기술지원 끝난 운영체제 아직 쓰는 빗썸…전환은 진행 중

[녹색경제신문 = 박금재 기자] 빗썸이 제조사 기술지원이 끝난 운영체제를 아직 쓰고 있다. 교체 작업은 진행 중이다. 이달 말 시작되는 가상자산사업자 재신고 심사에서 이 항목은 걸림돌이 되지 않는다. 개정 특금법 부칙이 기존 사업자의 내부통제체계 요건 적용을 1년 미뤄놨기 때문이다.

22일 업계에 따르면 금융감독원이 5대 원화마켓 거래소에 요구한 정보기술 부문 자체점검에서 빗썸은 12개 항목 가운데 1개에 미흡 평가를 받았다. 고팍스를 운영하는 스트리미도 1개 항목이 미흡으로 나왔다. 두 회사가 함께 지적받은 항목은 보안패치와 제조사 기술지원 종료 관리였다. 국회 정무위원회 소속 민병덕 더불어민주당 의원실이 확보한 자료에 담긴 내용이다.

빗썸은 외부 공격이 닿는 구간은 문제가 없다는 입장이다. 빗썸 관계자는 "외부에서 직접 공격이 가능한 인터넷 접점에 있는 모든 시스템은 최신 보안패치를 적용하여 보안을 최우선으로 안전하게 관리하고 있다"고 밝혔다. 지적받은 사항에 대해서는 "외부에서 접속이 안 되는 중요도가 낮은 일부 내부 시스템 운영체제의 제조사 기술지원이 종료돼 정규 보안패치가 제공이 되지 않은 건에 한정된 경우"라고 설명했다. 제조사가 지원을 끊어 패치 자체가 더 나오지 않는 구간이라는 뜻이다.

교체는 아직 끝나지 않았다. 빗썸 관계자는 "이미 해당 전환 대상을 사전에 식별하여 전환을 진행중에 있으며 전환 완료 전까지 보안 위험을 최소화하기 위해 연장 기술지원 적용, 미인가 접속 탐지 강화 등 보안시스템을 통한 대체통제를 강화해 운영 중"이라고 말했다. 금융감독원은 두 회사에 취약점을 신속히 고치라고 지시했고, 두 회사가 낸 시정계획에는 최신 패치 적용과 노후 장비 교체, 보안 관제 인력과 설비 확충, 인증과 접근통제 확대가 담겼다.

재신고 기한은 11월 20일이다. 22일을 기준으로 29일이 남았다. 8월 20일 시행된 개정 특금법과 시행령은 심사 대상 대주주의 범위를 최대주주와 주요주주, 최대주주의 특수관계인까지 넓혔다. 부채비율 200% 이하와 최근 3년간 신용질서를 해친 사실이 없을 것 같은 재무 요건을 새로 만들고, 결격 사유가 되는 범죄 전력에 공정거래법과 조세범처벌법, 특정경제범죄가중처벌법, 외국환거래법, 가상자산 이용자 보호법 위반을 추가했다. 자금세탁방지 업무 인력을 4명 이상 두고 고유식별정보를 처리하는 전산설비를 국내에 두도록 하는 인적·물적 요건도 들어갔다. 법령준수체계가 미비한 경우는 수리하지 않는 사유가 됐다. 기존에 신고를 마친 사업자 28곳은 이 기준에 맞춰 다시 신고해야 한다.

다만 기존 사업자에게는 부칙이 완충장치를 뒀다. 부채비율 요건과 인적·물적 요건, 내부통제체계 요건은 1년간 적용이 미뤄진다. 8월 20일 이후 새로 수리되는 사업자는 이 요건을 모두 갖춰야 하지만, 이미 신고를 마친 곳은 1년의 시간을 받는다. 대표자와 임원, 대주주가 시행 전에 생긴 사유로 결격에 해당하더라도 해당 인물이 바뀌기 전까지는 종전 규정을 따른다는 경과규정도 함께 들어갔다. 기술지원이 끝난 운영체제를 쓰고 있어도 재신고 수리가 그 사유로 막히지는 않는 구조다.

지적받은 항목은 거래소만의 문제가 아니다. 금융위원회가 10월 14일 내놓은 집계를 보면 555개 금융회사가 같은 12개 항목으로 자체점검을 해 130곳이 일부 항목에서 미흡을 보고했다. 미흡 사항 248건 가운데 보안패치와 제조사 기술지원 종료 관리가 112건으로 가장 많았다. 관제체계 운영이 76건, 공격표면 관리가 60건이었다. 금융권에서 가장 흔하게 걸린 항목을 거래소 두 곳도 똑같이 못 넘긴 셈이다. 같은 집계에서 침해사고가 확인된 기업은 16곳, 유출된 개인정보는 약 10만건으로 파악됐다. 가상자산 거래소는 이 555곳과 별도로 5곳만 점검을 받았다.

빗썸은 첫 갱신 심사도 끝내지 못했다. 빗썸의 가상자산사업자 신고 유효기간은 2024년 12월에 지났지만, 갱신 심사가 진행되는 동안 기존 신고의 효력이 유지돼 영업을 이어가고 있다. 접수기한을 넘긴 지 2년이 지났다. 고팍스도 2년을 넘겼다. 다른 원화마켓 거래소는 모두 끝냈다. 업비트를 운영하는 두나무가 488일, 코빗이 519일, 코인원이 595일 만에 수리됐다.

갱신이 길어진 배경에는 지난 2월 사고가 있다. 랜덤박스 행사에서 단위를 잘못 입력해 695명에게 2000원어치 비트코인 대신 각각 2000비트코인이 지급됐다. 직원 한 명의 승인으로 처리됐다는 점에서 내부통제 문제로 번졌고 금융감독원이 현장검사에 들어갔다. 상반기 중 나올 것으로 예상됐던 검사 결과는 아직 공개되지 않았다.

제재 절차도 결론이 나지 않았다. 금융정보분석원은 3월 16일 영업 일부정지 6개월과 과태료 368억원을 통보했다. 미신고 사업자 18곳과의 거래를 지원한 행위 등이 적발됐다. 빗썸은 3월 24일 행정소송을 냈고 서울행정법원이 4월 30일 집행정지를 인용해, 본안 판결 선고일로부터 30일이 되는 날까지 처분 효력이 멈춰 있다. 지금 정상 영업하는 근거가 이 집행정지다. 제재심의위원회는 9월 중순 연기된 뒤 재개 일정이 나오지 않았다. 금융정보분석원은 정상적인 절차에 따라 진행하고 있다는 입장이다.

점검 결과가 나오는 사이 사고는 이어졌다. 고팍스는 고객 계정 몇 곳에서 비정상적인 로그인 시도가 있었다고 밝힌 바 있다. 다른 사이트에서 유출된 전자우편 주소와 비밀번호 조합이 쓰인 것으로 보고 있다. 보안 시스템이 이상 징후를 잡아낸 뒤 해당 계정을 조치했으며 고객에게 개별 통지하고 당국에 보고했다는 설명이었다. 스트리미는 침해사고가 확인된 기업 명단에 새로 추가된 다섯 곳 가운데 하나다. 프라뱅은 2일 무단 접근으로 고객 20명가량의 개인정보가 유출됐다고 9일 공개했다. 이름과 생년월일, 연락처를 포함해 12개 항목이 새나갔다.

빗썸은 2028년 상장 완료를 목표로 내년에 상장 예비심사를 청구할 계획을 밝혔다. 2020년 첫 시도 이후 세 번째 도전이다. 갱신 심사와 재신고, 제재 처분과 본안 소송, 오지급 사고 검사 결과가 모두 결론을 기다리는 상태에서 상장 일정이 함께 돌아가고 있다.