인공지능(AI)을 활용한 금융권 해킹 시도가 급증하는 상황에서 5대 가상화폐거래소 중 고팍스만 개인정보 보호 인증을 제대로 갖추지 않은 것으로 확인됐다.
6일 금융계에 따르면 국내 5대 거래소인 업비트·빗썸·코인원·디지털엑스·고팍스 가운데 현재 고팍스만 ‘정보보호 및 개인정보보호 관리체계 인증(ISMS-P)’을 보유하지 않고 있다.
ISMS-P는 ‘정보보호 관리체계 인증(ISMS)’에 개인정보 보호 영역을 더한 통합 인증이다. 기업의 정보 보호 체계뿐 아니라 개인정보의 수집·이용·제공·보관·파기 등 처리 전 과정을 함께 점검한다. 고팍스는 현재 ISMS만 보유하고 있다.
현행 특정금융정보법상 금융위원회 금융정보분석원(FIU)은 가상자산사업자(VASP)의 신고를 수리할 때 ISMS 취득 여부를 확인한다. ISMS가 없으면 신고를 수리하지 않는다. 개인정보 보호 영역까지 포함하는 ISMS-P는 의무 대상이 아니다. 고팍스 관계자는 “비용 측면에서 투자가 어려워 우선 기본적인 ISMS부터 취득했다”고 설명했다.
시장에서는 ISMS-P가 ‘만능 보안 키’가 아니고 필수 요건도 아니지만 거래 고객들의 개인정보를 갖고 있는 코인 거래소의 특성상 보안 인프라에 대한 기본 투자가 부족한 것 아니냐는 지적이 나온다. 특히 대형 거래소인 업비트와 빗썸 이외에도 코인원과 디지털엑스가 해당 인증을 갖고 있다는 점에서 고팍스가 투자를 소홀히 하고 있다는 말들이 많다. 가상화폐거래소는 회원 가입과 고객확인(KYC), 원화 입출금 과정에서 이용자의 신원 및 계좌 정보 등을 처리한다.
가상화폐 업계 관계자는 “ISMS-P가 있다고 해서 모든 문제가 사라지는 것은 아니지만 그만큼 보안 관련 투자를 적게 한다는 의미”라며 “해킹이 서비스 장애뿐 아니라 개인정보 유출로 이어질 수 있는 만큼 개인정보의 수집부터 보유·파기까지 전 과정을 체계적으로 관리할 필요가 있다”고 강조했다.