빗썸 개인정보 유출, 사내 그룹웨어 침해는 고객 자산과 어떤 관계인가

빗썸의 개인정보 유출 사고는 가상자산 거래 시스템이 아니라 임직원이 업무에 쓰는 사내 모바일 그룹웨어에서 발생했다.

회사는 두 시스템이 물리적으로 분리돼 있어 침해된 업무 시스템에서 고객 자산에 직접 접근할 수 없다고 설명했다.

그룹웨어는 직원들이 휴대전화로 업무를 처리하고 자료를 공유하는 시스템이다.

빗썸은 2026년 10월 27일 외부 비인가자의 비정상 접근으로 개인정보가 유출된 사실을 확인하고, 인지 당일 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고했다.

다만 이 시스템이 거래 시스템과 분리됐다는 설명은 침해 경로에 관한 회사의 설명이지, 어떤 정보가 유출됐는지를 확정하는 근거는 아니다.

유출 범위는 2026년 10월 28일 보도 당시 조사 중이었다.

빗썸은 회원 정보가 포함됐을 가능성을 배제하지 않았고, 한 보도는 직원 관련 정보가 주로 유출된 것으로 보인다고 전했지만 이를 확정된 결과로 볼 수는 없다.

따라서 회원 정보 유출 여부와 고객 자산 피해 여부는 각각 별도로 확인해야 한다.

당시 보도에는 거래 시스템 침해나 고객 자산 피해가 확인됐다는 내용이 없었다.

그러나 확인된 피해가 없다는 보도와 피해가 없다고 최종 판정된 것은 다르며, 물리적 분리 역시 고객 자산 피해 조사가 끝났다는 뜻은 아니다.

별도로, 이데일리는 빗썸이 사고 전 금융당국의 정보기술 자체점검에서 최신 보안패치 적용 항목을 미흡으로 평가받았다고 보도했다.

해당 점검은 원화마켓 거래소 5곳의 외부 노출 시스템 관리와 실시간 보안관제 등 12개 항목을 살폈다.

이 평가와 이번 침해 사고의 인과관계가 확인된 것은 아니므로, 시스템 분리 설명과 보안 관리 평가는 구분해 봐야 한다.