코인원 외부업체 해킹으로 고객 정보 11개 항목 유출

비밀번호 포함 11개 항목

코인원은 11월 15일, 외부 위탁 업체가 보관하던 고객 정보가 해킹으로 유출됐다고 공식 확인했다. 국내 거래소 코인원은 아웃소싱 고객지원 센터를 운영하는 업체 메탐(Metam)의 서버에 미허가 외부인이 침입했으며, 상담 과정에서 수집된 개인정보가 공격의 표적이 됐다고 밝혔다. 침입은 11월 12일 새벽 4시경 시작됐고, 메탐은 같은 날 오전 9시 20분 코인원에 이 사실을 보고했다.

회사가 공개한 유출 가능 목록에는 11개 데이터 항목이 담겼다. 전화번호, 이름, 이메일 주소, 생년월일, 은행 계좌번호, 비밀번호, 주민등록번호, 신분증 발급일, 자택 주소, 가상자산 지갑 주소, 그리고 블록체인에서 개별 전송을 특정하는 문자열인 트랜잭션 식별자(TXID)가 그것이다. 이 목록은 고객이 채팅과 전화 상담에서 제출한 정보 유형을 묶어 정리한 것으로, 모든 사용자가 모든 항목을 잃은 뜻은 아니다. 실제 노출 항목은 계정마다 다르며, 고객지원 이력이 없는 고객은 이번 사고와 무관하다.

코인원은 사용자가 자신의 어떤 정보가 연루됐는지 확인할 수 있도록 조회 서비스를 준비 중이며, 개별 통지도 병행하겠다고 밝혔다. 회사는 회원 계정과 거래 엔진, 지갑 인프라가 위탁 업체의 상담 서버와 별도로 분리 운영된다고 강조했다. 공지 시점 기준으로 이들 시스템에 대한 직접 침입 흔적은 발견되지 않았다.

규제기관 보고와 비밀번호 경고

침해 사실을 파악한 뒤 코인원은 공격에 쓰인 인터넷 주소와 미허가 접속 경로를 차단했고, 고객센터를 이메일 상담으로 전환했다. 회사는 한국인터넷진흥원(KISA), 개인정보보호위원회, 금융감독원에 각각 신고했으며, 메탐과 외부 전문가와 함께 침입 경위와 피해 범위를 규명하는 중이다. 또한 비정상 로그인과 거래에 대한 실시간 모니터링을 강화했고, 위탁 업체의 보안 관리 실태와 협력사 전반의 보호 조치도 직접 점검하겠다고 밝혔다.

거래소 측은 유출된 정보가 보이스피싱, 피싱 이메일, 스팸 문자, 신원 도용에 악용될 수 있다고 경고했다. 상담 과정에서 비밀번호를 제출한 고객에게는 즉시 변경하고, 같은 자격 증명을 다른 서비스에서도 썼다면 함께 바꾸라고 안내했다. 코인원은 일회용 비밀번호, 인증 코드, 출금 요구를 절대 하지 않는다며, 기존 상담을 인용한 메시지는 사칭일 수 있다고 재차 알렸다. 사용자는 앱이나 웹에서 계정 잠금과 출금 주소 등록 내역 확인이 가능하고, 본인이 시작하지 않은 로그인, 주문, 출금은 회사에 신고해 달라고 요청받았다.

공지는 한국 법에 따라 유출 피해 고객이 법정 손해배상을 포함한 배상을 청구할 수 있다고 명시했다. 공지는 두 가지 별개의 문제를 구분한다. 상담에서 공유된 비밀번호의 노출과, 거래소 자체 계정 시스템의 침해 여부다. 후자는 아직 확인되지 않았다. 이 사태는 비슷한 조사에 이어진다. 빗썸에서는 해커가 직원용 내부 시스템을 침해했고, 거래소는 고객 정보 유출 여부를 점검했다. 코인원 사건은 공격 지점이 거래 플랫폼 자체가 아니라 고객지원 위탁 업체라는 점에서 다르다.

이번 침해는 중앙화 거래소의 실제 공격 표면이 어디에 있는지 보여준다. 위탁된 인적 운영이다. 자금은 움직이지 않았고, 거래와 지갑 시스템의 분리 설계가 버틴 것으로 보인다. 그래서 이번 사건은 절도가 아니라 데이터 유출로 분류된다. 위험은 간접적이다. 지갑 주소와 TXID는 공개 장부에서 가명으로 남고, DEX도 같은 방식으로 작동한다. 여기에 이름, 주민등록번호, 전화번호가 결합되면 사기범에게 표적형 피싱에 쓸 만한 신뢰도 높은 소재가 된다. 위탁 모델은 암호화폐 고유의 문제가 아니다. 전통금융(TradFi)의 은행들도 콜센터를 같은 방식으로 운영한다. 콜드 스토리지만으로는 부족하고, 위탁사 감사가 최고의 암호화폐 거래소를 가리는 기준이 되고 있다. 코인원이 다음에 밝힐 확정 유출 범위가 확인해야 할 항목이다.