국내 가상자산 거래소 빗썸이 '해킹'에 뚫렸다. 타깃이 핵심 데이터베이스(DB)가 아닌 사내 업무시스템이었다지만, 800명이 넘는 고객의 주민등록번호 등 민감정보가 암호화되지 않은 채 새 나갔다. 해킹이 벌어지기 25일 전에 "보안 체계를 대폭 강화했다"고 공언했던 빗썸은 왜 이런 사태를 막지 못한 걸까. 더스쿠프가 빗썸 개인정보 유출 사태를 둘러싼 풀리지 않는 의문을 짚어봤다. 빗썸의 사내 시스템이 해킹됐다. 빗썸에 따르면 해커는 10월 27일 오전 11시 28분부터 12시 27분까지 1시간가량 사내에서 쓰는 모바일 그룹웨어(직원 업무 공유 프로그램) '다우오피스'에 접근해 개인정보와 파일을 무단 반출했다. 빗썸은 50여분 뒤인 12시 14분에 '비정상 접근'을 인지했고, 접근 경로를 차단하고 시스템 사용을 중단하는 등 긴급 조치에 착수했다. 10월 29일 빗썸이 추가 조사를 통해 밝힌 내용에 따르면, 개인정보가 유출된 고객은 6444명이다. 그중 5600명의 정보는 내용을 확인할 수 없도록 암호화 처리돼 있어 실질적으론 844명의 개인정보만 유출됐다. 아울러 임직원(646명)과 협력사 직원(69명) 등 715명의 개인정보도 빠져나갔다. 유출된 개인정보는 성명과 연락처, 주민등록번호, 계좌번호, 신분증 사본, 가상자산 거래 내역과 가상자산을 담는 지갑의 온라인 주소 등이다. 유출 항목은 고객마다 다르다. 이 해킹 사고로 인한 2차 피해는 없을까. 릴게임신천지여신 빗썸은 공지를 통해 "해당 시스템은 이용자의 거래소 계정, 보유 자산 정보와 분리된 내부 업무시스템"이라면서 "거래소 서비스시스템이나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다"고 설명했다. 무슨 말일까. 쉽게 설명하면 이렇다. 이번 해킹에 악용된 '다우오피스'는 직원들이 이메일을 주고받고 문서를 공유하거나 결재를 처리하는 데 사용하는 업무용 소프트웨어로, 고객의 거래소 계정과 자산을 관리하는 시스템과는 별개다. 따라서 이번 침입이 곧바로 고객 계정 해킹이나 자산 탈취로 이어질 가능성은 높지 않다는 게 빗썸의 해명이다.[※참고: 이번 해킹은 다우오피스의 보안 취약.을 파고들었을 공산이 크다. 한국인터넷진흥원은 10월 30일 자사 정보포털에서 "다우오피스 시스템에 해킹 악용 소지가 있는 취약.이 확인됐다"면서 "외부망 접근을 차단하고 최신 보안 패치를 적용해야 한다"고 권고했다.] ■ 의문① 유출 장소 = 문제는 빗썸의 핵심 시스템만 뚫리지 않았으면 괜찮냐는 거다. 실제론 그렇지 않다. 앞서 살펴봤듯 해커는 직원들이 쓰는 업무시스템에서 주민등록번호와 계좌번호, 신분증 사본 등 수백명의 개인정보를 빼냈다. 시스템을 분리했다고 해서 고객 개인정보까지 안전해지는 것은 아니란 얘기다. 왜 업무용 소프트웨어에 고객 개인정보를 따로 보관했는가란 질문에 빗썸 관계자는 "임직원들이 사내 문서를 조회하기 위해 그룹웨어를 이용하는 과정에서 일부 고객 정보가 포함된 파일이 해당 업무망에 남았다"면서 "이것이 유출 범위에 포함된 것으로 파악하고 있다"고 답했다 황금성게임장 . 개인정보를 업무 목적으로 고객 DB 외의 장소에 보관하는 것 자체가 잘못은 아니다. 현행법상 보존 의무도 있다. 특정금융정보법 제5조의4는 고객확인자료 등 개인정보를 금융거래 관계가 끝난 때부터 5년간 보존하도록 명시하고 있다. 거래가 끝난 뒤에도 자금세탁 등 의심스러운 거래를 조사할 근거를 남겨둬야 한다는 취지에서다. 개인정보 보호법 제21조 역시 불필요해진 개인정보는 파기하도록 하면서도 '다른 법령에 따른 보존 의무'가 있다면 예외를 인정하고 있다. 그럼에도 따져볼 .은 남아 있다. 빗썸이 보존해야 하는 고객 정보를 그에 걸맞은 '보호시스템' 아래 뒀는지다. 어떤 업무에 필요한 자료였고, 누가 접근할 수 있었으며, 암호화 조치 등을 제대로 했는지는 현재로선 불분명하다. 김휘강 고려대(정보보호대학원) 교수는 "아직 사고 경위와 유출 범위가 모두 확인된 것은 아니라 구체적인 원인을 단정하기는 어렵다"면서도 "업무시스템에 고객 개인정보를 보관하는 과정에서 보안 기준을 일관되게 유지했는지 살펴볼 필요가 있다"고 지적했다. ■ 의문② 암호화 = 의문은 하나 더 있다. 6444명 중 844명 고객의 개인정보는 왜 암호화하지 않았느냐는 거다. 현행법에 따르면 주민등록번호 같은 민감정보는 유출되더라도 내용을 알 수 없도록 반드시 암호화해 보관해야 한다(개인정보보호법 제24조의2 제2항). 황금성오락실게임 이를 감안하면 빗썸의 개인정보 암호화 기준이 제각각이었거나, 누군가 업무 편의를 위해 암호화를 해제한 파일을 공유하다 해커에게 탈취당했을 가능성을 배제하기 어렵다. 어느 쪽이든 빗썸의 보안 관리 체계에 문제가 있었다는 지적을 피하긴 쉽지 않다. 공교롭게도 빗썸은 최근 개인정보 관리 전반에 보호조치를 강화했다고 발표한 바 있다. 해킹 사고가 일어나기 25일 전인 10월 2일에 '정보보호 및 개인정보보호를 위한 빗썸 보안 체계 강화'란 공지를 통해 개인정보의 수집·이용·보관·파기 과정에서 발생할 수 있는 위험을 식별해 관리하고 있다고 밝혔다. 공지의 골자는 개인정보에 접근하는 직원을 최소화하고 업무에 필요한 권한만 부여하며, 주요 개인정보의 저장·전송 때 암호화를 적용하고, 365일 24시간 모니터링해 외부 위협에 대응한다는 것이다. 보안 체계를 강화한 지 한달도 지나지 않아 해커의 공격을 허용한 셈이다. 소비자가 이번 빗썸의 해킹 사태를 민감하게 받아들일 수밖에 없는 이유는 사실 간단하다. 빗썸은 업비트와 함께 국내 가상자산 거래소의 양대산맥으로 손꼽힌다. 빗썸의 하루 가상자산 거래량만 해도 4억4756만 달러(약 6004억원)에 달한다(가상자산 정보업체 코인게코·일 24시간 기준). 천문학적 자산이 오고 가는 공간인 만큼, 해킹이 막대한 고객 피해로 이어질 가능성을 배제할 수 없다. 빗썸 관계자는 "현재 정확한 피해 범위와 추가 피해를 확인하는 데 최선을 다하고 있다"면서 말을 아꼈다. 과연 빗썸은 이번 해킹 사태를 어떻게 수습할까. 개인정보 유출 피해를 입은 이용자에겐 '합당한 보상'을 해줄 수 있을까. 지켜볼 일이다. : 700; bac