오지급 사태 제재절차 도중 추가사고
금융·개인정보 당국 동시대면 불가피
사고 이후 국내 거래점유율 30% 하회
국내 가상자산 거래 둔화로 보릿고개를 지나고 있는 빗썸이 해킹 사고로 또다시 암초를 만났다. 연초 오지급 사태에 대한 금융당국 제재가 안갯속인 가운데 이번 사고로 일부 고객의 개인정보가 탈취된 것으로 나타나면서 고강도 제재 리스크가 부각되고 있다.
30일 가상자산업계에 따르면 빗썸은 지난 27일 그룹웨어 '다우오피스'에 외부 비인가자가 침입해 고객 6444명과 임직원 715명의 개인정보가 유출됐다며 전날 저녁 사과문을 게시했다. 빗썸은 고객 가운데 5600명의 정보는 암호화 처리돼 실제 노출 규모는 844명분으로 추정한다고 덧붙였다.
함께 공개한 유출 항목에는 성명·휴대전화번호·이메일주소 외에 주민등록번호·운전면허번호·계좌번호·신분증 사본이 포함됐다. 본인인증 자료가 빠져나가 2차 피해 우려도 제기된다. 업계는 실무자가 특정금융정보법(특금법)상 KYC(고객확인의무) 이행과 문의 응대·경품 지급 등과 관련한 내부 연락·결재를 처리하는 과정에서 암호화하지 않은 개인정보를 남긴 것으로 보고 있다.
빗썸은 그룹웨어가 고객 계정·자산정보와 분리돼 있어 거래소나 고객 데이터베이스(DB)가 직접 침해된 정황은 확인되지 않았다고 밝혔다. 현재 확인된 유출 규모도 다른 금융권 사고(KB국민은행 2210명·예가람저축은행 4만3246명 등)에 비해선 작은 편이다.
고객 자산 유출은 면했지만 시장에선 거래소 간 자산 이동이 쉽고 경쟁이 치열한 가상자산 시장 특성상 일정 기간 신뢰도 하락에 따른 사업적 타격이 불가피하다는 의견이 우세하다. 실제로 코인게코의 시간대별 통계에 따르면 빗썸의 국내 가상자산 거래량 점유율은 사고 소식이 전해진 지난 28일 오전 이후 줄곧 30%대를 회복하지 못했다.
금융권 개인정보 유출 사고는 금융당국과 개인정보 당국을 동시에 상대해야 해 대응이 까다롭다. 빗썸은 지난 2월 발생한 비트코인 오지급 사고와 관련해 8월 금융감독원으로부터 검사의견서를 받은 뒤 제재 수위에 대한 결론을 기다리던 터다. 개인정보보호위원회는 지난해 '오더북 공유 사건'에 따른 개인정보 국외이전 규정 위반을 이유로 올해 6월 빗썸에 2억원대 과징금을 부과한 전례도 있다.
통상 개인정보 유출 사고에는 조사 과정에서 드러난 안전조치 의무 위반을 이유로 과징금이 부과된다. 지난 9월 개정된 개인정보보호법은 '동종 사건'에 대해서만 과징금 상한을 가중하도록 해 빗썸은 가중 제재를 피할 것으로 보인다. 다만 실무적으로는 당국의 부정적인 시선을 피하기 어렵다고 전문가들은 설명한다. 개인정보위는 '직전 3개년 평균매출의 3%'를 과징금 상한으로 정한 뒤 가중·감경 요소를 적용해 과징금을 산출하는데, 빗썸의 3개년 평균매출은 2024~2025년 '트럼프 랠리' 여파로 4278억원까지 뛴 상태다.
독자들의 PICK
지금 2,171명 읽는 중
이런 가운데 빗썸은 다른 국내 거래소와 함께 가파른 실적 내리막길을 걷고 있다. 가상자산 시장 전반의 투자심리가 얼어붙은 여파로 빗썸은 상반기 1087억원의 순손실을 내 전년 동기(순이익 550억원)와 달리 적자로 돌아섰다.
업계는 전체 매출의 95% 이상을 가상자산 거래수수료가 차지하는 국내 거래소의 사업구조상 거래대금 감소에 따른 실적 침체가 당분간 이어질 것으로 본다. 점유율 하락과 규제 대응 비용 증가가 겹치면서 하반기 수익성 방어에도 빨간불이 켜졌다.
업계는 빗썸의 해킹 사고가 남 일 같지 않다며 예의주시하는 분위기다. 침투 경로로 드러난 그룹웨어는 기업마다 갖춘 업무 시스템인 데다 세계 최대 거래소인 바이낸스에서도 29일(현지시간) 해킹 정황이 드러났기 때문이다. 한 거래소 관계자는 "사내 정보보호 부서가 시스템 접근 권한과 사고 대응요령을 재점검하고 있다"고 말했다.
