코인 거래소 고객센터에 채팅이나 전화로 문의해 보신 적 있으세요? “출금이 안 돼요”, “본인 인증이 막혔어요” 같은 문의를 하다 보면, 상담원이 확인용으로 이름이나 생년월일, 때로는 계좌번호까지 물어보곤 하죠. 그런데 이번 주, 바로 그 상담 내용이 저장된 서버가 해킹을 당했다는 소식이 나왔습니다.
가상자산 거래소 코인원은 11월 15일 오전 8시 공지를 내고, 고객 상담 업무를 맡긴 위탁업체 (주)메타엠의 서버에 외부 공격자가 무단으로 들어와 상담 과정에서 고객이 직접 남긴 정보가 유출됐다고 밝혔습니다. 유출 가능 항목에는 이름·전화번호뿐 아니라 주민등록번호, 계좌번호, 비밀번호, 자택주소, 지갑주소까지 들어 있어 걱정하시는 분이 많아요.
다만 오해하기 쉬운 부분이 있습니다. 이번에 뚫린 곳은 코인원 거래소 자체가 아니라 상담 위탁사이고, 코인원은 회원 계정·거래·지갑 시스템에 직접 침입한 정황은 아직 확인되지 않았다고 설명했어요. 오늘은 ① 무슨 일이 있었는지, ② 왜 ‘상담 기록’ 유출이 특히 위험한지, ③ “남의 회사가 뚫렸는데 왜 내 정보가?”라는 위탁 구조, ④ 내가 해당되는지와 오늘 할 일까지 차근차근 풀어 드릴게요.
한눈에 보는 요약
| 항목 | 내용 |
|---|---|
| 무슨 일? | 코인원 고객상담을 맡은 위탁사 메타엠 서버에 외부 공격자가 침입, 저장된 상담 정보 조회·유출 |
| 언제? | 11월 12일 오전 4시경 침입(코인원 공지 기준) → 같은 날 오전 9시 20분 코인원 인지 → 11월 15일 오전 8시 고객 공지 |
| 누가 해당? | 코인원 고객센터(채팅·전화) 상담 이력이 있는 고객. 상담 이력이 없으면 이번 유출과 무관 |
| 무엇이? | 상담 중 고객이 남긴 정보: 전화번호, 이름, 이메일, 생년월일, 계좌번호, 비밀번호, 주민등록번호, 신분증 발급일자, 자택주소, 지갑주소, TXID |
| 거래소 본체는? | 회원 계정·거래·지갑 시스템은 위탁사 서버와 분리 운영, 직접 침입 정황은 현재까지 없음(코인원 설명) |
| 회사 조치 | 공격 IP·고객센터 접근 차단, 이상 접속·거래 모니터링 강화, 위탁 고객센터를 이메일 상담으로 전환 |
| 신고 | 한국인터넷진흥원(KISA), 개인정보보호위원회, 금융감독원에 신고·조사 협조 |
| 내가 할 일 | 상담 때 비밀번호를 말했다면 즉시 변경, 출금 주소록 점검, 코인원 사칭 연락 무시 |
1. 등장인물 정리: 코인원, 메타엠은 어떤 관계?
먼저 관계부터 정리해 볼게요. 많은 기업이 고객센터를 직접 운영하지 않고, 상담을 전문으로 하는 회사에 맡깁니다. 이걸 ‘업무 위탁’이라고 하고, 맡기는 쪽을 위탁사, 맡아서 처리하는 쪽을 수탁사라고 불러요. 이번 사고에서 코인원은 위탁사, 메타엠은 수탁사입니다.
비유하자면, 큰 식당(코인원)이 전화 예약 접수만 콜센터 업체(메타엠)에 맡긴 셈이에요. 식당 금고(거래·지갑 시스템)는 멀쩡한데, 콜센터 업체의 예약 메모장이 털린 상황이죠. 문제는 그 메모장에 손님들이 불러 준 개인정보가 꽤 자세히 적혀 있었다는 점입니다.
| 구분 | 코인원 | 메타엠 |
|---|---|---|
| 역할 | 가상자산 거래소 (위탁사) | 고객상담 업무 수행 (수탁사) |
| 가진 시스템 | 회원 계정, 거래, 가상자산 지갑 | 상담 채팅·통화 기록을 담은 상담 시스템 |
| 이번 사고에서 | 직접 침입 정황 없음(현재까지) | 서버 무단 침입, 상담 정보 조회·반출 |
| 공지 | 11월 15일 08:00 고객 공지 | 11월 14일 홈페이지 안내문 게시 |
| 법적 책임 | 위탁사로서 관리·감독 책임, 손해배상 창구 | 수탁사로서 안전조치 의무 |
2. 사고는 어떻게 흘러갔나: 타임라인
코인원과 메타엠이 각각 낸 안내를 시간순으로 맞춰 보면 다음과 같습니다. 두 회사가 밝힌 시각이 조금씩 달라서, 출처를 함께 적어 둘게요.
| 시각 (한국시간) | 일어난 일 | 출처 |
|---|---|---|
| 11월 12일 04:00경 | 외부 공격자가 메타엠 서버에 불법 접근, 상담 정보 조회·유출 | 코인원 공지 |
| 11월 12일 06:03 | 고객상담 서비스 장애를 계기로 이상 징후 인지 | 메타엠 안내문 |
| 11월 12일 09:20경 | 메타엠이 코인원에 사고 사실 보고 | 코인원 공지 |
| 11월 13일 03:44 | 메타엠, 한국인터넷진흥원(KISA)에 신고 | 메타엠 안내문 |
| 11월 14일 | 메타엠 홈페이지에 ‘개인정보 유출 및 유출 가능성 안내’ 게시 | 메타엠 |
| 11월 15일 08:00 | 코인원 ‘개인정보 유출 사실 관련 안내’ 공지 | 코인원 공지 #5950 |
침입부터 거래소 고객 공지까지 약 3일이 걸린 셈이에요. 정확한 최초 침입 시점과 경로는 아직 조사 중이라, 앞으로 숫자가 바뀔 수 있다는 점은 기억해 두세요.
3. 무엇이 샜나: 유출 가능 항목 하나씩 보기
코인원이 밝힌 항목은 “이번 사고로 유출 가능성이 있는 정보를 모두 적은 것”이에요. 상담마다 남긴 정보가 다르니, 실제로 내 정보 중 무엇이 샜는지는 사람마다 다릅니다. 코인원은 개인별 항목을 따로 안내하거나 유출 조회 서비스를 준비하겠다고 했어요.
| 항목 | 왜 위험할까? | 위험도 |
|---|---|---|
| 이름·전화번호·이메일 | 사칭 문자·전화·피싱 메일의 ‘타깃 명단’이 됨 | 중 |
| 생년월일·자택주소 | 본인인 척 다른 곳에 문의하거나, 신뢰를 얻는 미끼로 쓰임 | 중 |
| 주민등록번호·신분증 발급일자 | 신분증 진위 확인 등에 쓰이는 정보라 명의도용 시도에 악용될 수 있음 | 높음 |
| 계좌번호 | “환불해 드릴게요” 같은 금융 사기 시나리오에 활용 | 중~높음 |
| 비밀번호 | 상담 중 말하거나 입력했다면, 같은 비밀번호를 쓰는 다른 사이트까지 위험 | 매우 높음 |
| 지갑주소·TXID | 블록체인에서 내 거래 내역·보유 자산을 추적하는 단서가 될 수 있음 | 중 |
4. 왜 ‘상담 기록’ 유출이 유독 무서울까?
회원 DB 유출은 보통 “이름·전화번호·이메일”처럼 정해진 칸만 새는 경우가 많아요. 그런데 상담 기록은 다릅니다. 고객이 문제를 빨리 해결하고 싶은 마음에 평소라면 절대 안 적을 정보까지 자유롭게 말하거나 적기 때문이죠.
예를 들어 이런 채팅을 떠올려 보세요. “안녕하세요, 홍길동이고요, 생년월일은 ○○○○이에요. 비밀번호를 ○○○○로 바꿨는데 로그인이 안 돼요. 출금 계좌는 ○○은행 ○○○○입니다.” 한 줄 한 줄은 평범한 문의지만, 모아 놓으면 사기꾼에게 완벽한 ‘대본’이 됩니다. 게다가 대화 맥락(무슨 문제로 문의했는지)까지 알면, “지난번 출금 오류 건으로 연락드렸습니다”처럼 진짜 같은 전화를 걸 수 있어요.
| 비교 | 일반 회원정보 유출 | 상담 기록 유출 |
|---|---|---|
| 저장 형태 | 정해진 칸(이름, 연락처 등) | 자유롭게 쓴 대화 문장 + 통화 기록 |
| 담긴 정보 | 회사가 정한 항목만 | 고객이 말한 모든 것(비밀번호·계좌 포함 가능) |
| 비밀번호 | 보통 암호화(해시)되어 저장 | 대화 속에 ‘글자 그대로’ 남을 수 있음 |
| 사기 활용도 | 대량 스팸·스미싱 | 상황을 아는 맞춤형 보이스피싱 |
| 피해 범위 예측 | 항목이 일정해 비교적 쉬움 | 사람마다 달라 개별 확인 필요 |
그래서 보안 업계에서는 오래전부터 “상담 채널에서 비밀번호·OTP를 받지 말고, 받더라도 자동으로 가리거나(마스킹) 지워야 한다”고 강조해 왔어요. 이번 사고는 그 원칙이 왜 중요한지를 다시 보여 줍니다.
5. “남의 회사가 뚫렸는데 왜 내 정보가?” 위탁 구조의 함정
이번 사고의 핵심 키워드는 공급망(협력사) 보안입니다. 거래소가 아무리 금고를 단단히 지켜도, 고객 정보를 다루는 협력사 한 곳이 약하면 그쪽으로 정보가 샐 수 있어요. 메타엠은 여러 기업의 상담을 대행하는 회사라, 메타엠 측도 “고객사와 정보 주체에 따라 유출 여부와 범위가 다르다”고 밝히며 추가 유출 범위를 조사 중입니다.
최근 국내에서는 이런 ‘협력사발’ 사고가 잇따르고 있어요. 연합뉴스는 11월 15일 기사에서 상담 외주기업, 업무용 협업 플랫폼, 기업용 소프트웨어 업체처럼 피해가 다른 곳으로 번질 수 있는 곳으로 공격 대상이 넓어지고 있다고 짚었습니다.
| 위탁 구조의 약점 | 쉽게 말하면 | 기업이 해야 할 일 |
|---|---|---|
| 데이터가 여러 곳에 흩어짐 | 내 정보 사본이 거래소 밖에도 있음 | 수탁사에 꼭 필요한 정보만 넘기기 |
| 보안 수준 차이 | 본사보다 협력사가 약할 수 있음 | 정기 보안 점검·계약에 보안 조항 명시 |
| 오래된 기록 누적 | 몇 년 전 상담 기록까지 남아 있음 | 보관 기간 지나면 자동 파기 |
| 자유 입력 칸 | 고객이 비밀번호를 그냥 적어 버림 | 민감정보 자동 마스킹·경고 문구 |
| 한 곳이 여러 고객사 담당 | 한 번 뚫리면 여러 회사 고객 피해 | 고객사별 망·계정 분리 |
참고로 메타엠은 확인된 공격자 IP 차단, 침해 서버 격리·복구, 개발 서버망 분리, 일부 고객사 연결 구간 접근 제한, 서버·네트워크 장비 관리자 비밀번호 변경 등을 했다고 안내했어요.
6. 그럼 내 코인은 안전할까?
가장 궁금하신 부분이죠. 코인원 설명을 정리하면 이렇습니다. 코인원은 모든 로그인에 2차 인증을 적용하고 있어서, 비밀번호가 맞아도 등록한 OTP 또는 본인 명의 휴대폰의 카카오톡 인증을 통과해야 로그인이 완료되고, 정상 앱이 아닌 곳에서 들어온 로그인 요청은 자동 차단된다고 해요. 그래서 “현재 유출된 일부 정보만으로는 제3자가 계정에 로그인하거나 자산을 출금할 수 없다”는 입장입니다.
| 공격자가 가진 것 | 바로 할 수 있는 것 | 막는 장치 |
|---|---|---|
| 비밀번호만 | 로그인 시도 | 2차 인증(OTP·카카오톡)에서 차단 |
| 전화번호 + 상담 내용 | 코인원 사칭 전화·문자 | “거래소는 인증번호를 묻지 않는다” 원칙 지키기 |
| 이메일 | 가짜 로그인 페이지 피싱 메일 | 메일 속 링크 대신 앱·공식 주소로 직접 접속 |
| 지갑주소 | 거래 추적, “보안 점검” 핑계 접근 | 출금 주소록 점검, 모르는 주소 삭제 |
즉 기술적으로 바로 털리는 것보다, 사람을 속이는 2차 피해가 더 현실적인 위험이에요. 2차 인증이 아무리 튼튼해도, 내가 사기꾼에게 OTP 번호를 불러 주면 소용이 없으니까요.
7. 이런 연락은 100% 의심하세요: 사칭 시나리오
코인원은 “어떠한 경우에도 전화, 문자, 이메일로 비밀번호, OTP 번호, 인증번호를 묻거나, 가상자산 출금이나 지갑 주소 변경을 요청하지 않는다”고 못 박았어요. 아래 같은 연락이 오면 대꾸하지 말고 끊으세요.
| 사칭 멘트 예시 | 노리는 것 | 올바른 대응 |
|---|---|---|
| “코인원 보안팀입니다. 유출 피해 확인을 위해 인증번호를 불러 주세요.” | 2차 인증 우회 | 즉시 종료. 인증번호는 누구에게도 알려 주지 않기 |
| “지난번 출금 오류 상담 건으로 연락드렸어요.” | 상담 내용으로 신뢰 얻기 | 상담 내용을 알아도 사칭일 수 있음. 앱에서 직접 확인 |
| “해킹 피해 보상금 지급 신청” 링크 문자 | 가짜 사이트 로그인·악성 앱 설치 | 링크 열지 말고 공식 공지만 확인 |
| “안전한 지갑으로 자산을 옮겨야 합니다.” | 코인 직접 탈취 | ‘안전 계좌·안전 지갑’은 전형적 사기 표현 |
| “주소록에 보안 지갑 주소를 등록하세요.” | 출금 주소 바꿔치기 | 출금 주소록에 모르는 주소가 있으면 삭제 |
8. 내가 해당되는지 30초 자가 진단
| 질문 | “예”라면 |
|---|---|
| 코인원 고객센터에 채팅·전화 상담을 한 적이 있다 | 유출 대상일 수 있음. 개별 안내·조회 서비스 확인 |
| 상담 중 비밀번호를 말하거나 입력한 적이 있다 | 지금 바로 코인원 비밀번호 변경 |
| 그 비밀번호를 다른 사이트에서도 쓴다 | 그 사이트들 비밀번호도 모두 변경 |
| 상담 중 주민번호·신분증 정보를 알려 준 적이 있다 | 명의도용 대비: 명의도용 방지 서비스 등 활용 검토 |
| 코인원 상담 이력이 전혀 없다 | 이번 유출과 무관(코인원 공지 기준). 그래도 사칭 문자는 조심 |
9. 오늘 할 일 5가지
| 순서 | 할 일 | 어떻게? |
|---|---|---|
| 1 | 상담 이력·통지 확인 | 코인원 공지·개별 안내 확인, 개인별 유출 항목 조회 서비스가 열리면 확인 |
| 2 | 비밀번호 변경 | 앱: 더보기 > 정보/보안 > 비밀번호 변경 / 웹: 마이페이지 > 개인정보 관리 > 비밀번호 변경하기. 같은 비밀번호 쓰는 다른 사이트도 함께 |
| 3 | 출금 주소록 점검 | 앱: 입출금 > 주소록 관리 / 웹: 입출금 > 출금 주소록. 모르는 주소가 있으면 삭제 |
| 4 | 사칭 연락 무시 | 비밀번호·OTP·인증번호·출금·지갑 주소 변경 요구는 전부 사기로 간주 |
| 5 | 이상하면 바로 잠그고 신고 | 계정 잠금(앱: 더보기 > 정보/보안 > 계정 잠금), 개인정보침해 신고센터 118, 금융감독원 1332 |
본인이 하지 않은 로그인·주문·출금 시도가 보이면 즉시 계정을 잠그고 코인원 서비스운영팀에 알리세요. 당장 쓰지 않는 계정이라면 계정 잠금을 걸어 두는 것도 마음 편한 방법이에요.
10. 피해를 입었다면: 알아 두면 좋은 권리
코인원 공지에는 피해 구제 절차도 적혀 있어요. 어려운 법률 용어를 쉽게 풀면 다음과 같습니다.
| 방법 | 쉽게 말하면 | 근거 |
|---|---|---|
| 손해배상 청구 | 실제 손해를 입었다면 회사에 배상 요구. 회사 잘못을 내가 증명할 필요 없음(회사가 증명). 고의·중과실이면 손해액의 최대 5배 | 개인정보 보호법 제39조, 신용정보법 제43조 |
| 법정손해배상 청구 | 손해액을 증명하기 어려울 때 300만 원 이하 범위에서 청구 | 개인정보 보호법 제39조의2, 신용정보법 제43조의2 |
| 분쟁조정 신청 | 소송 대신 조정으로 해결 시도 | 개인정보 분쟁조정위원회 1833-6972 |
| 침해 신고·상담 | 악용 의심 연락 신고, 상담 | 개인정보침해 신고센터 118 |
| 금융 피해 상담 | 금융 사기·피해 관련 상담 | 금융감독원 1332 |
11. 이번 사고가 우리에게 남긴 교훈
이번 일은 코인원 고객만의 이야기가 아니에요. 우리가 쓰는 거의 모든 서비스의 고객센터가 비슷한 구조로 돌아가니까요. 앞으로 어떤 고객센터를 이용하든 아래 세 가지만 기억해 두시면 좋겠습니다.
| 습관 | 이유 |
|---|---|
| 상담 때 비밀번호·OTP·인증번호는 절대 말하지 않기 | 정상적인 상담원은 이걸 묻지 않아요. 기록으로 남으면 유출 시 그대로 노출 |
| 주민번호·계좌번호는 꼭 필요할 때만, 공식 앱 화면에서 | 채팅창에 적은 정보는 ‘대화 기록’으로 오래 남을 수 있음 |
| 사이트마다 다른 비밀번호 + 2단계 인증 | 한 곳이 새도 다른 계정까지 줄줄이 뚫리는 것을 막아 줌 |
정리하면, 이번 사고는 “거래소 금고는 지켰지만, 고객센터 메모장이 털린 사건”입니다. 코인이 당장 빠져나갈 가능성은 낮지만, 유출된 정보로 나를 속이려는 연락은 앞으로 몇 달간 이어질 수 있어요. 상담 이력이 있으시다면 오늘 비밀번호 변경과 출금 주소록 점검, 이 두 가지만이라도 꼭 해 두세요. 추가 조사 결과가 나오면 숫자와 범위가 달라질 수 있으니, 코인원 공식 공지도 가끔 확인해 주세요.