[뉴스토마토 전연주 기자] 국내 대형 가상자산 거래소 빗썸에서 임직원에 이어 고객 개인정보까지 유출된 것으로 알려지면서 거래소의 보안 규제 공백이 도마에 올랐습니다. 금융당국은 현장조사에 착수하고 거래소에도 은행 등 금융회사 수준의 보안 조치를 적용하겠다는 방침인데요. 핵심 거래 시스템뿐 아니라 임직원이 사용하는 업무 지원 시스템까지 보안관리를 강화해야 한다는 지적이 나옵니다.
29일 가상자산 업계에 따르면 지난 27일 발생한 빗썸 사내 모바일 그룹웨어 해킹 사고로 고객 정보 수백 건이 유출된 것으로 알려졌습니다. 빗썸은 당초 임직원 정보 유출을 확인해 관계기관에 신고했으나, 이후 유출 범위를 분석하는 과정에서 고객 정보 유출을 추가로 인지한 것으로 전해졌습니다.
빗썸 측은 침해된 시스템이 핵심 거래 시스템이 아닌 업무 지원 시스템으로, 고객 거래 시스템과 네트워크망이 분리돼 있다고 설명했습니다. 다만 업무 지원 시스템에서도 고객정보 유출 정황이 드러나면서 내부 시스템 전반의 보안 관리 필요성이 커졌습니다.
금융당국은 피해가 확인되면 전액 배상 등 보호 조치가 이뤄지도록 관리·감독할 계획입니다. 금융위는 "가상자산업권 등 현재 전자금융거래법이 적용되지 않는 업권에 대해서도 은행 등 주요 금융회사 수준으로 보안 조치를 강화하고 사고 발생 시 신속한 대비 태세를 갖출 수 있도록 다각적인 방안을 추진해 나갈 계획"이라고 밝혔습니다.
이번 사고를 계기로 거래소와 기존 금융회사 간 보안 규율의 차이가 주목받고 있습니다. 은행·증권사는 전자금융거래법과 전자금융감독규정에 따라 전산 시설 취약점 분석·평가와 정보보호 조직 운영 등 구체적인 보안 의무를 적용받고 금융당국의 검사·감독 대상이 됩니다. 반면 거래소는 특정금융정보법에 따른 정보보호 관리 체계(ISMS) 인증과 개인정보보호법상 안전 조치 의무 등을 적용받지만 금융회사와 동일한 전자금융 보안 규율이 적용되지는 않습니다.
염흥열 순천향대 정보보호학과 교수는 "금융감독 규정은 일종의 체크리스트 방식"인 반면 "ISMS는 기본적인 철학이 자율 보안의 원칙"이라고 설명했습니다. 금융권은 정해진 보안 항목의 이행 여부를 점검하는 반면, ISMS는 기업이 스스로 보안 위험을 파악하고 대응 방안을 마련하는 데 무게를 둔다는 설명입니다.
특히 이번 사고가 핵심 거래망이 아닌 업무 지원 시스템에서 발생했다는 점도 주목할 대목입니다. 그룹웨어는 직접 거래를 처리하지 않더라도 임직원과 협력업체의 정보가 모이는 공간으로, 보안관리가 소홀해질 경우 해킹의 표적이 될 수 있습니다.
염 교수는 "금융당국이 핵심망에 대해서는 철두철미하게 체크리스트 방식으로 점검을 했었는데 업무 지원망에 대해서는 그걸 안 한 것 같다"며 "업무 지원망도 해커의 공격 대상이 되고 있는 만큼 핵심 망에 버금가는 보안대책을 수립하고 운영하고 관리해야 된다"고 강조했습니다.
규제 강화와 함께 기업의 실질적인 대응 역량을 높여야 한다는 지적도 나옵니다. 황석진 동국대 국제정보보호대학원 교수는 "(규제 실효성은) 과징금보다는 기업의 보안관리 책임을 얼마나 강화하느냐에 달려 있는 것"이라고 강조했습니다. 침입 차단뿐 아니라 사고 발생 시 신속한 탐지와 대응, 피해 복구 능력을 갖추는 것이 중요하다는 설명입니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지