가상통화 거래사이트, 보안·개인정보 관리 '낙제점'

국내 가상통화 거래 사이트들이 해킹이나 개인정보보호 유출 등에 취약한 것으로 나타났다. 망 분리, 시스템 접근 통제 등이 제대로 이뤄지지 않고 개인정보보호를 위한 기본적인 암호화조치 마저도 미흡했다.

방송통신위원회가 개인정보보호 조치가 제대로 되지 않은 8개 사업자에 1억4100만원의 과태료를 부과했지만 솜방망이 처벌이란 지적이다. 가상통화 거래 규모가 급증하면서 해킹 사고가 발생할 경우 큰 피해가 예상되지만 관리, 제재할 수 있는 체계는 미흡하다는 지적이 나오고있다.


◇개인정보보호 '실격' 8개 사업자 과태료 1.4억

방통위는 24일 정부과천청사에서 전체회의를 열고 업비트를 운영하고 있는 두나무 등 8개 사업자에 대해 정보통신망 이용촉진 및 정보보호 등에 관한 법률을 위반한 혐의로 총 1억4100만원의 과태료를 부과했다. 조사 대상 10개 사 가운데 서비스 제공을 중단한 2개사를 제외한 8개 사 모두 정보통신망법을 위반한 것으로 나타났다.

앞서 과학기술정보통신부, 방송통신위원회, 한국인터넷진흥원(KISA)는 지난 10월부터 12월까지 두나무(업비트), 빗썸, 코빗, 코인원, 야피안(유빗), 리플포유, 비즈스토어, 이야랩스, 코인플러스, 씰렛 등 10개 가상통화 거래 사이트에 대한 보안 점검, 개인정보보호 실태 조사를 실시했다.


사업자별로 코인원과 야피안이 2500만원의 과태료를 부과받았고 코빗이 2100만원, '업비트'를 운영하고 있는 두나무가 2000만원의 과태료를 부과 받았다. 리플포유와 씰렛은 각각 1500만원, 코인플러스와 이야랩스는 1000만원을 물게 됐다.

방통위는 가상통화 거래규모 및 이용자수가 급증하고 있는데 반해 접근통제장치 설치·운영, 개인정보취급자의 비밀번호 작성규칙 수립 등 정보통신서비스제공자로서 기본이 되는 보호조치조차 준수하지 않는 등 이용자보호 조치가 전반적으로 매우 미흡한 것으로 나타났다고 설명했다.

세부적으로는 두나무 리플포유, 씰렛, 이야랩스, 야피안, 코빗, 코인원·코인플러그 등 8개사가 개인정보에 대한 불법접근을 차단하기 위해 침입차단시스템 등 접근 통제장치의 설치·운영, 접속기록의 위·변조를 방지하기 위한 조치, 개인정보의 안전한 저장·전송을 위한 암호화 조치 등 기술적·관리적 보호조치 기준을 위반했다.

또 야피안과 코인원 등 2개사는 1년 이상 서비스를 이용하지 않은 이용자의 개인정보를 파기 또는 별도로 저장·관리하지 않아 개인정보 유효기간제를 위반했고 두나무는 개인정보를 3자 제공하면서 정보제공에 대한 이용자의 동의절차 보다 철회 방법을 더 어렵게 해 적발됐다. 코빗은 이용자의 개인정보를 국외에 처리 위탁·보관하고 있는 사실을 고지하지 않았다.

방통위는 이들 사업자에게 위반행위의 즉시 중지, 개인정보보호책임자 및 취급자 대상 정기적 교육 실시, 재발방지대책 수립 등 시정명령을 하기로 의결했고 위반 사업자들은 30일 이내 시정명령을 이행하고 그 결과를 방통위에 제출토록 했다.

◇시스템 보안·망 분리 등 미흡 조사대상 10개사 모두 보안기준 '탈락'
과기정통부가 주도한 보안 취약점 점검결과에서도 조사대상 업체들 모두 보안 취약점을 나타낸 것으로 나타났다.

과기정통부 등은 주요정보통신기반시설 보안 기준으로 적용해 △시스템 보안관리 체계 △백업운영 체계 △망분리 여부 등 51개 항목을 점검한 결과 대부분 거래소가 사이버 침해사고 예방 및 대응 인식이 부족한 것으로 나타났다.

예컨대 망분리 및 시스템 접근 통제 관리가 미흡했고 방화벽 등 정보보호 시스템 구축도 제대로 돼있지 않았다. 가상통화 전자지갑 관리나 기본적인 암호화 마저도 미흡한 곳이 많았다. 일부 거래소의 경우 업무용 노트북 반입, 반출을 허용하는데다 무선인터넷 공유기로 주요 망을 관리해 악성코드 감염 위험이 높은 것으로 나타났다.

가상통화 거래 사이트의 보안 취약점을 확인했음에도 불구하고 정부가 이를 제재하거나 규제할 수 있는 방안이 없어 보완이 필요하다는 지적이 나오고 있다. 이번 보안점검 역시 400여개 주요정보통신기반시설 기준에 적용해 이뤄졌지만 통신판매업자인 가상통화 거래 사이트가 이를 지켜야할 의무는 없기 때문이다.

과기정통부 관계자는 "정보통신기반시설 기준 수준의 보안이 필요하다고 생각돼 점검을 실시했지만 이를 제재하거나 시정 조치를 내릴 수는 없다"며 "다만 이들 업체의 보안 취약점을 개선하기 위한 지원, 컨설팅 등을 제공할 수 밖에 없는 상황"이라고 말했다.

방통위 회의에서 역시 제재 수위에 대한 지적이 나왔다. 김석진 방통위원은 "사실상 우리가 가상통화 첫 제재인데 과태료 처분밖에 안되는게 시장에 경각심 줄 수 있을지, 실효성 측면에서 우려스럽다"며 "수천억 매축 올리는데 고작 과태료 1천2천 정도로 제재한 것인데 제대로 규제할 수 있도록 제도적 미비점을 개선해달라"고 말했다. 고삼석 방통위원도 "기술적 보호 조치 조금만 소홀하면 대형 사고가 난다"며 "방통위 전수조사 계기고 가상통화 거래소의 개인정보보호에 대해 경각심을 갖고 개인정보보호에 대한 투자를 늘려야 할 것"이라고 했다.