빗썸은 10월 정보보호 캠페인의 일환으로 ‘유출된 개인정보를 악용한 2차 사기’ 피해 예방 캠페인을 진행한다고 16일 밝혔다. 상대방이 개인정보를 알고 있다는 사실만으로 공식 연락이라고 믿어서는 안 된다고 강조하며 계정 보호 수칙을 안내했다.
이번 캠페인은 최근 금융권 보안 사고를 비롯해 여러 서비스에서 개인정보 유출이 이어지면서 유출 정보를 재차 악용하는 맞춤형 사이버 범죄에 대응하기 위해 마련됐다. 사기범들은 “고객님의 정보가 유출돼 보상 대상입니다”, “보안 점검을 위해 계정 확인이 필요합니다” 등의 문구로 접근한다.
이 과정에서 이름·휴대전화번호·이메일 주소뿐 아니라 과거 주문번호와 이용 서비스명, 과거에 사용한 비밀번호 일부까지 제시해 정상적인 서비스 관계자인 것처럼 행세한다. 이후 피싱 사이트 접속이나 원격제어 앱 설치, 자금 이체 등을 유도하는 방식이다.
이 같은 수법에 속으면 본인인증 정보와 신분증·계좌 정보가 추가로 유출되거나 가짜 로그인 페이지를 통해 인증번호를 탈취당할 수 있다. 공격자가 유출된 비밀번호를 다른 서비스에 반복 대입해 계정을 탈취하거나 대환대출을 빙자해 선입금을 요구하는 등 금전 피해로 이어질 위험도 있다.
빗썸은 캠페인에서 금융위원회가 유출된 개인정보로 금융회사 직원을 사칭하는 수법에 대해 소비자경보 ‘주의’를 발령한 사례를 소개했다. 이달에도 개인정보 유출 확인과 피해보상금 지급을 내세운 스미싱·보이스피싱 관련 경보가 추가로 발령됐다고 설명했다.
빗썸은 명의도용이나 피해 보상, 보안 점검을 이유로 연락을 받더라도 문자·이메일·메신저에 포함된 링크에 접속하지 말고 평소 사용하던 공식 앱이나 공식 홈페이지에서 직접 확인해야 한다고 당부했다. 상대방이 제시하는 정보가 구체적일수록 그럴듯해 보일 수 있지만, 연락의 진위는 이용자가 공식 경로를 통해 확인해야 한다는 설명이다.
비밀번호 재사용을 피하는 것도 주요 수칙으로 제시했다. 다른 사이트에서 사용 중이거나 임시로 발급받은 비밀번호를 재사용하지 말고, 빗썸에서만 사용하는 고유한 비밀번호를 설정해야 한다.
비밀번호 노출 관련 연락을 받았다면 같거나 유사한 비밀번호를 사용하는 다른 서비스의 비밀번호도 함께 변경하도록 권고했다. 개인정보보호위원회와 한국인터넷진흥원이 운영하는 ‘털린 내 정보 찾기 서비스’를 통해 아이디·비밀번호의 불법 유통 여부를 조회할 수 있다고 안내했다.
빗썸이 제공하는 ‘2채널 인증’ 등 보안 기능 활용도 권장했다. 2채널 인증은 아이디·비밀번호로 로그인한 뒤 추가 인증을 한 차례 더 수행하는 기능으로, 비밀번호가 유출되더라도 계정 탈취를 막는 데 도움이 된다.
빗썸은 이와 함께 ‘해외 IP 접속 차단’ 기능과 ‘안랩 세이프 트랜잭션(AhnLab Safe Transaction)’ 보안 프로그램을 제공하고 있다. 안랩 세이프 트랜잭션은 키보드 입력 보호와 피싱 차단, 메모리 해킹 방지 등을 지원한다.
보안 설정 변경 알림을 받았다면 본인이 직접 변경한 사항인지 즉시 확인해야 한다고 강조했다. 명의도용 거래가 우려되는 경우에는 ‘내계좌한눈에’나 은행 앱에서 ‘금융거래 안심차단서비스’에 가입해 무단 여신거래와 비대면 계좌개설을 사전에 차단하는 방법을 안내했다. 금융감독원 금융소비자정보포털 ‘파인’의 ‘개인정보노출자 사고예방시스템’에 등록해 신규 계좌개설·카드 발급 제한을 적용받는 방안도 제시했다.
이미 의심스러운 사이트에 정보를 입력했거나 설치 파일을 실행했다면 즉시 해당 기기의 네트워크 연결을 차단해야 한다고 당부했다. 이후 감염되지 않은 별도 기기를 이용해 빗썸 비밀번호 변경과 2단계 인증 재설정, 발급한 API 키 삭제, 출금 주소 화이트리스트 점검 등 계정 보호 조치를 취하도록 권고했다. 이상 거래가 확인되면 빗썸 투자자보호센터(1661-5566)로 신고할 수 있다.
빗썸 관계자는 “개인정보는 한 번 유출되면 시간이 지난 뒤에도 다시 악용될 수 있어, 상대방이 내 정보를 알고 있다는 이유만으로 신뢰해서는 안 된다”며 “앞으로도 빗썸은 고객이 안심하고 거래할 수 있는 환경을 조성하기 위해 보안 기능을 지속적으로 강화하고 예방 캠페인을 확대해 나갈 것”이라고 밝혔다.
