빗썸 내부 시스템 침해 조사 착수, 10월 27일 유출 확인

다우오피스 해킹에서 직원 정보 유출 확인

국내 2위 암호화폐 거래소인 빗썸이 내부 모바일 업무 시스템 해킹 사건에서 유출된 데이터의 규모를 파악하는 데 총력을 기울이고 있다. 거래소는 10월 27일 침해 사실을 탐지했고 같은 날 규제 기관에 신고했다. 업계 소식통을 인용한 국내 언론 보도에 따르면 빗썸은 발견 당일 한국인터넷진흥원(KISA)과 개인정보보호위원회에 사건을 통보했다. 침해당한 플랫폼은 국내 소프트웨어 기업 다우기술이 개발한 협업 도구 다우오피스다. 빗썸 직원들은 고객 대상 서비스가 아닌 내부 메시징과 일정 관리에 이 도구를 사용해 왔다. 지금까지 확인된 유출은 직원 개인정보다. 다만 침해된 도구 안에서 공유된 파일이 고객 정보를 담고 내부 대화로 흘러 들었을 가능성이 있어, 회원 정보 노출 여부에 대한 검증은 아직 진행 중이다. 거래소는 도구 안에서 오간 대화와 문서에 고객 기록이 섞여 있었는지도 함께 검토하고 있다. 빗썸 관계자는 현지 언론에 "현재까지 파악된 개인정보는 직원 데이터"라며 정확한 유출 범위와 피해 인원은 확인 중이라고 밝혔다. 고객 자산에 대한 전망은 더 분명하다. 빗썸에 따르면 내부 업무 시스템과 거래 및 고객 자산을 다루는 시스템은 물리적으로 분리된 네트워크에서 운영되며, 이번 침해 경로로는 호가창과 위탁 인프라에 접근할 수 없었다. 회사는 고객 자산에 대한 비정상 접근 징후가 발견되지 않았다고 밝히고, 1차 검토가 끝나는 대로 수요일 오전 공식 입장을 내놓겠다고 약속했다. 국내 신고 규정상 사업자는 침해를 확인한 뒤 지체 없이 한국인터넷진흥원과 개인정보보호위원회에 통보해야 하며, 빗썸의 당일 신고는 이 기준을 충족했다. 내부 통제 개편을 진행하며 올해 2028년 상장 일정을 잡아놓은 빗썸은 10월 28일 서울 시간 정오 기준 홈페이지 공지란에 별도의 공식 설명을 올리지 않은 상태였다.

국내 금융권서 16곳 잇따른 침해

빗썸 사건은 대한민국 금융권을 훑고 있는 더 넓은 침해 파동 속에서 터졌다. 금융감독원장 이찬진은 수요일 서울 금융감독원 본청에서 열린 회의에서 업계 관계자들을 상대로 10월 14일 기준 사이버 공격으로 국내 금융회사 16곳이 피해를 입었다고 밝혔다. 피해 목록은 은행, 증권사, 보험사와 Web3 플랫폼까지 확장돼 있으며, 공격 패턴은 특정 회사의 핵심 원장이 아니라 상용 소프트웨어와 웹 노출 시스템을 겨냥하고 있다. 최근 피해자 가운데 대신증권은 고객 3만 8,490명의 개인정보와 신용정보가 유출됐다고 밝혔고, 금융감독원은 이 증권사에 현장 검사팀을 투입했다. 미래에셋자산운용은 일부 웹 시스템에 대한 비정상 외부 접근을 차단했으며 투자자 정보는 영향받지 않았다고 설명했다. 계열사 미래에셋생명은 10월 26일 자체적인 침해 사실을 확인했다. 암호화폐 플랫폼도 예외가 아니었다. 중견 거래소 GOPAX는 10월 16일 고객 7명과 재직자 및 전직 직원 2명의 개인정보가 유출됐다고 공시했다. 규모가 더 작은 별개의 거래소는 10월 2일 외부 접근으로 고객 약 20명의 데이터가 노출됐다며, 접근이 있은 지 8일 뒤에야 침해를 확인했다고 밝혔다. 각 사건마다 같은 신고 절차가 반복됐다. 당일 한국인터넷진흥원과 개인정보보호위원회에 신고하고, 이후 유출 범위를 조사하는 순서다. 이찬진 원장은 은행지주회사 8곳 회장과의 정기 회의에서 정보보호 강화를 촉구하며, 인공지능이 해킹 도구로 전용되면 취약점을 찾기가 쉬워지고 다지점 동시 공격이 일상이 될 것이라고 경고했다. 그는 이번 변화를 일시적인 사건 행진이 아니라 구조적 전환으로 규정했다. 단일 진입점을 가정해 구축된 방어체계가 이제 여러 방향에서 오는 동시 탐지에 직면했다는 것이다.

빗썸 침해 사건과 금융권 16곳 피해 집계는 같은 근본 원인을 가리킨다. 공격자들은 방어가 얇은 상용 협업 소프트웨어와 웹 노출 시스템을 노리고 있을 뿐, 핵심 거래 엔진을 겨냥하지는 않는다. 빗썸이 주장하는 물리적 네트워크 분리가 수요일로 예상되는 공식 원인 분석에서 그대로 확인되면 고객 자산 피해가 없었던 이유가 설명된다. 그러나 남은 쟁점은 직원 파일 안에 실려 있던 회원 정보다. 거래소는 법정 신고 의무는 이미 이행했으며, 한국인터넷진흥원과 개인정보보호위원회는 최종 유출 범위가 얼마나 완전하고 신속하게 공개되는지를 기준으로 평가하게 된다. 이용자 입장에서 당분간의 노출은 절도보다 FUD와 정보공개 리스크에 가깝다. 지금까지 확인된 피해는 직원 데이터이고, 예고된 공식 발표가 다음 확인 지점이다.