지난 10월 27일, 가상자산 거래소 빗썸의 사내 모바일 그룹웨어 ‘다우오피스’에 외부 비인가자가 접근하는 사고가 있었습니다. 거래 시스템이나 고객 자산과는 분리된 업무용 시스템이었는데도 고객 6,444명의 정보가 유출 범위에 들어갔고, 이 중 844명은 주민등록번호, 계좌번호, 신분증 사본까지 노출된 것으로 확인됐습니다. 이후 관심은 자연스럽게 책임 소재로 옮겨갔습니다. 솔루션 자체의 취약점이 문제였는지, 이용 기업의 계정·권한 관리가 문제였는지, 애초에 개인정보 처리 위탁 관계였는지… 아직 조사가 진행 중이라 어느 쪽이라고 단정지어 말할 수는 없지만, 기업 입장에서 큰 부담이 아닐 수 없습니다.
그런데 이 사고를 남의 일로만 보기는 어렵습니다. 그룹웨어, 메신저, CRM, 클라우드 스토리지까지 외부 솔루션 없이 돌아가는 회사는 거의 없죠. 그리고 고객정보는 경각심 없이, 쉽게 이런 업무용 시스템으로 흘러 들어가기 쉽습니다. 그렇다면 만약 우리 회사에서 이런 일이 발생했을 때, 뚫린 솔루션 공급 업체가 잘못한 걸까요, 경각심 없이 잘못 사용한 회사가 잘못한걸까요?
오늘은 “검증된 솔루션을 썼으니 괜찮다”와 “계약 범위 안에서는 할 만큼 했다.” 사고가 나면 양쪽에서 나오기 쉬운 이 두 말에 대해 이야기해 보려 합니다.
1. 외부 솔루션을 썼으니까 책임을 넘길 수 있다?
결론부터 말하면 넘어가지 않습니다. 사고가 솔루션 쪽에서 났더라도 이용 기업의 책임은 그대로 남고, 그 무게를 가르는 건 “그 솔루션을 어떻게 관리해 왔느냐”입니다.
법적으로 외부 솔루션은 두 경우로 나뉩니다. 업체가 개인정보를 대신 처리하거나 시스템 운영까지 맡으면 ‘처리 위탁’, 우리가 설치해 직접 운영하면 단순 소프트웨어 공급에 가깝습니다. 빗썸 사례도 아직 이 부분이 쟁점이죠. 그런데 어느 쪽이어도 이용 기업이 빠져나갈 틈은 없습니다.
- 위탁이라면: 위탁자는 수탁자를 교육하고 감독해야 하고(제26조 제4항), 수탁자가 법을 위반해 생긴 손해배상책임에서는 수탁자를 위탁자의 소속 직원으로 봅니다(제7항). 정보주체 앞에서는 함께 책임지는 것입니다.
- 단순 공급이라면: 솔루션은 우리 시스템의 일부입니다. 접근권한, 계정 관리, 접속기록 같은 안전조치 의무(제29조)가 처음부터 우리 몫이고요.
반대로 관리를 제대로 했다면 그 기록이 회사를 지켜줍니다. 수탁자 교육과 관리·감독을 성실히 이행한 점이 인정돼 위탁자의 행정책임이 면제된 처분 사례도 있어요. 사고가 났을 때 보여줘야 하는 건 “검증된 솔루션을 썼다”가 아니라 “이렇게 관리해 왔다”는 근거입니다.
그 근거가 되는 건 이런 것들입니다.
- 연동할 때 꼭 필요한 권한만 줬다 (관리자 권한을 통째로 열어두지 않았다)
- 솔루션이 어떤 데이터에 접근하고 어디로 보내는지 직접 확인하고 있다
- 위탁이라면 계약서에 점검 권한을 넣었고, 실제로 점검한 기록이 있다
2. 공급하는 쪽도, ‘계약 범위’ 밖이니까 괜찮을까요?
공급망 공격이 까다로운 건, 공격자가 방어가 단단한 본진 대신 그 본진이 믿고 쓰는 외부 소프트웨어를 노리기 때문입니다. 공급사 하나에 문제가 생기면 같은 솔루션을 쓰는 고객사 전체가 같은 질문을 받게 되죠. 이번 사고 직후에도 같은 그룹웨어를 도입한 다른 금융사들의 보안 체계에 관심이 쏠렸습니다.
법도 수탁자 쪽 책임을 점점 무겁게 보고 있습니다. 2023년 개정으로 안전조치 의무를 비롯해 개인정보처리자에게 적용되는 상당수 규정이 수탁자에게도 준용되고(제26조 제8항), 재위탁하려면 위탁자의 동의를 받아야 합니다(제6항). 수탁자도 이제 ‘위탁자 뒤에 있는 업체’가 아니라 직접 규제를 받는 당사자라는 뜻입니다.
법이 수탁자에게 요구하는 건 생각보다 구체적입니다. 고객사가 점검하겠다고 했을 때 최소한 이 네 가지는 바로 보여줄 수 있어야 해요.
- 안전조치 이행 내역: 접근권한 관리, 개인정보 암호화, 접속기록 보관 등 제29조와 안전성 확보조치 기준이 요구하는 조치를 실제로 하고 있다는 근거
- 위탁자의 점검·교육 협조: 위탁자에게는 수탁자를 감독할 의무가 있고, 수탁자는 그 점검에 응할 준비가 돼 있어야 합니다
- 재위탁 현황과 동의: 클라우드나 다른 외부 업체에 다시 맡긴 처리 업무가 있다면 그 목록과 위탁자 동의 여부
- 사고 시 통지 체계: 유출 신고·통지 책임은 위탁자에게 걸려 있어서, 수탁자가 늦게 알리면 위탁자도 기한을 놓칩니다. 언제, 누구에게, 무엇을 알릴지 미리 정해둬야 하는 이유예요
여기서 한 발 더 나가면 개발·배포 과정의 보안 검증 내역이나 사용 중인 오픈소스 목록(SBOM) 같은 공급망 보안 자료가 있습니다. 법적 의무는 아니지만, 공공·금융권 고객 실사에서는 점점 자주 묻는 항목이에요. 기능 좋은 솔루션은 많고 많습니다. 앞으로는 “안전하다는 걸 확인시켜 줄 수 있는가”가 선택 기준이 될테니 신경쓸 수 밖에 없겠죠.
3. 고객정보가 왜 그룹웨어에?
이번 사고에서 눈여겨볼 부분은 따로 있습니다. 고객정보가 거래 시스템이 아니라 사내 업무용 시스템에서 나왔다는 점이에요. 빗썸은 고객 DB가 직접 침해된 정황은 없다고 밝혔고, 노출된 정보는 직원들이 업무 중 주고받은 자료에 들어 있던 것으로 알려졌습니다.
사실 어느 회사에서나 흔한 일입니다. 고객 문의를 처리하면서 신분증 사본을 메신저로 공유하고, 엑셀로 뽑은 고객 명단을 결재 문서에 첨부하죠. 이렇게 흘러간 개인정보는 원래 시스템의 접근통제와 암호화 바깥에 놓이고, 관리 대상 목록에도 오르지 않은 채 쌓여갑니다.
그런 의미에서 눈에 띄는 숫자가 하나 있습니다. 유출 범위에 든 고객 6,444명 중 5,600명의 정보는 DRM으로 보호된 파일에 들어 있어 외부에서 열람할 수 없었다고 합니다. 같은 시스템, 같은 사고였는데도 파일이 어떻게 관리됐느냐에 따라 결과가 갈린 셈입니다.
그래서 위탁 관리만큼이나 중요한 질문이 있습니다.
- 우리 회사 개인정보가 원래 시스템 밖 어디에 흩어져 있는지 알고 있는가
- 메신저, 그룹웨어, 공유 드라이브에 쌓인 파일 중 개인정보가 담긴 것을 찾아낼 수 있는가
- 업무상 더 필요 없는 개인정보 파일은 주기적으로 파기하거나 암호화하고 있는가
4. 책임 공방 대신, 처음부터 같이 사전 예방 합시다
사고 뒤에 책임을 가리는 건 필요하지만, 그걸로 다음 사고를 막을 수는 없습니다. 계약 단계에서 위탁 관계와 각자의 역할부터 분명히 해두면, 사고가 난 뒤 “위탁이었나 아니었나”부터 다투는 상황은 피할 수 있습니다.
| 단계 | 위탁사 (솔루션을 쓰는 쪽) | 수탁사 (솔루션을 공급·운영하는 쪽) |
|---|---|---|
| 선정·계약 | 위탁 여부와 처리 범위를 계약서에 명시, 점검 권한 확보 | 보안 인증, 취약점 점검 내역, SBOM 등 검증 자료 제공 |
| 연동·운영 | 최소 권한 부여, 솔루션 접근 기록 직접 모니터링, 정기 점검 | 다중 인증 등 강한 인증 적용, 정기 패치와 고객 공지 |
| 사고 대응 | 핫라인 가동, 피해 확산 차단, 신고·통지 | 침해 지표(IoC)와 원인 분석 결과를 신속하게 공유 |
맺음말
개인정보 처리와 시스템 운영은 외부에 맡길 수 있어도, 고객에 대한 책임까지 외주화할 수는 없습니다.
빗썸·다우오피스 사고의 원인과 책임이 어떻게 결론 나든, 우리 회사에서 지금 바로 해볼 수 있는 일은 분명합니다.
- 쓰고 있는 외부 솔루션 목록부터 뽑아보세요. 그룹웨어, 메신저, CRM, 클라우드 스토리지까지 전부요. 그리고 각각이 개인정보 처리 위탁인지, 단순 공급인지 구분해 두세요. 위탁이라면 계약서에 제26조 제1항의 내용이 들어가 있는지, 처리방침에 수탁자가 공개돼 있는지도 함께 확인합니다.
- 솔루션별로 권한과 접근기록을 점검하세요. 누가 어떤 권한으로 들어가 있는지, 퇴사자나 쓰지 않는 계정은 없는지, 접근기록이 남고 있는지. 위탁 관계라면 이번 기회에 수탁사 점검을 한 번 하고 그 결과를 기록으로 남겨두세요.
- 업무 시스템에 흩어진 개인정보 파일을 찾아 정리하세요. 메신저와 그룹웨어, 공유 드라이브에 신분증 사본이나 고객 명단이 얼마나 쌓여 있는지 확인하고, 필요 없는 건 파기, 남겨야 하는 건 암호화합니다.
세 가지 모두 사고가 난 뒤에는 “했어야 했던 일”이 되고, 사고 전에 해두면 “했다는 근거”가 됩니다. 이번 사고에서 가장 오래 남을 교훈도 아마 그 차이일 겁니다.
참고 기사
메트로신문, 빗썸 그룹웨어 해킹, 키움증권도 도입…투자자 정보는 안전한가 (2026.10.30)
경인방송, 빗썸 개인정보 유출 ‘다우오피스’ 때문?…보안 책임 공방 쟁점 (2026.11.03)
연합뉴스, 빗썸 해킹으로 고객 계좌번호·신분증 사본까지 털려 (2026.10.29)
시대일보, 빗썸 고객 844명 개인정보 유출 (2026.10.29)
