유출 정보
3만 6,487건
회원 정보
3만 1,506건
과징금
4,350만원
배상 인원
118명

01 · 핵심 요약 · 90초

채용 기간에 이력서가 담긴 파일이 왔다. 그 파일을 연 사람의 컴퓨터에 회원 정보가 저장돼 있었다.

2017년 4월 28일 가상자산거래소 빗썸을 운영하는 회사가 해킹 공격을 받았다. 방식은 스피어피싱이었다. 해커는 채용 기간이던 시점에 이력서로 위장한 한글 파일을 회사 최고 책임자의 전자우편으로 보냈다. 그 파일에는 파일 탐색과 업로드·다운로드, 정보 수집이 가능한 악성프로그램이 숨어 있었다.

얼마나 큰 사건인가

방송통신위원회와 한국인터넷진흥원이 조사한 결과 두 건의 공격으로 유출된 개인정보는 회원 정보 3만 1,506건과 웹사이트 계정정보 4,981건을 합쳐 3만 6,487건이다. 유출된 파일은 직원이 2016년 2월 26일부터 2017년 7월 15일까지 560여 차례 서버에서 추출한 자료로 작성한 것이었다. 그 파일이 감염된 개인용 컴퓨터에 저장돼 있다가 외부로 나갔다. 같은 해 5월부터 10월까지 이어진 공격으로는 암호화폐 70억원어치가 빠져나갔다. 방송통신위원회는 2017년 12월 12일 전체회의에서 과징금 4,350만원과 과태료, 책임자 징계 권고, 위반행위 중지와 재발방지대책 수립 시정명령, 처분사실 공표를 의결했다. 가상화폐 거래소에 대한 첫 제재였다. 지적된 사항은 개인정보처리시스템 접속 기록을 재분석해 불법적인 유출 시도를 탐지하는 일을 소홀히 한 점과 개인정보 파일을 암호화하지 않은 점 등이다.

왜 지금 중요한가

법적 책임은 절차마다 다르게 정해졌다. 민사에서는 서울중앙지방법원 민사30부가 2022년 10월 회원 130여 명이 낸 손해배상 청구소송에서 118명에게 총 1억 7,741만여원을 지급하라고 판결했다. 반면 유출 이후 계정 잔고가 사라졌다며 별도로 소송을 낸 회원은 1심과 항소심에서 모두 패소했다. 형사에서는 회사와 전 의장이 정보통신망법 위반으로 기소돼 1심에서 각각 벌금 3,000만원을 선고받았으나, 이후 해당 처벌규정이 삭제되면서 면소 판결이 내려졌다.

02 · 자세한 이야기

사건은 이렇게 전개됐다

약 8분

채용 기간에 온 이력서

2017년 4월 28일 회사는 직원 채용을 진행하고 있었다. 그 시점에 이력서로 위장된 한글 파일이 전자우편으로 왔다.

받은 사람은 회사의 최고 책임자였다. 파일에는 파일 탐색과 업로드·다운로드, 정보 수집이 가능한 악성프로그램이 숨어 있었다.

스피어피싱은 특정한 개인이나 조직을 겨냥해 정상 문서로 위장한 악성코드를 실행하게 하는 방식이다. 불특정 다수에게 뿌리는 방식과 달리 상대를 특정해 보낸다.

채용 기간에 이력서가 오는 것은 자연스러운 일이다. 그 자연스러움이 공격의 조건이 됐다.

공격자는 회사의 상황을 알고 시점을 골랐다. 무작위로 뿌리는 방식이었다면 같은 결과가 나오기 어려웠다.

개인용 컴퓨터에 있었다

해커는 감염된 컴퓨터에서 2017년 4월 16일 저장돼 있던 개인정보 파일을 포함한 다수의 파일을 외부로 빼냈다.

그 파일은 직원이 2016년 2월 26일부터 2017년 7월 15일까지 560여 차례 서버에서 추출한 자료로 작성한 것이었다.

서버에 있어야 할 정보가 개인용 컴퓨터에 파일 형태로 저장돼 있었다는 점이 문제였다. 서버의 접근 통제가 있어도 파일로 내려받아 두면 그 통제 밖에 놓인다.

방송통신위원회는 개인정보 파일을 암호화하지 않은 점과 접속 기록 재분석을 통한 유출 시도 탐지를 소홀히 한 점을 지적했다.

업무 편의를 위해 만든 파일이 오래 남아 있으면 그만큼 노출 기간도 길어진다. 이 사건의 파일은 1년 반에 걸친 추출 자료를 담고 있었다.

가상화폐도 나갔다

같은 해 5월부터 10월까지 이어진 사이버공격으로 암호화폐 70억원어치가 해커에게 넘어갔다.

방송통신위원회와 한국인터넷진흥원은 추가 해킹 여부를 파악하기 위해 2017년 4월 1일부터 6월 29일까지의 전체 접속기록을 분석했다.

조사 결과 유출된 개인정보는 회원 정보 3만 1,506건과 웹사이트 계정정보 4,981건을 합쳐 3만 6,487건으로 확인됐다.

다만 유출 파일에 포함된 이용자 정보와 가상통화 무단 출금으로 민원을 제기한 이용자 정보는 일치하지 않았다.

개인정보 유출과 가상화폐 탈취는 시기가 겹치지만 별개의 공격으로 조사됐다.

절차마다 결론이 달랐다

방송통신위원회는 2017년 12월 12일 과징금 4,350만원과 과태료를 부과하고 책임자 징계를 권고했다. 가상화폐 거래소에 대한 첫 제재다.

민사에서는 2022년 10월 서울중앙지방법원이 회원 130여 명 가운데 118명에게 총 1억 7,741만여원을 배상하라고 판결했다.

계정 잔고가 사라졌다며 별도로 소송을 낸 회원은 결과가 달랐다. 1심과 항소심에서 모두 졌고, 유출과 잔고 감소 사이의 인과가 인정되지 않았다.

형사에서는 1심에서 회사와 전 의장에게 각각 벌금 3,000만원이 선고됐으나, 이후 해당 처벌규정이 삭제되면서 면소 판결이 내려졌다.

가상자산 이용자의 자산 보호를 규정한 법률은 이 사건으로부터 7년 뒤인 2024년 7월에야 시행됐다.

03 · 금융구조

돈·정보·책임은 어떻게 움직였나

정보가 어디에 있는지가 그 정보를 지키는 방법을 정한다.

01 · 단계

서버에서 내려받는다

업무를 위해 직원이 서버에서 자료를 추출해 파일로 만든다. 이 사건에서는 560여 차례에 걸쳐 이뤄졌다.

02 · 단계

개인용 컴퓨터에 남는다

만들어진 파일이 개인용 컴퓨터에 저장된다. 서버의 접근 통제와 감시 밖에 놓이는 순간이다.

03 · 단계

상대를 특정해 보낸다

공격자가 그 사람이 열어 볼 만한 문서로 위장한 파일을 보낸다. 채용 기간의 이력서처럼 맥락에 맞는 형태를 고른다.

04 · 단계

파일째 나간다

감염된 컴퓨터에서 파일이 통째로 반출된다. 암호화돼 있지 않으면 그대로 읽을 수 있다.

돈누가 내고 누가 최종 손실을 부담했는가
정보누가 무엇을 언제 알았고 설명했는가
책임계약·공시·통제·감독의 빈틈은 어디였는가

왜 이런 일이 가능했나

서버를 지켜도 파일이 밖으로 나오면 소용이 없다. 접근 통제와 접속 기록은 서버를 대상으로 작동하는데, 자료를 내려받아 개인용 컴퓨터에 두면 그 장치가 미치지 않는다. 이 사건에서 유출된 것은 서버가 아니라 파일이었다.

스피어피싱이 효과적인 것은 맥락을 이용하기 때문이다. 채용 기간에 오는 이력서, 거래처에서 오는 청구서처럼 받는 사람이 열어 볼 이유가 있는 형태를 고른다. 기술적 방어보다 판단의 문제에 가깝다.

책임이 절차마다 다르게 정해진 점도 남는다. 행정제재는 보호조치 위반을 근거로 이뤄졌고, 민사에서는 유출 자체에 대한 배상이 인정됐다. 그러나 유출 이후의 자산 손실은 인과가 인정되지 않았고, 형사는 처벌규정 삭제로 면소가 됐다.

다시 일어나지 않으려면

감독당국

방송통신위원회는 2017년 12월 12일 과징금 4,350만원과 과태료, 책임자 징계 권고, 시정명령과 처분사실 공표를 의결했다. 가상화폐 거래소에 대한 첫 제재다.

국회와 정부

서울중앙지방법원은 2022년 10월 회원 118명에게 총 1억 7,741만여원의 배상을 명했다. 형사 절차에서는 정보통신망법의 해당 처벌규정이 삭제되면서 면소 판결이 내려졌다.

남은 과제

서버에서 추출한 자료가 개인용 컴퓨터에 저장되는 것을 통제하는 방법은 회사마다 다르다. 유출된 정보가 이후 자산 탈취에 쓰였는지를 입증하는 방법도 개별 사건에서 다퉈진다. 가상자산 이용자 자산의 보호는 2024년 7월 별도 법률이 시행되면서 규정됐다.

최종 부담이용자·소비자·공적 구제

04 · 국민 행동수칙

확인 · 대응 · 신고

거래소에 맡긴 것은 자산만이 아니라 개인정보다.

01

지금 확인할 것

  • 이용 중인 거래소의 개인정보 처리방침에서 보관 항목과 기간을 확인한다.
  • 거래소 계정에 이중 인증이 설정돼 있는지 확인한다. 휴대전화 인증만으로는 부족할 수 있다.
  • 거래소 비밀번호를 다른 서비스와 같이 쓰고 있는지 확인하고 다르게 바꾼다.
  • 출금 주소를 미리 등록해 두는 기능이 있는지 확인한다. 등록된 주소로만 출금되게 하면 무단 출금을 줄일 수 있다.
  • 금융정보분석원(kofiu.go.kr)에서 신고 수리된 사업자인지 확인한다.
02

일이 생겼을 때

  • 유출 통지를 받으면 즉시 비밀번호와 인증 수단을 바꾸고 출금 내역을 확인한다.
  • 무단 출금이 확인되면 거래소에 신고하고 112에 신고한다. 거래 기록과 화면을 함께 보관한다.
  • 손해배상 청구권의 소멸시효는 손해와 가해자를 안 날부터 3년, 불법행위일부터 10년이다(민법 제766조).
  • 개인정보 침해는 개인정보 침해신고센터(118)에 신고하고, 분쟁조정은 개인정보 분쟁조정위원회(1833-6972)에 신청한다.
  • 출처가 확인되지 않은 첨부파일은 열지 않는다. 업무 맥락에 맞는 파일이라도 발신자를 별도 경로로 확인한다.
03

어디에 신고하나

  • 개인정보 침해신고센터 118 / privacy.kisa.or.kr
  • 개인정보 분쟁조정위원회 1833-6972
  • 금융정보분석원 kofiu.go.kr
  • 경찰청 사이버범죄 신고 ecrm.police.go.kr
스스로에게 물을 질문

답하기 어렵거나 확인되지 않은 항목이 있으면 결정을 미룹니다.

  1. 01

    거래소 계정에 이중 인증을 설정해 두었는가.

  2. 02

    같은 비밀번호를 다른 서비스에서도 쓰고 있지 않은가.

  3. 03

    출금 주소 등록 기능을 쓰고 있는가.

  4. 04

    유출 통지를 받은 적이 있는가.

  5. 05

    맥락에 맞는 첨부파일이라도 발신자를 확인하는가.

상설 확인 창구

05 · 필자의 결론

서버를 지키는 장치는 서버에만 작동한다. 이 사건에서 나간 것은 서버가 아니라 직원이 560여 차례에 걸쳐 내려받아 만든 파일이었고, 그 파일은 개인용 컴퓨터에 암호화되지 않은 채 있었다. 공격은 채용 기간의 이력서라는 맥락을 이용했다. 행정제재와 민사 배상은 이뤄졌지만 자산 손실의 인과는 인정되지 않았고 형사는 규정 삭제로 면소가 됐다. 같은 사고에서 책임이 어디까지 미치는지가 절차마다 달랐다.
사실과 판단의 구분빗썸 개인정보 유출

확인된 사실, 감독당국의 판단, 법원의 판단과 필자의 해석은 각각 다른 기준으로 쓴다. 위 결론은 필자의 판단이며, 앞의 서술은 감독당국 발표와 판결, 공시자료를 근거로 한다. 진행 중인 절차는 확정된 것으로 쓰지 않는다.

06 · 근거 자료

다시 확인할 수 있는 자료

독자가 판단의 근거를 직접 추적할 수 있도록 감독당국 발표, 판결, 공시와 연구자료를 제시한다. 사실관계 기준일은 2026.09.03이다.