빗썸 고객 844명 개인정보 노출…신분증 사본까지 유출

빗썸 개인정보 유출, 거래 시스템보다 신뢰가 먼저 흔들렸다

빗썸의 사내 모바일 그룹웨어 다우오피스에 2026-10-27 외부 비인가자가 접근해 고객과 임직원의 개인정보가 유출됐다. 2026-10-29 보도된 이번 사고에서 실제 정보가 노출된 고객은 844명이다. 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황과 고객 자산 피해는 현재까지 확인되지 않았다.

이 사건을 자산 탈취로 확대 해석할 근거는 없다. 그렇다고 단순한 사내 시스템 사고로 축소해서도 안 된다. 성명과 연락처뿐 아니라 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본까지 유출 정보에 포함됐기 때문이다. 디지털자산 거래소가 지켜야 할 대상은 코인과 계정만이 아니라 고객을 식별하는 정보 전체다.

빗썸 고객 6444명 가운데 실제 노출은 844명

sidae.com이 전한 빗썸 사고 영향권에는 고객 6444명이 포함됐으며, 이 가운데 실제 개인정보가 노출된 고객은 844명으로 확인됐다. 고객별로 노출된 항목과 범위는 서로 다르다. hankookilbo.com에 빗썸 관계자는 유출된 정보 범위는 고객별로 다를 것이라고 밝혔다.

빗썸 고객 5600명의 정보는 DRM 기술로 암호화된 파일에 저장돼 외부에서 접근할 수 없는 상태였다. DRM은 파일 내용을 권한 없는 이용자가 열람하지 못하도록 통제하는 문서보안 기술이다. 이 구분은 사고 영향권에 든 고객 수와 실제 개인정보가 드러난 고객 수를 같은 의미로 읽어서는 안 된다는 점을 보여준다.

임직원 피해도 별도 축이다. 빗썸 임직원 715명의 개인정보가 유출됐다. 고객 정보와 내부 인력 정보가 함께 노출된 만큼, 이후 판단의 초점은 파일 접근 자체를 넘어 유출 정보가 추가로 전달되거나 악용됐는지에 놓인다.

다우오피스 침입과 거래소 직접 침해는 구분해야 한다

다우오피스는 외부 업체가 빗썸에 제공하는 업무용 시스템이다. 확인된 침입 지점은 이 사내 모바일 그룹웨어다. 현재까지 거래소 서비스나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았고 고객 자산 피해도 없는 것으로 파악됐다.

따라서 이번 뉴스가 말하는 것은 자산 유출이 아니라 업무 인프라를 통한 개인정보 노출이다. 가상자산의 이동이나 거래 데이터 침해가 확인되지 않은 상태에서 코인 수급이나 가격 흐름으로 연결하는 분석은 근거가 없다. 현물 ETF 순유입, 거래소 보유량, 펀딩비, 미결제약정 같은 시장 지표도 FACT_SHEET에 제시되지 않아 평가 대상에서 제외한다.

개인정보 사고가 빗썸에 미치는 경로

• 빗썸: 주민등록번호와 계좌번호, 신분증 사본 등이 유출 정보에 포함됐다는 사실은 고객 신뢰에 직접 부담을 준다. 2차 피해가 확인되면 회사가 밝힌 피해 구제와 보상 대응도 실제 집행 단계로 넘어간다.
• 업무용 그룹웨어: 고객 데이터베이스가 아니라 외부 업체 제공 시스템이 접근 지점이었다. 보안 판단의 범위를 거래 엔진과 자산 보관 체계에만 한정하면 이번 사고의 경로를 놓치게 된다.
• 가상자산 거래소 보안: 이번 사례는 개인정보가 내부 업무 과정에서 다뤄지는 구간도 보호 범위라는 점을 드러냈다. 관련 상장기업의 실적이나 주가 영향을 산출할 수 있는 자료는 FACT_SHEET에 없다.

확인된 피해와 아직 남은 공백

외부 비인가자의 신원과 취약점의 구체적인 기술 내용은 알려지지 않았다. 고객마다 어떤 개인정보가 실제 유출됐는지도 개별적으로 확정할 수 없다. 유출 정보가 제3자에게 넘어갔거나 악용됐는지, 2차 피해가 발생했는지와 그 규모 역시 확인되지 않은 영역이다.

이 한계는 전망을 가르는 기준이 된다. 추가 전달이나 악용 정황이 확인되지 않은 상태를 유지하면 사고의 범위는 현재 확인된 개인정보 노출에 머문다. 반대로 2차 피해가 이어지면 고객 신뢰 부담은 커지고, 이재원이 밝힌 피해 구제와 보상의 실행 여부가 새로운 점검 대상이 된다.

투자자가 볼 다음 확인 지표

• 조사 범위: 한국인터넷진흥원(KISA)과 개인정보보호위원회 신고 이후 외부 비인가자의 접근 범위와 구체적 취약점이 확인되는지 본다.
• 피해 확장 여부: 유출 정보의 제3자 전달이나 악용, 2차 피해가 새로 확인되는지가 가장 직접적인 분기점이다.
• 고객별 노출 항목: 844명에게 실제로 어떤 정보가 노출됐는지 구체화돼야 피해의 질적 강도를 판단할 수 있다.
• 재발 방지 조치: 이재원은 내부 업무 인프라 전반의 보안 체계를 원점에서 재점검하겠다고 밝혔다. 이후 확인할 것은 선언보다 재점검의 범위와 재발 방지 조치의 구체성이다.

빗썸 사고의 전망을 가르는 조건

현재의 낙관 조건은 거래소 서비스와 고객 데이터베이스의 직접 침해가 확인되지 않고 고객 자산 피해가 없는 상태가 유지되는 경우다. 이 조건에서는 사건을 거래 시스템 침해나 자산 유출로 번역할 이유가 없다.

리스크는 아직 확인되지 않은 후속 경로에 있다. 개인정보가 추가로 전달되거나 악용된 사실이 드러나고 2차 피해가 확대하면 평가의 중심은 단일 접근 사고에서 피해 구제와 보상 이행으로 이동한다. 다음 판단은 코인 가격이 아니라 한국인터넷진흥원(KISA)과 개인정보보호위원회 신고 이후 밝혀질 침입 범위, 실제 악용 여부, 재발 방지 조치에 달렸다.

본 글은 원문 뉴스를 바탕으로 자동 요약·분석된 콘텐츠입니다. 원문 보기 (KBS 뉴스)