빗썸 해킹, 금융당국이 거래소에도 주요 금융사 수준의 보안 조치를 추진한다

빗썸 해킹은 왜 업무 시스템에서 시작됐나

빗썸에서 침입이 드러난 곳은 직원들이 쓰는 사내 모바일 그룹웨어였다. 고객이 거래하는 화면 뒤에서 업무를 돕는 시스템이다. 빗썸은 10월 27일 외부 비인가자의 접근과 개인정보 유출을 인지했다.

금융서비스를 이용하는 사람의 시선은 거래 화면과 잔액에 머문다. 이번 사고가 시선을 돌리는 곳은 그 서비스를 운영하는 직원들의 업무 공간이다. 고객에게 보이지 않는 시스템도 회사가 보호해야 할 정보의 일부를 품고 있다.

침입한 곳과 빠져나간 것을 함께 봐야 한다.

빗썸은 현재까지 임직원 정보가 유출된 것으로 알려졌지만, 회원 정보가 포함됐을 가능성도 분석하고 있다. 업무용 시스템이라는 이름만으로 고객과의 거리를 확정할 수 없는 이유다. 사고를 이해하는 출발점은 회사 이름보다 시스템 안에 무엇이 있었느냐다.

대신증권 3만8천490명, 무엇이 빠져나갔나

대신증권에서는 고객의 개인·신용정보가 빠져나갔다. 회사가 10월 28일 밝힌 대상은 3만8천490명이다. 임직원 정보가 중심인 빗썸의 현재 설명과 달리, 고객이 직접 정보 유출의 당사자가 된 사고다.

침해가 확인된 곳은 투자일임 비대면 증권계좌 개설 연계 서버였다. 대신증권은 10월 17일 비정상적 접근을 발견해 당국에 신고했고, 뒤이은 조사에서 고객정보 유출을 확인했다. 침입을 발견한 순간에 피해의 전모까지 드러난 것은 아니었다.

이 순서가 중요하다. 비정상적 접근을 막았다는 설명은 대응의 시작을 알려 준다. 고객에게 필요한 답은 그다음에 나온다. 내 정보가 포함됐는지, 어떤 정보가 나갔는지다. 회사가 조치를 했다는 사실과 고객의 노출 범위를 알아냈다는 사실은 서로 다른 성과다.

미래에셋자산운용은 무엇이 달랐나

미래에셋자산운용은 침해 대상이 개인 고객 서비스가 아니며 투자자 정보도 해당하지 않는다고 설명했다. 현재 파악한 유출 범위는 일부 업무용 시스템 이용 정보다. 고유 식별정보·민감정보·개인신용정보는 유출되지 않은 것으로 파악했다.

회사는 일부 웹 시스템에서 외부 IP의 비정상적 접근 정황을 발견한 뒤 접근 경로를 차단하고 비상 대응체계를 가동했다. 여기서는 업무용 정보와 투자자 정보를 구분한 설명이 고객의 노출 범위를 판단하는 핵심이다.

해킹이라는 말만 남기면 회사별 차이가 사라진다. 고객 신용정보가 유출된 대신증권과, 투자자 정보는 대상이 아니라고 설명한 미래에셋자산운용을 같은 피해로 받아들이게 된다. 보안 사고를 정확히 읽으려면 침해 사실 뒤에 정보의 주인을 붙여야 한다.

빗썸 지갑 정보와 회원 정보는 다른 질문

빗썸은 금융당국 긴급 점검 회의에서 가상자산 지갑 주소 등 부정 결제나 가상자산 이전에 활용될 수 있는 정보는 유출되지 않았다고 보고했다. 돈을 옮기는 데 쓰일 정보에 관해 회사가 내놓은 설명이다.

이 설명이 회원 정보 전체에 대한 답을 대신하지는 않는다. 회원 정보가 유출 범위에 포함됐는지를 분석하는 일과, 가상자산 이전에 활용될 정보가 나갔는지를 살피는 일은 질문부터 다르다. 고객에게 필요한 것은 어느 한쪽을 지워 버린 안심이나 공포가 아니다.

정보 유출과 자산 피해를 한 덩어리로 받아들이면 사고의 크기도 잘못 읽게 된다. 이번에 구분해야 할 것은 침입이 있었던 시스템, 밖으로 나간 정보, 그 정보가 자산 이전과 맺는 관계다. 빗썸의 설명도 이 구분에 맞춰 읽어야 의미가 또렷해진다.

금감원 현장점검은 회사 설명 뒤를 확인한다

금융감독원은 대신증권과 빗썸에 각각 현장 점검반을 보냈다. 점검 과정에서 법 위반이 발견되면 검사로 전환할 예정이다. 금융당국은 사고 원인을 살피고 피해가 발생하면 소비자 보호 조치가 이뤄지도록 관리·감독하겠다는 계획이다.

회사의 초기 설명은 사고를 알리는 출발점이고, 현장점검은 그 설명을 실제 시스템과 대응 과정에 맞춰 확인하는 단계다. 누가 어떤 정보를 잃었는지 알아내는 일에서, 회사가 보호 책임을 제대로 이행했는지 따지는 일로 범위가 넓어진다.

이찬진 금융감독원장이 은행지주 이사회에 IT 보안 역량 강화를 요구한 것도 같은 방향이다. 그는 AI가 해킹 수단으로 쓰이면서 동시다발적 공격이 상시화될 것이라고 경고했다. 보안을 기술 담당 부서에만 맡겨 둘 수 없다는 판단이 이사회까지 올라간 셈이다.

전자금융거래법 밖에서도 보호 책임은 남는다

금융위원회는 전자금융거래법이 적용되지 않는 가상자산업권 등에도 주요 금융사 수준의 보안 조치와 사고 대비 태세를 갖추도록 방안을 추진하겠다고 밝혔다. 이번 대응에서 오래 남을 변화는 점검 대상 회사의 수보다 보호 기준을 넓히려는 방향이다.

10월 28일 가상자산업권 긴급 점검 회의에 이어, 다음 주에는 관계부처와 전 금융권 협회, 5대 시중은행장 등이 참여하는 AI 해킹 대응 점검 회의가 예정돼 있다. 개별 회사의 사고 처리를 넘어 업권 전반의 준비 상태를 살피겠다는 움직임이다.

여기서 돈과 위험이 흐르는 경로가 보인다. 고객은 금융서비스를 이용하면서 자신의 정보를 회사에 맡긴다. 그 정보는 회사의 업무 시스템과 맞닿고, 보호가 무너지면 고객정보 유출처럼 고객 쪽에 직접 위험이 생긴다. 보안의 범위를 거래 화면으로 좁혀서는 이 경로를 지킬 수 없다.

우리가 이번 대응을 중요하게 보는 이유다. 법의 적용 범위가 다르더라도 고객이 맡긴 정보와 재산을 보호해야 한다는 기준은 이어져야 한다. 거래소에 맡긴 신뢰는 직원의 업무 시스템 앞에서 멈추지 않는다.