빗썸 개인정보 유출 총정리 | 고객 844명 신분증·계좌번호까지, 확인·대처법

빗썸 개인정보 유출 사고로 고객 844명의 주민등록번호와 신분증 사본, 계좌번호가 외부에 노출됐습니다. 10월 27일 외부 비인가자가 사내 모바일 그룹웨어 ‘다우오피스’에 59분간 머물렀고, 임직원 715명의 정보도 함께 빠져나갔어요. 빗썸은 거래소 계정과 코인 자산은 분리된 망이라 침해 정황이 없다고 밝혔지만, 신분증 사본과 주민번호가 함께 나간 고객은 명의도용 대비가 필요합니다.

빗썸은 29일 오후부터 해당 고객에게 개별 안내를 시작했고, 홈페이지에서 유출 여부를 직접 조회할 수 있게 했습니다. 이재원 대표는 “고객 여러분께 심려와 불안을 끼쳐드린 점에 대해 깊이 사과드린다”며 2차 피해가 확인되면 피해 구제와 보상에 최선을 다하겠다고 했어요. 금융위원회는 28일 금융감독원·금융보안원·디지털자산거래소 공동협의체(DAXA)와 긴급 점검 회의를 열고 현장 조사에 들어갔습니다.

눈여겨볼 대목은 고객 정보가 거래소 데이터베이스가 아니라 직원들이 쓰던 업무용 메신저 파일 속에 있었다는 점입니다. 유출 가능성이 있던 6,444명 중 5,600명은 암호화된 파일이라 지켜졌고, 암호화되지 않은 파일에 있던 844명이 그대로 노출됐어요. 이 글에서는 침입 타임라인과 유출 항목, 내 정보 확인과 명의도용 차단 방법, 보상 기준, 올해 빗썸 사고와 10월 금융권 해킹 흐름까지 정리했습니다.

빗썸 개인정보 유출, 언제 어떻게 일어났나?

10월 27일 낮, 사내 모바일 그룹웨어가 59분 동안 뚫렸습니다. 빗썸과 언론 발표를 시간 순서로 놓으면 이렇습니다.

※ 아시아투데이·디지털애셋·디일렉(10월 29일) 보도 기준. 경과 시간은 직접 계산

침입자는 빗썸이 알아차리기까지 46분 동안 자유롭게 움직였고, 인지 13분 뒤 접속이 끊겼습니다. 9월 11일부터 시행된 개정 개인정보보호법은 유출 ‘가능성’만 알아도 72시간 안에 정보주체에게 알리도록 했고, 기한을 넘기면 과징금이 최대 30% 무거워질 수 있어요. 빗썸의 인지 시각이 27일 낮 12시 14분이라 시한은 30일 낮 12시 14분이고, 29일 오후 개별 안내는 그 안에 들어옵니다.

📰 빗썸 개인정보 유출 관련 기사

어떤 정보가 새어 나갔고, 코인 자산은 안전한가?

고객 쪽은 본인 확인에 쓰이는 정보 대부분이 포함됐고, 거래소 계정과 코인은 별도 망에 있어 건드려지지 않았다는 게 빗썸 설명입니다.

※ 아시아투데이·이투데이(10월 29일), 머니투데이(10월 28일) 기준

가상자산 거래소는 특정금융정보법에 따라 고객확인(KYC)을 하기 때문에 신분증 사본과 계좌 정보를 받습니다. 문제는 이 서류가 업무 과정에서 그룹웨어 메신저와 파일 공유로 오갔다는 점이에요. 머니투데이는 초기 분석에서 그룹웨어가 침입 경로로 지목됐고 직원들이 다우기술 ‘다우오피스’의 메신저·파일 공유 기능을 써 왔다고 전했으며, 디일렉은 신분증 사본과 주민번호가 왜 일반 업무 시스템에 있었는지 따져 봐야 한다고 지적했습니다.

코인 자산 쪽은 빗썸이 침해 정황을 찾지 못했다고 밝혔습니다. 그래도 불안한 마음에 코인을 옮기는 분들이 생기기 마련인데, 거래소로 드나드는 큰 물량 흐름은 시그비트 고래 입출금 추적에서 확인할 수 있어요.

6,444명 중 844명만 노출됐다는 건 무슨 뜻일까?

암호화가 걸린 파일은 지켜졌고, 걸리지 않은 파일은 그대로 열렸다는 뜻입니다. 비율로 바꾸면 이렇습니다.

노출 비율 = 노출 844명 ÷ 유출 가능 6,444명 = 13.1%

고객 10명 중 9명 가까이(86.9%)의 정보는 DRM 암호화 파일에 있어 침입자가 열어 보지 못했습니다. 바꿔 말하면 암호화가 모든 파일에 걸려 있지는 않았다는 얘기예요. 같은 그룹웨어 안에서도 어떤 파일은 잠겨 있고 어떤 파일은 열려 있었다는 점에서, 기술보다 관리 절차의 빈틈이 드러난 사고로 볼 수 있죠.

10월 금융권 사고들과 견줘 보면 규모는 작은 편이지만 항목은 무겁습니다.

※ 한국아이닷컴(10월 28일), 파이낸셜뉴스(10월 14일) 기준. 금융권 16곳에는 고팍스 운영사 스트리미 등 가상자산사업자 2곳 포함

빗썸 개인정보 유출 인원은 산은캐피탈과 비슷하지만, 신분증 사본과 계좌번호까지 묶여 나갔다는 점이 다릅니다. 주민번호에 신분증 이미지가 더해지면 비대면 본인 확인을 흉내 낼 재료가 갖춰지기 때문이에요. 10월 들어 신한은행을 시작으로 금융권 해킹이 잇따르자 당국은 금융사 사칭 범죄에 대한 소비자경보 ‘주의’를 냈고, 14일에는 555곳 긴급 점검에서 130곳의 보안 미흡을 찾아냈습니다.

빗썸 개인정보 유출 대상이라면 무엇부터 해야 하나?

유출 여부 확인, 내 명의 금융거래 차단, 휴대폰 개통 제한 순서입니다. 대부분 무료이고 하루면 끝낼 수 있어요.

※ 여신거래 안심차단은 2024년 8월 23일, 비대면 계좌개설 안심차단은 2025년 3월 12일 시행. 어카운트인포 신청은 월~토 07~22시, 해제는 영업점 방문 필요, 차단 현황은 크레딧포유에서 조회(법률 위키 정리, 10월 23일). 엠세이퍼 서비스는 무료

신분증 사본까지 나간 경우엔 ⑥번을 고려할 만합니다. 비대면 본인 확인은 주민등록증의 이름·주민번호와 함께 발급일자를 행정안전부 정보와 대조하기 때문에, 재발급을 받으면 유출된 사본의 발급일자가 더는 맞지 않게 돼요. 주민번호 자체를 바꾸는 방법도 있는데, 유출로 생명·신체나 재산 피해를 입었거나 입을 우려가 인정돼야 하고 주민등록번호변경위원회 심사는 청구 뒤 90일 안에 이뤄지는 게 원칙(30일 연장 가능)입니다. 유출 통지서가 신청 서류가 되니 빗썸 안내는 지우지 말고 보관해 두세요.

가장 흔한 2차 피해는 사칭 연락입니다. 사기범이 이름과 전화번호, 계좌번호를 알고 접근하면 진짜처럼 들리기 쉬운데, 빗썸은 임직원을 사칭해 인증번호를 묻거나 특정 앱 설치를 권하는 연락에 응하지 말라고 공지했어요. 의심스러운 전화는 끊고 공식 고객센터 번호로 다시 거는 게 가장 안전합니다.

보상은 받을 수 있고, 빗썸은 어떤 처분을 받을까?

빗썸은 2차 피해가 확인되면 보상하겠다는 입장이고, 빗썸 개인정보 유출 피해자는 법정손해배상도 청구할 수 있습니다. 기준별로 844명에 대입해 봤어요.

※ 직접 계산. 실제 보상액이 아니라 기준 비교용. 2017년 보상은 토요경제(2017년 7월 4일) 보도 기준

법정손해배상은 피해자가 손해액을 입증하지 않아도 300만 원 범위에서 청구할 수 있는 제도입니다. 상한을 전부 채워도 25억 원대인데, 이는 올해 2월 비트코인 오지급 사태 때 빗썸이 쓴 보상액(약 25억 원)과 비슷한 규모예요. 금액보다 무거운 건 신뢰 비용입니다.

행정 처분은 개정법 틀에서 정해집니다. 일반 과징금은 전체 매출의 3% 이하이고, 매출 10%까지 가능한 징벌적 과징금은 최근 3년 안에 고의·중과실 위반을 되풀이했거나 1,000만 명 이상 피해를 냈거나 시정명령을 어겨 사고가 난 경우에 붙습니다. 알려진 직전 빗썸 개인정보 유출이 2017년이고 피해 인원이 844명이라, 징벌적 특례보다는 일반 과징금 틀에서 다뤄질 가능성이 큽니다. 2017년 사고 때는 과징금 4,350만 원과 과태료 1,500만 원이 부과됐어요.

빗썸 보안 사고, 이번이 처음일까?

아닙니다. 개인정보 유출은 2017년 이후 9년 만이고, 올해 2월에는 비트코인 62만 개 오지급 사태도 있었습니다.

※ 아이뉴스24(2017년 12월 12일), 토요경제(2017년 7월 4일), 바이라인네트워크(2018년 6월 20일·2019년 3월 30일), SBS Biz(2026년 2월 7일), 코리아타임스(6월 7일), MTN(8월 27일) 기준

표를 만들며 제가 가장 크게 느낀 건 사고의 성격이 달라졌다는 점입니다. 2018년과 2019년의 코인 탈취는 회사 돈으로 메워 고객 잔고를 되돌릴 수 있었지만, 이미 퍼진 신분증 사본과 주민번호는 돈으로 회수할 수 없어요. 2월 오지급 사태에서는 장부상 62만 개가 지급되면서 빗썸 비트코인 가격이 한때 8,111만 원까지 밀렸고, 지급 수량이 회사가 맡아 둔 비트코인(4만 2,619개, 2025년 3분기 말)보다 훨씬 많아 ‘유령 비트코인’ 논란까지 불렀습니다.

국내 다른 거래소도 예외는 아닙니다. 업비트는 2025년 11월 솔라나 계열 자산 약 445억 원을 해킹당해 회원 자산을 전액 보전했어요. 해외 거래소의 해킹 대응과 보호기금 구조는 비트겟 해킹 총정리에서 비교해 볼 수 있습니다.

빗썸 이용자가 조심할 위험 3가지

① 사칭 연락. 이름·전화번호·계좌번호를 아는 사기범은 빗썸 직원이나 금융당국을 그럴듯하게 흉내 낼 수 있습니다. 인증번호, 원격제어 앱, ‘안전계좌’ 이체 요구는 어떤 이유든 거절하는 게 원칙이에요.

② 명의도용. 주민번호와 신분증 사본이 함께 나갔다면 비대면 계좌 개설이나 대출, 휴대폰 개통에 악용될 수 있습니다. 위 차단 서비스는 한 번 신청해 두면 해제 전까지 계속 효력이 있습니다.

③ 조사 결과에 따른 범위 변화. 머니투데이는 28일 계열사가 같은 그룹웨어를 쓴다면 유출 규모가 커질 수 있다고 짚었습니다. 29일 발표로 숫자가 나왔지만 당국 조사는 이제 시작이라, 대상이 아니라는 안내를 받았더라도 추가 공지를 한동안 챙겨 보는 편이 안전해요.

자주 묻는 질문

Q. 빗썸 개인정보 유출로 어떤 정보가 나갔나요?

고객 844명의 이름, 휴대전화번호, 이메일, 주민등록번호, 운전면허번호, 계좌번호, 신분증 사본이 노출됐고 사람마다 항목이 다릅니다. 임직원 715명의 정보도 함께 유출됐습니다.

Q. 내가 유출 대상인지 어떻게 확인하나요?

빗썸 홈페이지에서 유출 여부를 직접 조회할 수 있고, 빗썸은 10월 29일 오후부터 유출 고객에게 개별 안내를 보내고 있습니다. 문의와 피해 신고는 공식 고객센터를 이용하면 됩니다.

Q. 빗썸에 맡긴 코인도 위험한가요?

빗썸은 그룹웨어가 거래소 계정·자산 시스템과 분리돼 있어 코인 자산이 침해된 정황은 없다고 밝혔습니다. 다만 금융위원회 현장 조사가 진행 중이라 최종 결과는 조사 이후 확인됩니다.

Q. 신분증 사본이 유출됐다면 무엇을 해야 하나요?

은행 영업점이나 금융감독원 사이트(pd.fss.or.kr)에서 개인정보노출자로 등록하고, 여신거래·비대면 계좌개설 안심차단과 엠세이퍼 가입제한을 신청하는 것이 좋습니다. 신분증을 재발급받으면 유출된 사본의 정보가 현재 신분증과 맞지 않게 됩니다.

Q. 빗썸 개인정보 유출 보상은 받을 수 있나요?

빗썸은 2차 피해가 확인되면 피해 구제와 보상에 최선을 다하겠다고 밝혔습니다. 별도로 개인정보보호법상 법정손해배상 제도에 따라 손해액 입증 없이 300만 원 범위에서 배상을 청구할 수 있습니다.

참고한 자료: 아시아투데이·디지털애셋·이투데이·디일렉·뉴스1(10월 29일), 머니투데이·한국아이닷컴·코인딱(10월 28일), 파이낸셜뉴스(10월 14일·9월 11일), YTN(10월 6일), 정책브리핑(3월 9일), 법률 위키(10월 23~25일), SBS Biz(2월 7일), 코리아타임스(6월 7일), MTN(8월 27일), 바이라인네트워크(2018년 6월·2019년 3월·2025년 11월), 아이뉴스24(2017년 12월), 토요경제(2017년 7월)