빗썸 뚫렸는데 배상 의무는 없다…보험 한도 10억원이 전부

[녹색경제신문 = 박금재 기자] 빗썸이 뚫렸다. 그런데 뚫렸을 때 배상 책임을 지우는 법이 이 업권에는 없다.

30일 기준 유출 규모와 항목은 확정되지 않았다. 빗썸은 내부 메신저로 주고받은 업무 파일에 회원 정보가 들어 있었는지를 분석하고 있다. 가장 큰 쟁점이 아직 열려 있는 상태다.

사고는 지난 27일 확인됐다. 빗썸 임직원이 업무를 주고받고 파일을 공유하는 사내 모바일 그룹웨어에 외부 비인가자가 비정상적으로 접근했다. 빗썸과 자회사, 협력업체 임직원 정보가 빠져나갔다. 빗썸은 같은 날 한국인터넷진흥원과 개인정보보호위원회에 신고했다. 27일은 침해를 인지한 날이고 처음 침입이 언제 있었는지는 확인되지 않았다.

빗썸은 가상자산 탈취는 없었다고 밝혔다. 지갑 주소처럼 자산을 빼내는 데 쓰일 수 있는 정보가 유출된 정황은 현재까지 없다는 설명이다. 거래 서비스를 운영하는 전산 시설은 그룹웨어와 물리적으로 분리돼 있다고도 했다. 당국에는 거래와 직결된 핵심 전산시설이 아니라 임직원 업무지원 시스템이 침해됐다고 보고했다. 침입 경로는 공개하지 않았다.

당국은 바로 움직였다. 28일 금융위원회 유영준 디지털금융정책관 주재로 금융감독원과 금융보안원, 디지털자산거래소 공동협의체, 빗썸이 긴급 점검회의를 열었다. 금융위원회와 금융감독원, 금융보안원은 빗썸 현장조사에 착수했다. 국가안보실도 송기호 3차장 주재로 금융위원회와 긴급 대응회의를 소집했다. 같은 기간 증권사와 자산운용사, 보험사에서도 침해 사고가 잇따랐다.

문제는 사고 뒤에 남는 책임이다. 가상자산거래소에는 전자금융거래법의 보안 의무와 해킹 배상 규정이 적용되지 않는다. 은행이 전산 사고로 고객에게 손해를 입혔을 때 지는 책임을 거래소는 같은 방식으로 지지 않는다. 빗썸이 개인정보 유출에 대비해 가입한 배상책임보험 한도는 10억원이다. 금융위원회는 피해가 발생하면 전액 배상이 이뤄지도록 감독하겠다고 밝히면서, 은행 수준의 보안조치를 이 업권에 적용하는 방안을 추진하겠다고 했다. 제도 공백이 사고가 터진 뒤에 확인된 셈이다.

빗썸의 보안 사고는 처음이 아니다. 2017년에는 악성코드가 담긴 메일로 회원 정보 3만6487건이 유출돼 과징금 4350만원과 과태료 1500만원을 받았다. 2018년에는 해킹으로 약 350억원 규모의 가상자산을 도난당했다.

올해도 사고가 있었다. 지난 2월 이벤트 보상을 지급하는 과정에서 실제 보유량의 13배가 넘는 비트코인 62만개를 고객 계좌에 잘못 넣었다. 이재원 빗썸 대표는 국회 정무위원회에서 "이번 사고의 최종 책임자로서 진심으로 머리 숙여 사과드린다"고 말했다. 금융감독원은 현장 점검을 정식 검사로 전환해 3월에 검사를 마쳤고 제재 수위를 심사하고 있다.

제재도 이미 받았다. 금융정보분석원은 3월 빗썸에 과태료 368억7350만원과 신규 고객의 가상자산 외부 이전 6개월 중단을 부과했다. 영업 일부정지에 해당하는 조치다. 빗썸은 이에 불복해 행정소송을 진행하고 있다.

내부 견제 장치도 얇다. 빗썸 이사회는 이사 5명 전원이 사내이사다. 사외이사가 없고 이사회 안에 위원회도 없다. 이재원 대표가 이사회 의장을 겸하고 있다.

시점도 공교롭다. 다음 달 20일은 가상자산사업자 재신고 기한이다. 3주가 남았다. 8월 20일 시행된 개정 특정금융정보법에 따라 기존 사업자 28곳이 다시 심사를 받는다. 대주주 범죄경력 심사가 확대되고 법령준수체계가 심사 항목에 들어갔다. 다만 부칙에 따라 기존 사업자는 부채비율과 인적·물적 요건, 내부통제체계 요건의 적용을 1년 유예받는다. 현장조사가 진행되는 상태에서 재신고 절차가 함께 돌아가게 된다.

유출 규모가 확정되고 회원 정보 포함 여부가 가려지기까지는 시간이 더 걸린다. 그 결과에 따라 빗썸이 져야 할 책임의 크기도 달라지는데, 지금 그 크기를 정하는 기준 자체가 이 업권에는 마련돼 있지 않다.