빗썸, 그룹웨어는 거래망과 분리돼 고객 자산 접근 불가…피해자 수·침입 경로는 비공개

빗썸이 직원용 내부 모바일 그룹웨어에 외부인이 무단 접근했다고 10월 28일(현지시각) 확인했다. 침입을 감지한 시점은 27일이며, 회원 정보까지 새어 나갔는지는 아직 조사 중이다.

같은 시기 대신증권과 미래에셋자산운용도 침해 사실을 알렸다. 금융감독원이 세 건을 모두 들여다보고 있다. 금감원장은 인공지능(AI)을 쓴 동시다발 공격이 일상이 되고 있다며 이사회가 보안을 직접 챙기라고 요구했다.

빗썸이 밝힌 것과 밝히지 않은 것

빗썸은 허가받지 않은 외부 제3자가 내부 모바일 그룹웨어에 접근했고 이 과정에서 개인정보가 유출됐다고 확인했다. 비트코인닷컴 뉴스에 따르면 그룹웨어는 기업이 메시지·이메일·일정·문서 결재에 쓰는 내부 협업 소프트웨어다. 직원 정보와 내부 소통 기록이 담기고 때로는 고객 기록도 들어간다.

빗썸은 사고를 발견한 뒤 한국인터넷진흥원과 개인정보보호위원회에 신고했다. 코인텔레그래프는 연합뉴스를 인용해 신고가 발견 당일 이뤄졌다고 전했다. 빗썸은 피해를 본 직원들에게 사고를 알렸고, 초기 확인 결과 주로 직원 관련 기록이 대상이라고 설명했다.

유출 항목에 대해서는 보도가 엇갈리지 않는 선에서 일부가 알려졌다. 언체인드는 빗썸 대변인이 한국 매체들에 지금까지 확인된 데이터가 직원 정보라고 말했고, 아이뉴스24는 이름·이메일 주소·전화번호가 포함됐다고 보도했다고 전했다. 다만 빗썸은 고객 데이터가 함께 연루됐을 가능성을 배제하지 않았다.

빗썸은 연합뉴스에 “회원 정보가 연루됐을 가능성을 포함해 정확한 범위를 분석하고 있다”고 밝혔다. 이어 “내부 업무 시스템은 가상자산 거래 시스템과 분리돼 있어 이번 침해로 고객 가상자산에 접근할 수 없다”고 설명했다. 언체인드에 따르면 빗썸은 딜사이트에도 그룹웨어가 거래·고객 자산 시스템과 물리적으로 분리된 망에서 돌아간다고 말했다.

아직 공개되지 않은 정보가 많다. 빗썸은 피해자 수와 공격자의 정체를 밝히지 않았고 침입 경로도 설명하지 않았다. 유출된 개인정보의 세부 항목별 내역도 내놓지 않았다. 빗썸은 조사가 진행되는 대로 추가로 설명하겠다는 입장이다.

대신증권·미래에셋 동시 노출…금융권 전방위로

빗썸과 같은 날 두 곳이 더 침해 사실을 공개했다. 대신증권은 고객 3만 8,490명의 개인정보와 신용정보가 유출됐다고 밝혔다. 비트코인닷컴 뉴스는 세 곳 가운데 확인된 노출 규모가 가장 크다고 짚었다.

언체인드는 연합뉴스를 인용해 유출 항목에 이름·이메일 주소·휴대전화번호가 포함됐다고 전했다. 대신증권은 지난주 무단 접근을 발견했고 해당 고객들에게 통지했으며, 법에 따라 피해를 보상하겠다고 밝혔다. 금감원은 대신증권에 검사팀을 보내 사고를 점검하고 있다.

미래에셋자산운용은 일부 행정 시스템이 침해됐다며 원인과 범위를 조사 중이다. 회사는 초기 확인 결과 고유식별정보·민감정보·개인신용정보가 노출되지 않았다고 밝혔다. 영향을 받은 시스템은 개인 투자자를 상대하지 않는 곳이라 투자자 정보와도 무관하다는 설명이다. 언체인드는 이 회사가 웹 플랫폼 일부로 들어오던 외부 IP 접속을 차단했다고 전했다.

앞서 10월 26일에는 미래에셋생명보험에서도 별도 침해가 있었다. 크립토랭크가 인용한 보도에 따르면 이번 공개로 신고된 침해가 신용카드사를 뺀 거의 모든 주요 금융업권으로 넓어졌다. 비트코인닷컴 뉴스는 수사 당국이 빗썸 침입과 같은 날 공개된 다른 사건 사이의 연관성을 아직 확인하지 못했다고 전했다.

금감원장 “AI로 취약점 찾기 쉬워졌다”

이찬진 금감원장은 10월 28일 8개 금융지주 회장단과 만난 자리에서 사고를 언급했다. 전날 주요 금융투자회사에서 해킹 사고가 있었다는 점을 알고 있다며 금융사에 정보기술(IT) 보안 역량 강화를 다시 당부했다.

이 원장은 공격자들이 AI를 이용해 보안 취약점을 더 쉽게 찾는다고 말했다. 해커들이 AI 도구를 쓰면서 동시다발 공격이 일상화되고 있다는 취지의 발언도 했다. 이 원장은 고객 자산과 정보를 지키려면 이사회가 IT 보안 개선을 이끌어야 한다고 요구했다. 보안 역량을 금융기관에 대한 신뢰 유지와도 연결했다.

피해 규모는 앞서 공개된 숫자로도 가늠할 수 있다. 코인텔레그래프에 따르면 이 원장은 수요일 금융당국 회의에서 10월 14일 기준 한국 금융사 16곳이 사이버 공격을 받았다고 말했다. 언체인드는 금융위원회가 10월 초 은행을 포함한 16개 금융사가 해킹 공격을 받았고 약 10만 건의 데이터가 유출됐다고 밝혔다고 전했다.

정부 차원의 대응도 이어졌다. 서울경제에 따르면 대통령실 국가안보실은 10월 28일 금융위와 긴급 대응 회의를 열고 빗썸과 미래에셋 사고를 논의했다. 금감원은 빗썸·미래에셋자산운용·대신증권 세 건을 평가하고 있다.

핫월렛 해킹은 아니지만…이용자가 볼 대목

비트코인닷컴 뉴스는 백오피스(내부 업무) 시스템 침해가 공격자가 암호화폐를 직접 빼내는 핫월렛 해킹과 다르다고 짚었다. 그래도 이용자와 직원을 겨냥한 표적 공격의 길을 열 수 있다는 지적이다. 이름·이메일·전화번호 같은 연락처가 새면 그 정보가 사칭에 쓰일 수 있다는 뜻이다. 빗썸 고객 정보가 실제로 포함됐는지는 조사 결과를 기다려야 한다.

같은 매체는 최근 업계에서 이어진 데이터 유출 사례도 나열했다. 하드웨어 지갑 키스톤(Keystone)에서는 구매자 주소가 사기범에게 노출됐고 피해 대상은 이후 1만 8,835개 지갑으로 늘었다. 인도 거래소 코인DCX(CoinDCX)는 최고경영자가 의심스러운 이체를 일축한 뒤 1,600만 달러 피해를 인정했다.

국내 거래소는 이전에도 반복적으로 표적이 됐다. 비트코인닷컴 뉴스에 따르면 업비트는 2025년 11월 솔라나 네트워크에서 핫월렛 해킹을 당해 약 3,600만 달러가 빠져나갔다. 현지 당국은 북한 해킹 조직 라자루스를 배후로 의심했다.

한국은 가상자산 규제 틀도 확정하지 못한 상태다. 비트코인닷컴 뉴스는 이번 사고가 가상자산 과세가 네 번째 연기를 앞둔 시점에 터졌다고 전했다. 빗썸은 피해 범위와 공격자 정보를 아직 내놓지 않았다.