빗썸 개인정보 유출에 내 정보가 들어갔는지는 빗썸이 2026년 10월 29일 오후 5시 49분에 올린 공지 「일부 고객, 임직원 개인정보 유출 안내 및 2차 피해 방지 안내 (개인정보 유출 조회 확인 포함)」 안의 「개인정보 유출 조회하기」 링크로 확인할 수 있습니다. 공지는 모든 고객이 이 링크로 본인의 유출 여부를 확인할 수 있다고 적었고, 유출이 확인된 고객에게는 문자로 유출 항목과 예방·구제 방법을 따로 안내한다고 적었습니다. 공지가 밝힌 유출 항목은 회원번호와 주민등록번호, 신분증 사본, 계좌번호, 지갑주소를 포함한 16가지입니다. 다만 공지는 이 항목이 「모든 유출 대상자에게 동일하게 해당하는 것은 아니며」 실제 유출 항목은 사람마다 다를 수 있다고 적었습니다. 규모는 고객 6,444명이고, 그중 5,600명은 암호화된 상태라 내용 확인이 불가능하고 나머지 844명은 개인정보가 유출됐다고 나눠 적었습니다. 이와 별도로 임직원 715명의 정보도 유출됐다고 밝혔습니다.
이 글은 그 공지와 같은 날 오후 5시 54분에 올라온 사과문을 문장 그대로 읽고, 무엇이 적혀 있고 무엇이 적혀 있지 않은지를 나눠 정리합니다. 2026년 11월 2일 낮 12시 52분부터 54분 사이에 빗썸 공지 두 건과 공지 목록 1쪽부터 3쪽, 빗썸 도움말 검색, 개인정보보호위원회와 한국인터넷진흥원의 게시판, 국가법령정보센터의 현행 개인정보 보호법을 직접 받아 확인했습니다. 빗썸 공지 페이지의 데이터에는 유출 안내 공지의 마지막 수정 시각이 2026년 10월 30일 오후 1시 55분으로 기록돼 있고(화면에는 표시되지 않습니다), 이 글이 읽은 것은 그 판입니다. 처음 게시된 판의 문장은 받지 못해 무엇이 바뀌었는지는 확인하지 못했습니다.
내 정보가 포함됐는지 확인하는 두 경로
공지가 안내한 확인 방법은 두 가지입니다. 하나는 고객이 직접 조회하는 방법이고, 다른 하나는 빗썸이 대상자에게 먼저 연락하는 방법입니다.
| 경로 | 공지에 적힌 문장 | 이 글이 확인한 범위 |
|---|---|---|
| 직접 조회 | 「모든 고객님들께서는, 하단의 링크를 클릭하셔서 본인의 개인정보 유출 여부를 확인 가능」 + 「개인정보 유출 조회하기」 링크 | 링크는 빗썸 누리집의 「개인정보 유출 내역 조회」 페이지(로그인 없이 열림)로 연결됩니다. 페이지는 「본인인증을 통해 개인정보 유출 여부와 확인된 항목을 조회할 수 있습니다」라고 적었고, 개인(신용)정보 수집·이용 동의(필수)에 체크해야 조회 버튼이 눌립니다. 이 글은 본인인증 뒤의 결과 화면은 보지 못했습니다. |
| 개별 안내 | 1절: 「문자를 통해서, 유출 항목과 예방 및 구제 방법을 개별 안내 예정」 / 2절: 「문자·이메일 등을 통해 개별적으로 신속히 안내하고 있습니다」 | 개인에게 실제로 간 문자나 이메일의 문장은 받지 못했습니다. |
공지는 「개인별 유출 여부 및 확인된 유출 항목은 별도 안내 또는 개인정보 유출 조회 서비스를 통해 확인하실 수 있습니다」라고도 적었습니다. 즉 전체 공지에 나열된 16가지는 사고 전체에서 나온 항목의 합이고, 내 정보 가운데 무엇이 나갔는지는 조회 결과나 개별 안내에서 따로 확인하라는 구조입니다. 같은 공지 안에서 1절은 문자로 안내할 「예정」이라고 적었고, 2절의 상세 대응 조치는 문자·이메일 등으로 안내하고 「있습니다」라고 적어 표현이 다릅니다. 두 문장 모두 수정된 판에 함께 남아 있습니다.
조회 링크가 어디로 가는지는 공지 본문에서 확인하는 편이 안전합니다. 공지의 당부사항은 「의심스러운 링크 접속 유도」에 응하지 말라고 적었기 때문에, 문자나 메신저로 받은 링크보다 빗썸 공식 앱이나 누리집의 공지 게시판에서 해당 공지를 직접 여는 쪽이 공지의 안내와 맞습니다.
공지에 적힌 유출 항목 16가지
공지 1절은 「이번 사고로 유출된 것으로 확인된 개인정보 항목」을 한 문장으로 나열했습니다. 이 글은 성격이 비슷한 것끼리 묶어 표로 옮겼고, 항목 이름은 공지에 적힌 그대로 두었습니다.
| 묶음(이 글의 분류) | 공지에 적힌 항목 |
|---|---|
| 회원·연락 정보 | 회원번호, 성명, 휴대전화번호, 이메일주소 |
| 인적 사항 | 생년월일, 성별, 국적, 거주지 |
| 신분증 번호 | 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호 |
| 신분증 이미지 | 신분증 사본 |
| 금융·거래 정보 | 계좌번호, 거래내역, 지갑주소 |
항목 수를 세면 16개입니다. 공지는 항목별로 몇 명의 정보가 나갔는지, 신분증 사본이 유출된 사람이 몇 명인지는 적지 않았습니다. 신분증 사본과 관련해서는 따로 한 문장이 있습니다. 공지는 「신분증 사본이 유출된 고객님들께는, 신분증 재발급·분실 신고/ 명의도용 방지 서비스/ 금융계좌 모니터링 등 필요한 예방 조치를 별도로 안내해 드리겠습니다」라고 적었습니다.
거래내역과 지갑주소가 목록에 들어 있다는 점도 눈여겨볼 대목입니다. 공지는 이 두 항목이 어떤 범위의 거래내역인지, 입금 주소인지 출금 주소인지 같은 세부를 적지 않았습니다. 이 글도 그 범위를 짐작해 적지 않습니다.
6,444명, 5,600명, 844명, 715명을 읽는 법
공지의 규모 문장은 「총 6,444명(이 중 5,600명의 개인정보는 암호화 된 상태로 내용 확인 불가능, 나머지 844명은 개인정보 유출)」입니다. 숫자를 더해 보면 5,600명과 844명의 합이 6,444명으로 맞습니다.
| 구분 | 인원 | 공지의 표현 |
|---|---|---|
| 고객 전체 | 6,444명 | 「총 6,444명」 |
| 그중 암호화된 정보 | 5,600명 | 「암호화 된 상태로 내용 확인 불가능」 |
| 그중 나머지 | 844명 | 「개인정보 유출」 |
| 임직원 등(별도) | 715명 | 「추가로, 715명의 임직원 개인정보 유출」 |
| 임직원 등 내역 | 646명 + 69명 | 「임직원 646명, 협력사 등 외부 인력 69명」 |
읽을 때 주의할 점이 하나 있습니다. 5,600명은 「총 6,444명」 안에 들어 있는 숫자입니다. 공지는 이 5,600명을 유출 규모에서 빼지 않았고, 암호화된 상태라 내용 확인이 불가능하다는 설명을 붙였을 뿐입니다. 따라서 「5,600명은 유출되지 않았다」고 읽는 것은 공지의 문장보다 넓은 해석입니다. 암호화가 어떤 방식인지, 암호를 푸는 열쇠도 함께 나갔는지는 공지에 서술이 없습니다.
고객 6,444명과 임직원 등 715명을 더하면 7,159명이 되지만, 이 합계는 이 글이 계산한 것이고 공지는 7,159라는 숫자를 쓰지 않았습니다. 공지는 처음에는 임직원 정보 유출을 확인했고, 「추가 조사 과정에서 일부 고객님들의 개인정보도 포함된 것으로 확인」했다고 순서를 적었습니다. 또 「추가 조사 결과로 확인된 사항도 관계기관에 보완 신고를 진행할 예정」이라고 적어 숫자가 바뀔 여지를 남겼습니다. 2026년 11월 2일 낮 12시 52분 기준 빗썸 공지 목록에는 이 숫자를 고친 후속 공지가 없었습니다.
사고 경위와 시간표
공지가 밝힌 시각을 순서대로 옮기면 다음과 같습니다. 사고 시각은 공지에 적힌 대로이고, 게시·수정 시각은 빗썸 공지 페이지에 기록된 값이며, 모두 한국 시각입니다.
| 일시 | 공지에 적힌 내용 |
|---|---|
| 2026-10-27 오전 11시 28분부터 오후 12시 27분까지 | 외부 비인가자가 사내 모바일 그룹웨어에 접근해 저장된 개인정보와 파일을 무단 반출 |
| 2026-10-27 오후 12시 14분 | 비정상 접근 인지, 접근 경로 차단과 다우오피스 사용 중단 등 긴급 조치 착수 |
| 2026-10-27 오후 11시 39분 | 한국인터넷진흥원에 사고신고 완료 |
| 2026-10-28 오전 0시 48분 | 개인정보보호위원회에 사고신고 완료 |
| 2026-10-29 오후 5시 49분 | 유출 안내 공지 게시 |
| 2026-10-29 오후 5시 54분 | 대표이사 명의 사과문 게시 |
| 2026-10-30 오후 1시 55분 | 유출 안내 공지 수정 |
문제가 된 시스템은 빗썸이 「사내 모바일 그룹웨어시스템인 다우오피스」라고 이름을 밝힌 내부 업무용 시스템입니다. 접근이 이어진 시간은 공지에 적힌 시각으로 따지면 약 1시간입니다. 공지에 적힌 인지 시각(오후 12시 14분)은 접근이 끝난 시각(오후 12시 27분)보다 13분 앞섭니다. 그 13분 사이에 무슨 일이 있었는지는 공지에 서술이 없고, 이 글도 해석하지 않습니다.
원인에 대해 공지는 「구체적인 사고 원인은 계속 조사 중」이라고 적었습니다. 대응 조치로는 외부 공격자 IP 차단, 「사고 원인이 된 취약점을 1차 조치 완료」, 외부에 공개된 전체 서비스 대상 보안 전수 점검 진행, 사고대응 TF 구성과 서비스 개발사와의 보안 점검을 들었습니다. 사과문은 여기에 외부 전문기관의 점검과 내부 통제 강화를 더해 적었습니다. 어떤 취약점이었는지, 공격자가 누구인지는 두 문서 모두 적지 않았습니다.
거래소 계정과 자산에 대해 공지가 한 말
공지는 굵은 글씨로 「해당 시스템은 고객님의 거래소 계정 및 보유 자산 정보와 분리된 내부 업무시스템으로, 거래소 서비스시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았습니다」라고 적었습니다. 이 문장은 빗썸의 설명이며, 이 글은 거래소 시스템이 안전한지 여부를 확인할 방법이 없습니다. 같은 공지가 원인을 계속 조사 중이라고 적은 점도 함께 읽어야 합니다.
공지는 자산 보호를 위해 「이상 거래 및 출금에 대한 모니터링을 실시간으로 강화」하고 있고, 「비정상 로그인과 의심 출금을 24시간 집중 감시하고, 중요 거래 시 추가 본인확인 절차를 필수로 적용」하고 있다고 적었습니다.
공지는 이번 일을 내부 업무시스템 다우오피스에서 개인정보와 파일이 반출된 사고로 설명했고, 거래소 서비스시스템이나 고객 데이터베이스가 직접 침해된 정황은 확인되지 않았으며 구체적인 사고 원인은 계속 조사 중이라고 적었습니다. 이 글은 그 이상으로 계정이나 자산의 안전 여부를 판단하지 않습니다. 거래소 자산이 해킹으로 빠져나간 경우의 보상 기준은 다른 규정이 다루며, 그 내용은 코인 거래소 해킹 보상 기준 글에 따로 정리했습니다. 두 주제는 근거 규정이 달라 이 글에서는 섞지 않습니다.
공지가 당부한 2차 피해 예방
공지는 유출된 정보가 「명의도용, 보이스피싱, 빗썸 직원 사칭 등 금융사기에 악용될 가능성」이 있다고 적고, 다음 요청에는 응하지 말라고 했습니다.
- 비밀번호, 인증번호, OTP 등 보안정보 제공 요청
- OTP 해제·재설정, 출처가 불분명한 앱 설치 또는 원격제어 요청
- 자산 이체, 출금 주소 변경 또는 의심스러운 링크 접속 유도
공지는 굵은 글씨로 「빗썸은 전화/ 문자/ 메신저를 통해 비밀번호나 인증번호를 요구하거나, 링크를 통한 인증정보 입력을 유도하지 않습니다」라고 적었습니다. 의심스러운 연락을 받으면 응답을 멈추고 빗썸 공식 앱이나 누리집에 안내된 고객센터로 확인하고, 금전 피해가 우려되면 경찰(112)에 신고하라고 했습니다. 거래지원(상장)을 빙자한 사칭은 빗썸의 공식 제보 채널로 신고하라고 적었습니다. 마지막으로 2단계 인증 등 보안 설정을 점검하라고 당부했습니다. 거래소 계정에서 점검할 보안 설정 항목은 코인 거래소 계정 보안 설정 글에, 빗썸에서 계정을 직접 잠그는 기능의 범위는 업비트와 빗썸 계정 잠금 기능을 비교한 글에 정리해 두었습니다.
피해 신고와 상담 창구
공지 3절·4절과 사과문에 적힌 창구를 모으면 다음과 같습니다.
| 창구 | 번호 | 공지에 적힌 용도 |
|---|---|---|
| 빗썸 고객센터 | 1661-5566 | 이번 사고의 피해 신고 및 관련 문의, 사과문은 「피해 상담 전담 창구」로 표기 |
| 개인정보침해신고센터 | 국번 없이 118 | 피해 신고 및 문의 채널 |
| 개인정보분쟁조정위원회 | 1833-6972 | 피해 신고 및 문의 채널 |
| 경찰 | 112 | 금전 피해가 우려되는 경우 |
보상에 대해 공지는 굵은 글씨로 「빗썸은 이번 개인정보 유출 사고로 확인되는 모든 피해에 대해 책임을 지고, 피해를 입은 고객님들께 필요한 모든 지원과 보상 절차를 진행하도록 하겠습니다」라고 적었습니다. 이어 「관련 법령과 피해 내용에 따라 적절한 구제와 보상」이 이루어지도록 하겠다고 했고, 전담 지원 창구가 피해 접수부터 금융·법률 상담, 피해 구제와 보상 심사까지 일괄 지원한다고 적었습니다. 보상 금액, 지급 기준, 신청 기한은 두 문서 어디에도 적혀 있지 않습니다. 이 글은 보상이 있을지, 얼마가 될지 추정하지 않습니다.
개인정보 보호법이 정한 통지 항목과 공지 대조
공지는 「개인정보 유출로 손해가 발생한 경우 「개인정보 보호법」에 따른 손해배상 청구 및 분쟁조정 신청도 가능합니다」라고 적었습니다. 그 법이 유출 때 무엇을 알리라고 정했는지 현행 조문을 열어 봤습니다. 2026년 11월 2일 낮 12시 54분 국가법령정보센터에서 받은 개인정보 보호법은 2026년 9월 11일 시행 판(법률 제21445호)입니다. 제34조 제1항은 개인정보처리자가 유출을 알게 되었을 때 「지체 없이 해당 정보주체에게」 일곱 가지를 알려야 한다고 정했습니다. 이 개정 조항은 부칙 제2조에 따라 시행일 이후 유출을 알게 된 경우부터 적용되고, 이번 사고의 인지일인 2026년 10월 27일은 시행일 이후입니다.
| 제34조 제1항 | 조문이 정한 통지 사항(요지) | 공지에서 대응하는 문장 |
|---|---|---|
| 1호 | 유출된 개인정보의 항목 | 1절 유출 항목 16가지, 「정보주체별로 다를 수 있습니다」 |
| 2호 | 유출된 시점과 그 경위 | 2절 10월 27일 오전 11시 28분부터 오후 12시 27분까지의 접근·반출 |
| 3호 | 피해를 줄이기 위해 정보주체가 할 수 있는 방법 | 3절 당부사항, 2단계 인증 점검, 112 신고 |
| 4호 | 처리자의 대응조치 및 피해 구제절차 | 2절 상세 대응 조치, 4절 보상 안내(구체 기준은 서술 없음) |
| 5호 | 신고를 접수할 담당부서와 연락처 | 빗썸 고객센터 1661-5566 |
| 6호 | 손해배상, 법정손해배상 청구, 분쟁조정 등 법적 권리와 행사 방법 | 4절 「손해배상 청구 및 분쟁조정 신청도 가능」, 118과 1833-6972 |
| 7호 | 그 밖에 대통령령으로 정하는 사항 | 시행령을 읽지 않아 대조하지 않았습니다 |
이 표는 공지 문장을 조문 항목 옆에 놓아 본 것이고, 빗썸이 법이 요구한 통지를 모두 했는지 판단한 것이 아닙니다. 개인에게 간 문자나 이메일에는 전체 공지보다 자세한 내용이 있을 수 있지만, 이 글은 그 문장을 보지 못했습니다. 법정손해배상이라는 말은 공지에 나오지 않습니다.
6호가 가리키는 조문도 원문으로 확인했습니다. 제39조 제1항은 처리자가 이 법을 위반한 행위로 손해를 입으면 손해배상을 청구할 수 있고, 처리자는 「고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다」고 정했습니다. 제39조의2 제1항은 처리자의 고의 또는 과실로 개인정보가 유출된 경우 「300만원 이하의 범위에서 상당한 금액을 손해액으로 하여」 배상을 청구할 수 있다고 정했고, 제2항은 그 금액을 법원이 정한다고 적었습니다. 이 조문들은 청구할 수 있는 권리를 정한 것입니다. 이번 사고에 법 위반이나 고의·과실이 있었는지는 이 글이 판단할 수 없습니다.
분쟁조정은 제43조에 있습니다. 분쟁 조정을 원하는 사람은 분쟁조정위원회에 신청할 수 있고, 처리자는 조정 통지를 받으면 「특별한 사유가 없으면 분쟁조정에 응하여야 한다」고 정했습니다. 제44조 제1항은 위원회가 신청을 받은 날부터 60일 이내에 조정안을 작성해야 하고, 부득이한 경우 의결로 기간을 연장할 수 있다고 정했습니다. 공지에 적힌 1833-6972는 법령 화면 상단의 담당 부서 안내에도 개인정보보호위원회 분쟁조정과(분쟁조정, 손해배상책임) 번호로 적혀 있었습니다. 118은 제62조가 정한 개인정보침해 신고센터의 번호로 공지에 적혀 있습니다.
기관 발표와 후속 공지를 확인한 범위
2026년 11월 2일 낮 12시 52분에 받은 빗썸 공지 목록에서 상단 고정 공지를 뺀 가장 최근 글은 2026년 10월 31일 오전 7시 30분의 거래유의종목 지정 공지였습니다. 10월 29일의 유출 안내와 사과문 뒤로 목록 1쪽부터 3쪽(10월 9일 글까지)의 제목에서 보상이나 인원 갱신, 조회 결과 같은 후속 안내로 보이는 글은 찾지 못했습니다. 10월 30일에 올라온 「개인정보처리방침 개정 안내」는 본문을 열어 보니 처리방침 개정 공지였고, 「유출」이라는 단어는 한 번도 나오지 않았습니다.
빗썸 도움말에서 「유출」「개인정보 유출」「유출 조회」「다우오피스」를 검색했을 때 상위 결과는 원격제어 앱 탐지, 사칭 사례, 도용 안내 같은 기존 문서였고 이번 사고를 다룬 전용 도움말은 찾지 못했습니다. 「다우오피스」 검색 결과는 0건이었습니다.
개인정보보호위원회 보도자료 게시판을 같은 날 낮 12시 52분에 최신순으로 받았을 때, 1쪽 10건(번호 1336부터 1327, 2026년 10월 29일부터 10월 7일)과 2쪽 10건(1326부터 1317) 제목에 「빗썸」은 없었습니다. 같은 위원회 공지사항 게시판의 최신 글(10월 23일)까지도 제목에 「빗썸」은 없었습니다. 한국인터넷진흥원 보도자료 게시판을 낮 12시 53분에 받았을 때도 최신 10건(2026년 10월 27일 글까지) 제목에 「빗썸」은 없었습니다. 이 확인은 해당 게시판의 제목과 조회 시각에 한정되며, 기관이 이 사고를 조사하고 있는지 여부를 말해 주지는 않습니다.
이 글이 확인하지 않은 것
- 「개인정보 유출 내역 조회」 페이지에서 본인인증을 마친 뒤 나오는 결과 화면은 확인하지 못했습니다. 페이지 문구는 유출 여부와 확인된 항목을 보여 준다고만 적었습니다.
- 개인에게 간 문자나 이메일 안내의 실제 문장은 받지 못했습니다.
- 유출 안내 공지의 처음 게시된 판(2026년 10월 29일 오후 5시 49분)은 받지 못해, 2026년 10월 30일 수정에서 무엇이 바뀌었는지 모릅니다.
- 항목별 인원, 신분증 사본이 유출된 인원, 고객 6,444명이 어떤 기준으로 묶였는지는 공지에 없어 적지 않았습니다.
- 개인정보 보호법 시행령은 읽지 않았습니다. 제34조 제1항 제7호의 대조는 하지 않았습니다.
- 사고 원인, 법 위반 여부, 보상 여부와 금액, 기관 처분은 추정하지 않습니다.
정리
빗썸 개인정보 유출에 내 정보가 포함됐는지는 2026년 10월 29일 빗썸 공지 안의 「개인정보 유출 조회하기」 링크로 확인할 수 있고, 유출이 확인된 고객에게는 문자 등으로 개별 안내가 간다고 공지에 적혀 있습니다. 공지가 밝힌 항목은 회원번호, 성명, 휴대전화번호, 이메일주소, 생년월일, 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호, 계좌번호, 거주지, 성별, 국적, 신분증 사본, 거래내역, 지갑주소의 16가지이고, 사람마다 유출 항목은 다를 수 있습니다. 규모는 고객 6,444명(이 중 5,600명은 암호화돼 내용 확인 불가능, 844명은 유출)과 임직원 등 715명입니다. 사고는 2026년 10월 27일 오전 11시 28분부터 오후 12시 27분까지 사내 그룹웨어 다우오피스에서 일어났고, 원인은 조사 중입니다. 거래소 계정과 자산에 대해 빗썸은 직접 침해된 정황이 확인되지 않았다고 설명했지만, 이는 빗썸의 설명입니다. 피해 신고는 빗썸 고객센터 1661-5566, 개인정보침해신고센터 118, 개인정보분쟁조정위원회 1833-6972로 할 수 있다고 공지에 적혀 있습니다.
숫자와 안내는 추가 조사에 따라 바뀔 수 있으므로, 최신 내용은 빗썸 공식 앱이나 누리집 공지 게시판에서 직접 확인하셔야 합니다. 이 글은 어떤 거래소도 이용 대상으로 권하거나 피하라고 권하지 않습니다. 정보 제공 목적이며 매매 권유가 아닙니다. 가상자산은 변동성이 크고 원금 손실이 발생할 수 있습니다.