4년여가 지난 최근 SK텔레콤 유심정보 유출 사태가 발생, 투자자의 우려가 커지고 있다. 국내 가상자산거래소의 대응은 달라졌을까.
27일 관련업계에 따르면 국내 5대 가상자산거래소(업비트·빗썸·코인원·코빗·고팍스)는 지난 22일부터 차례로 SKT 유심 정보유출 주의 공지사항을 게재했다.
5개 거래소의 대응 방안은 모두 '계정 잠금'이었다. 계정 잠금 서비스는 휴대폰 해킹 등으로 본인 외의 로그인이 발생했을 때 이용자가 취할 수 있는 조치다. 계정이 잠기면 로그인된 모든 기기에서 로그아웃되고, 다시 로그인할 수 없다.
이를 해제하기 위해서는 콜센터나 고객센터 등을 통해 신분증을 포함한 본인 인증을 거쳐야 하기 때문에, 단순 휴대폰 해킹으로 인한 피해를 줄일 수 있다. 이와 함께 SKT에서 공지한 유심보호서비스, 유심 비밀번호 설정 등을 공유하며 회원 보호에 나섰다.
하지만 3년 전 심 스와핑 사건 당시 가장 먼저 타깃이 됐던 가상자산 특성상, 더 강력한 보호 조치가 필요하다는 지적이 나온다. KB라이프와 NH농협생명 등은 선제적으로 SKT를 이용한 인증을 제한했지만, 가상자산거래소는 '계정 잠금' 외에 더 이상의 조치를 취하지 않고 있다.
한국재정정보원 등에 따르면 2021년 국내에서 처음으로 심스와핑 피해가 발생했다.
당시 공격자들은 유심을 복제해 피해자의 소셜네트워크, 포털 비밀번호를 변경하고 2차 인증을 무력화했다. 이들의 최종 목적지는 가상자산거래소였고, 계정을 획득해 적게는 100만원부터 많게는 2억6000만원에 달하는 가상자산을 다른 계좌에 무단 전송했다.
전문가들은 가상자산 특성상 개인정보를 탈취해 가상자산을 다른 지갑으로 옮긴 뒤, 해외 거래소 등에서 추적을 피할 수 있어 일반적인 금융자산보다 더 쉽게 해킹 피해에 노출될 수 있다고 지적했다.
또 이미 한 차례 피해가 발생했던 만큼 자체적인 선제 방어 시스템과 인증사·통신사 등과 연계한 시스템을 구축해 놓았어야 했다는 것이 전문가들의 설명이다.
이미 금융감독원 등 금융당국도 이번 사건 이후 해커가 유심 복제 등을 통해 휴대폰 본인인증을 우회하고 부정 금융거래를 시도할 우려가 있다며 유의를 당부하고, 금융서비스 중 휴대전화 본인인증, 문자메시지 인증만으로 인증이 완료되는 경우에는 추가 인증수단을 고려하라고 안내했지만 가상자산거래소는 이후에도 별다른 대응을 내놓지 않고 있다.
업비트와 빗썸, 고팍스 등 모든 거래소가 각기 다른 시간에 안내 공지를 올린 만큼 디지털자산거래소 공동협의체(DAXA) 등을 통한 공동 대응도 마련되지 않은 것으로 풀이된다.
한 보안 전문가는 "개인정보 특성상 각 가상자산 거래소가 회원들 중 누가 SKT를 사용하고 있는지 확인하기는 쉽지 않다"면서도 "다만 전체 회원의 추가 인증을 요구하고, 이 중 SKT를 이용한 휴대폰 인증만 제한한다면 손쉽게 빠른 1차 인증 대처가 가능했을 수 있다"고 말했다. 이어 "이미 과거 한 차례 피해를 당하는 과정에서 사실상 대응을 하지 못한 거래소들이 당시와 똑같은 대응 방안을 내놓은 것은 다소 실망스러운 수준"이라고 덧붙였다.
김남석기자 kns@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
