 |
29일 빗썸에 따르면 지난 27일 외부 개발사가 제공한 사내 모바일 그룹웨어 시스템 ‘다우오피스’의 취약점을 노린 외부 비인가자의 침입 사고가 발생했다.
유출 대상 고객은 6444명으로 알려졌다. 이 가운데 5600명은 외부에서 열람할 수 없는 암호화(DRM) 파일로 개인정보가 노출되지 않았으나 844명은 실제 정보가 노출된 것으로 확인됐다. 유출 항목은 성명, 휴대전화번호, 이메일 주소, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본 등이다. 이어 같은 날 임직원 715명의 정보도 유출된 정황이 밝혀졌다.
고객 정보는 임직원이 업무 중 모바일 그룹웨어를 사용하는 과정에서 유출된 것으로 파악된다. 빗썸에 따르면 침입된 그룹웨어는 고객의 거래소 계정·보유자산 정보와 분리된 내부 업무 시스템으로 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 현재까지 확인되지 않은 것으로 나타났다.
사고발생 시점은 27일 오전 11시28분부터 오후 12시27분 사이로, 빗썸은 오후 12시14분 비정상 접근을 처음 인지하여 즉시 공격자 접근 경로를 차단하고 모바일 그룹웨어 사용을 전면 중단했다는 입장이다. 현재는 서비스 개발사와 함께 보안 점검과 패치를 진행 중이다.
사고 인지 직후 관계기관 신고조치도 이뤄졌다. 빗썸은 사고를 인지한 당일 오후 11시39분 한국인터넷진흥원(KISA)에, 이튿날 밤 12시48분 개인정보보호위원회에 각각 신고했다고 전했다. 법정 신고 기한은 KISA 24시간, 개인정보위 72시간 이내다.
피해 고객에게는 정보 유출 사실이 파악된 29일 오후부터 순차적으로 개별 안내가 이뤄질 계획이다. 홈페이지에도 사고 경위와 대응 조치를 담은 안내문이 게시됐으며, 개인정보 유출 여부는 홈페이지에서 직접 확인할 수 있다.
마지막으로 빗썸은 임직원을 사칭해 인증번호를 요구하거나 앱 설치를 유도하는 경우 응하지 말고, 피해 신고와 문의는 공식 고객센터를 이용해 달라고 당부했다. 임직원에게는 의심스러운 웹 링크 접속 자제와 비밀번호 변경 등 2차 피해 방지 대책을 사내 공지했다.
이재원 빗썸 대표이사는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 “개인정보가 유출된 고객에게서 2차 피해가 확인되면 피해 구제와 보상에 최선을 다하겠다”고 말했다.
이어 “이번 사고를 계기로 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검해 재발 방지에 총력을 기울이겠다”고 덧붙였다.
김동섭 기자 subt7254@
〈ⓒ 대한경제신문(www.dnews.co.kr), 무단전재 및 수집, 재배포금지〉
