개인정보 유출 소식이 이어지면 무엇부터 확인해야 할지 막막해진다. 거래소 사고라면 자산부터 걱정되지만, 이번에는 업무 도구에 보관된 개인정보를 따로 봐야 한다. 빗썸은 사내 모바일 그룹웨어인 다우오피스에 외부 비인가자가 접근해 고객과 임직원 등의 개인정보가 유출됐다고 밝혔다.[2]
자료 확인 기준은 2026년 10월 31일 오전 7시 30분(KST)이다. 이용자에게는 본인의 유출 항목과 사칭 연락을 구별하는 일이 급하다. 회사에서 그룹웨어나 협업 SaaS를 쓰는 사람에게는 고객 파일이 어디에 얼마나 남아 있는지 확인할 문제이기도 하다.
다우오피스와 빗썸을 둘 다 쓰는 사용자로서, 거래소뿐 아니라 회사의 업무 도구에 남아 있는 정보도 걱정된다.
먼저 확인할 내용
- 빗썸은 고객 6,444명이 유출 범위에 포함됐고, 이 중 844명의 정보가 직접 노출됐다고 설명했다.
- 암호화 파일 5,600명분과 고객 외 임직원·협력사 715명은 구분해 봐야 한다.
- 이용자는 공식 조회와 사칭 주의부터, 회사는 접근 권한과 자료 보관부터 점검하자.
언제 접근했고, 무엇이 확인됐나?
확인된 접근 구간은 10월 27일 11시 28분부터 12시 27분까지다. 빗썸이 비정상 접근을 인지한 시각은 12시 14분이다. 회사는 접근 경로 차단과 그룹웨어 사용 중단 등의 조치를 진행했다고 설명했다. 다만 인지 시각을 곧바로 완전 차단 시각으로 바꿔 읽어서는 안 된다. 한국인터넷진흥원 신고는 같은 날 23시 39분, 개인정보보호위원회 신고는 10월 28일 00시 48분이다.[3]
고객 유출 규모와 조회 방법을 담은 공식 공지는 10월 29일 17시 49분 41초에 게시됐다. 사고 인지, 기관 신고, 고객 대상 상세 공지 시각은 구분해서 봐야 한다.[1]
금융위원회의 10월 28일 긴급점검 자료에는 당시 고객정보 유출 여부를 확인 중이라고 적혀 있다. 이는 10월 29일 고객 유출이 포함된 상세 공지보다 앞선 설명이다.[5]
고객 6,444명과 844명은 어떻게 다른가?
6,444명은 회사가 설명한 고객 관련 전체 범위다. 이 가운데 개인정보가 직접 노출됐다고 밝힌 인원이 844명이다. 나머지 5,600명은 암호화된 파일 형태로 정보가 유출됐다는 설명이다. 전원에게 같은 수준의 정보가 노출됐다거나, 반대로 5,600명은 이번 사고와 무관하다고 읽는 것은 모두 부정확하다.[2]
회사는 암호화된 정보는 내용을 확인할 수 없다고 설명했다. 이를 앞으로도 영구히 안전하다는 보장으로 받아들여서는 안 된다. 고객과 별도로 임직원 646명과 협력사 등 외부 인력 69명, 총 715명의 개인정보 유출도 공지됐다.[1]
무엇이 유출됐고, 무엇은 아직 모르는가?
연락처와 신분증 사본, 거래내역, 지갑주소 등이 공지 목록에 포함됐지만, 모든 사람에게 같은 항목이 유출된 것은 아니다. 목록에는 주민등록번호·여권번호·운전면허번호·외국인등록번호, 계좌번호와 거주지 등도 있다. 본인에게 해당하는 항목은 공식 조회나 개별 안내로 확인해야 한다.[1]
지갑주소와 거래내역이 목록에 있다고 해서 거래소 지갑이나 핫월렛이 침해됐다는 뜻은 아니다. 빗썸은 거래소 서비스와 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았다고 설명했다. 업무시스템에서 발생한 개인정보 유출과 거래소 자산 시스템 침해는 구분해야 한다.[3]
비밀번호와 OTP는 공지의 유출 목록에 없다. 빗썸의 취약점 1차 조치 완료라는 설명도 제품 공통 결함의 확정은 아니다. 계정 탈취인지, 제품 문제인지, 설정 문제인지 구체적인 원인은 확인되지 않았다.[1]
다우기술이 내부에서 확인 중이라는 설명은 10월 30일 메트로서울 보도에 나온 관계자 발언이다. 이를 별도의 공식 조사 결과처럼 확대해서는 안 된다. 다른 고객사의 동시 피해도 확인되지 않았으며, 같은 제품 이름만으로 다른 회사까지 유출됐다고 연결할 근거는 없다.[4]
이용자는 지금 어디서 무엇부터 확인해야 하나?
문자 링크 대신 빗썸 공식 앱이나 홈페이지를 직접 열고, 공식 공지의 개인정보 유출 조회로 본인 포함 여부와 항목을 확인하는 것이 먼저다. 10월 29일 공지에는 고객별 안내를 진행 중이거나 순차적으로 진행할 예정이라고 적혀 있다. 문자를 받았다는 사실과 문자 속 링크가 진짜라는 판단은 별개로 두자.[1]
상대가 이름과 전화번호를 알고 있어도 직원이라는 증거로 받아들이지 말자. 피해 확인이나 보상을 내세워 추가 정보를 입력시키거나 앱 설치와 송금을 재촉하면, 대화를 멈추고 공식 경로로 다시 확인하는 편이 안전하다.
비밀번호·인증번호·OTP 제공, OTP 해제나 재설정, 원격제어 앱 설치, 자산 이체와 출금주소 변경 요구에는 응하지 말자. 빗썸은 전화·문자·메신저로 비밀번호나 인증번호를 요구하거나 링크로 인증정보 입력을 유도하지 않는다고 안내했다.[1]
계정에서는 2단계 인증(2FA)이 켜져 있고 정상적으로 사용할 수 있는지 점검하자. 비밀번호를 다른 서비스와 재사용했다면 서로 다른 비밀번호로 바꾸는 것도 예방 차원의 조치다. 이는 이번에 비밀번호가 유출됐다는 뜻은 아니다. 서비스가 지원한다면 피싱 저항성이 있는 인증 수단도 예방 차원에서 검토할 만하다.
신분증 사본이 포함됐다면 재발급·분실 신고, 명의도용 방지, 금융계좌 모니터링에 관한 회사의 후속 안내를 확인하자. 모든 이용자에게 같은 조치가 필요하다는 뜻은 아니다. 피해 상담은 문자 발신 번호가 아닌 공식 고객센터 1661-5566으로 직접 확인하자.[1]
개인정보 침해 상담은 국번 없이 118, 금전 피해가 우려되는 상황은 경찰 112로 연락할 수 있다. 의심 문자와 통화 시각, 거래내역은 상담에 쓸 수 있도록 보관하되, 신분증이나 계좌정보를 공개 게시판에 올리지는 말자. 연락처는 빗썸 공지에 안내된 창구이며, 기록 보관은 일반적인 대응 제안이다.[1]
회사 실무자는 무엇을 점검해야 하나?
사람의 로그인, 외부 접속 범위, 연동 계정, 자료 보관, 조사에 필요한 로그를 나눠 점검하는 것이 좋다. 아래는 이번 사건의 원인 진단이 아니라 회사 업무 도구 전반에 적용할 일반 점검 제안이다. 빗썸이 MFA를 쓰지 않았거나 특정 설정을 방치했다는 의미가 아니다.
먼저 사람 계정의 MFA 적용 범위를 확인하자. 관리자뿐 아니라 일반 사용자, 협력사와 게스트 계정까지 빠진 곳이 없는지 살펴보면 된다. 특히 관리자 등 높은 권한을 가진 사람에게는 서비스가 지원하는 피싱 저항성 인증 수단을 우선 검토할 만하다.
사람이 로그인하는 계정과 서버끼리 연결하는 계정은 관리 방법을 구분하자. 연동 계정에 사람이 쓰는 OTP를 일괄 적용하겠다는 계획보다, 실제 인증 방식과 필요한 권한을 먼저 파악하는 편이 실무적이다.
| 점검 기준 | 사람 계정 | 기계 연동 계정 |
|---|---|---|
| 인증 관리 | MFA·복구 수단 확인 | 키·토큰 보관과 회전 점검 |
| 권한 관리 | 역할별 권한·퇴사자 회수 | 필요한 기능에만 최소권한 |
| 추적 기준 | 개인별 로그인·관리 작업 | 연동별 호출·키 사용 기록 |
외부 접속은 웹과 모바일 경로를 따로 보자. IP 허용목록이나 VPN 등 조직의 접속 정책이 필요한 곳에 적용됐는지, 관리자 페이지와 외부 공유 링크가 의도보다 넓게 열려 있지는 않은지 확인한다. 설정 이름만 확인하지 말고 실제 허용 범위를 적어 두면 담당자 간 이해 차이도 줄일 수 있다.
관리자와 연동 계정은 소유자를 정리하자. 공유 관리자 계정, 퇴사자 계정, 오래된 게스트 권한, 사용처를 모르는 API 키를 목록으로 만들고 필요한 것만 남기는 방향이다. 키 회전은 연결된 업무가 멈추지 않도록 담당자와 교체 절차를 정한 뒤 진행하자.
로그는 삭제나 대규모 설정 변경보다 먼저 보존할 대상을 정하자. 로그인, 권한 변경, 파일 다운로드와 외부 공유 기록을 누가 확보할지, 어느 기간까지 조회 가능한지 확인한다. 사고 조사에 필요한 기록을 별도로 내보낼 수 있는지 벤더에 묻고, 기록이 없으면 없다는 사실도 남겨 두자.
자료는 평문 첨부와 중복 보관부터 줄이자. 신분증과 계좌정보를 메일·메신저에 계속 첨부해야 하는지, 권한이 제한된 원본을 공유하는 방식으로 바꿀 수 있는지 검토한다. 목적이 끝난 개인정보의 보관 기간과 삭제 책임자를 정하고, 백업과 보존 의무는 구분해서 확인해야 한다. 사고 관련 자료는 증거 보존과 충돌하지 않도록 삭제 전에 담당 부서와 협의하자.
벤더에게는 현재 사용 환경에 필요한 조치, 패치 적용 여부, 확보 가능한 로그, 사고 통지와 지원 창구를 구체적으로 문의하자. 답변이 오면 담당자와 확인 시각을 함께 남기고, 확인되지 않은 원인을 사내 공지에 사실처럼 적지 않는 편이 좋다.
추가 발표 전에는 어디까지 판단해야 하나?
현재 공개된 피해 범위와 회사 설명까지만 판단하고, 원인과 다른 고객사 영향은 추가 확인을 기다려야 한다. 빗썸의 10월 29일 대표이사 사과문도 확인했으며, 개별 안내와 피해 상담, 보안 재점검 방침을 담고 있다.[6] 기준 시각까지 빗썸·다우기술·금융위·개인정보위·KISA 관련 자료를 검색한 범위에서는 위 규모나 구체적 원인을 새로 확정하는 후속 공식 발표를 찾지 못했다. 검색 누락 가능성은 남아 있다.
이용자는 공식 조회와 계정 보안부터, 회사 실무자는 계정·접속·로그·개인정보 보관부터 확인하면 된다. 원인이 모두 밝혀질 때까지 아무것도 하지 않을 필요는 없다. 다만 확인되지 않은 제품 결함이나 피해를 단정하지 않는 태도도 대응의 일부다.