[시장 보안점검③] 가상자산 거래소 보안투자 "탐지·복구에 무게"

빗썸 보안 투자 16.2%·두나무 64.7% 증가…전담 인력도 각각 40명대로

전문가 "침입 전제로 탐지·복구해야"…피해 배상 기준 마련도 과제

(서울=연합인포맥스) 전병훈 기자 = 가상자산 거래소들이 증권사와 맞먹는 보안 투자와 전담 인력을 늘리고 있지만 빗썸의 사내 업무 시스템에서 개인정보가 유출되는 등 해킹 피해를 피하지 못하고 있다.

전문가들은 인공지능(AI)을 활용해 고도화하는 공격을 모두 막기는 어려운 만큼, 사전 차단에 더해 침입을 빠르게 탐지하고 피해 확산을 막는 데 보안 투자의 무게를 실어야 한다고 지적한다.

29일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 빗썸의 2025년 정보보호 부문 투자액은 123억7천만원으로 전년의 106억4천만원보다 16.2% 증가했다. 내부·외주 인력을 합친 정보보호 전담 인력도 공시 산정 기준 31.8명에서 42.2명으로 늘었다.

업비트 운영사 두나무 역시 같은 기간 정보보호 투자액을 147억8천만원에서 243억4천만원으로 64.7% 확대하고 전담 인력을 33.6명에서 43.9명으로 늘렸다.

두 회사가 지난해 정보보호에 투입한 금액은 총 367억1천만원에 달한다. 이는 대형 증권사의 정보 보호 투자액을 웃도는 수준이다.

이처럼 주요 거래소가 보안 투자를 확대하고 있지만, 지난 27일 빗썸에서는 사내 모바일 그룹웨어에 대한 외부인의 비정상적인 접근으로 임직원과 외주업체 직원 등 600여명의 개인정보가 유출된 사실이 확인됐다.

회사는 사고를 인지한 당일 한국인터넷진흥원(KISA)과 개인정보보호위원회에 신고하고 일반 회원 정보의 포함 여부와 구체적인 유출 범위를 조사하고 있다.

빗썸 측은 직원들이 업무를 처리하고 정보를 공유하는 해당 그룹웨어가 외주 구축 시스템으로, 거래소 네트워크와 분리돼 있어 고객 가상자산에는 접근할 수 없다는 입장이다.

시중은행과 증권사, 자산운용사, 가상자산 거래소까지 너나 할 것 없이 해킹의 표적이 되는 만큼 전문가들은 모든 공격을 막으려 하기보다 침입 가능성을 전제로 피해를 줄이는 데 초점을 맞춰야 한다고 조언했다.

황석진 동국대학교 국제정보보호대학원 교수는 "현실적으로 모든 해킹을 100% 차단하는 것은 상당히 어렵다"며 "침입을 전제로 탐지하고 어떻게 차단하고 복구할 것인지에 초점을 맞춰야 한다"고 말했다.

보안 투자와 관리의 범위도 핵심 서버를 넘어 사내 업무 시스템과 외주 업체까지 넓혀야 한다고 지적했다. 그는 "최근 가상자산 거래소의 핵심 서버 보안 수준은 높아졌지만 직원 업무 지원이나 외주 업체 관리에는 취약한 부분이 있을 수 있다"며 "핵심 서버만큼 주변 서버도 보안 수준을 끌어올려야 한다"고 강조했다.

보안 책임자의 직급을 높이는 데서 한발 더 나아가 실제로 '안 된다'고 말할 수 있는 권한을 줘야 한다는 주문도 나온다. 빗썸과 두나무 모두 임원급 정보보호최고책임자(CISO)를 두고 있지만, 보안과 영업상 판단이 부딪힐 때 위험한 결정에 제동을 걸 수 있어야 한다는 것이다.

한 보안업체 대표는 "CISO가 임원급이 됐다는 것보다 그 사람이 '하지 말라'는 얘기를 할 수 있느냐가 중요하다"며 보안상 문제가 있는 결정을 멈추고 필요한 조치로 이어지도록 할 권한이 뒷받침돼야 한다고 말했다.

이처럼 해킹 피해를 줄일 대응 체계를 갖추는 것과 함께, 실제 손실이 발생했을 때 '누가 어디까지 책임질 것인가'를 명확히 하는 것도 과제다.

현행 가상자산이용자보호법에는 이용자 자산 보관 의무와 보험·준비금 등의 안전장치가 있지만, 해킹으로 이용자 자산에 손실이 생겼을 때 적용할 손해배상책임의 구체적인 범위와 입증책임은 별도로 규정돼 있지 않다.

그렇다고 거래소에 책임을 물을 방법이 없는 것은 아니다. 이용자는 계약이나 민법상 기존 법리에 따라 배상을 요구할 수 있다. 다만 사고 원인을 밝힐 자료 상당수를 거래소가 쥐고 있어 이용자가 책임을 따져 묻기는 쉽지 않다.

전산망 구조와 접근권한, 접속 기록 등을 확인하기 어려운 이용자로서는 거래소의 보안조치에 어떤 문제가 있었고, 이것이 어떻게 자신의 손실로 이어졌는지 파악하는 데 한계가 있기 때문이다.

이에 금융위원회는 디지털자산기본법 정부안을 마련하면서 이러한 문제를 보완하는 방안을 검토하고 있는 것으로 알려졌다. 해킹·전산사고가 발생했을 때 사업자가 어디까지 배상해야 하고, 책임을 가리는 데 필요한 입증은 누가 맡을지 명확히 하겠다는 취지로 풀이된다.

다만 이러한 내용을 담은 기본법 입법은 최근 대주주 지분 제한과 스테이블코인 발행 주체 등을 둘러싼 이견으로 좀처럼 입법에 속도를 내지 못하고 있는 상황이다.

bhjeon@yna.co.kr