 비판은 피하기 어렵다. 현행 개인정보보호법에 따라 주민등록번호 등 민감정보는 보관 시 반드시 암호화해야 함에도, 빗썸은 지난 10월 2일 개인정보 접근 권한 최소화 및 주요 정보 암호화를 골자로 한 보안 강화 공지를 발표하고 불과 25일 만에 이 같은 허점을 드러냈다.

사고 직후 빗썸은 피해 대상자 개별 안내 및 조회 서비스 제공, 외부 공격 IP 차단, 24시간 감시 강화와 더불어 2차 피해 발생 시 전액 배상하겠다는 방침을 밝혔다. 나아가 사칭 피싱 주의, 비밀번호 변경 및 2단계 인증(2FA) 설정을 당부했다. 

 

그러나 하루 거래량이 약 6000억 원에 달하는 대형 거래소가 보존 의무가 있는 고객 정보를 소홀히 다루고 기본적 암호화조차 빠뜨렸다는 점은 거센 비판을 부르고 있다. 빗썸이 보여주기식 대책을 넘어 이번 유출 사태를 어떻게 수습하고 실질적인 보상과 재발 방지책을 이행할지 엄중히 지켜볼 때다.

 

 

일요주간 / 김완재 기자 ilyoweekly@daum.net

[ⓒ 일요주간. 무단전재-재배포 금지]