무슨 일이 있었냐면요
미국에서 한 여성이 자기가 만든 적도 없는 Cash App 계정 때문에 체포됐어요. 사흘 밤을 유치장에서 보냈고, 지금은 최대 징역 6년까지 받을 수 있는 혐의를 받고 있다고 해요. Cash App은 미국 Block(옛 Square)이 운영하는 송금·결제 앱이에요. 우리로 치면 토스나 카카오페이 같은 간편송금 서비스예요.
이런 사건은 보통 흐름이 비슷해요. 누군가 피해자의 개인정보로 계정을 만들고, 그 계정을 사기나 범죄 자금을 옮기는 데 써요. 수사기관이 결제사에 기록을 요청하면 '계정 명의자 = 이 사람'이라는 데이터가 나오고, 그게 핵심 근거가 돼요. 이번 사건도 본인은 계정을 만든 적이 없다는데, 명의가 같다는 이유로 혐의를 받게 된 경우예요. 세부 경위는 원문 보도를 참고해 주세요.
얼핏 법률 뉴스처럼 보여요. 그런데 사실은 우리가 만드는 시스템이 사람의 인생에 어떤 영향을 주는지에 대한 이야기예요. 회원가입, 본인인증, 로그 저장처럼 개발자가 매일 다루는 것들이 다 엮여 있거든요.
왜 이런 일이 생길까: '본인확인'의 실체
금융 서비스는 가입할 때 KYC(Know Your Customer, 고객확인) 절차를 거쳐요. 쉽게 말하면 “이 사람이 진짜 그 사람 맞아?”를 확인하는 과정이에요. 그런데 미국에서는 이 확인이 꽤 많은 경우 이름, 생년월일, 주소, 사회보장번호(SSN) 같은 알고 있는 정보에 기대고 있어요.
문제는 SSN이 수많은 대규모 유출 사고 때문에 사실상 비밀이 아니게 됐다는 거예요. 정보를 '알고 있다'는 게 그 사람이라는 증거가 될 수 없는 거죠. 훔친 정보와 가짜 정보를 섞어 만든 신원을 합성 신원(synthetic identity)이라고 하는데요, 미국 금융권에서 가장 골치 아픈 사기 유형 중 하나로 꼽혀요.
진짜 문제는 그다음이에요. 가입할 때 '확인 완료'로 표시된 데이터는 시간이 지나면서 '검증된 사실'처럼 취급돼요. DB에 verified: true 한 줄이 찍혀 있으면, 그게 얼마나 허술한 근거로 찍혔는지 아무도 다시 묻지 않거든요. 이 데이터가 영장이나 소환장을 통해 수사기관에 넘어가면, 시스템이 내린 추정이 법정에서 증거가 돼요.
비슷한 사례들: “컴퓨터가 그렇다는데요”
이런 일은 처음이 아니에요. 2020년 미국 디트로이트에서는 얼굴인식 시스템이 사람을 잘못 매칭해서 무고한 흑인 남성이 체포됐어요. 영국에서는 우체국 회계 시스템 'Horizon'의 버그 때문에 수백 명의 지점장이 횡령범으로 몰렸죠. 이게 이른바 포스트오피스 스캔들이에요.
두 사건의 공통점은 사람들이 시스템이 낸 결과를 의심하지 않았다는 거예요. 이런 심리를 자동화 편향(automation bias)이라고 해요. “기계가 그렇다니까 맞겠지” 하고 믿어버리는 거죠.
Cash App도 사기 대응 문제로 규제 당국과 계속 부딪혀 왔어요. 2025년 초에는 미국 소비자금융보호국(CFPB)이 사기 피해 처리가 부실하다며 Block에 대규모 환불과 과징금을 명령했어요. 빠르고 쉬운 가입으로 성장한 만큼 그 대가도 크게 치르고 있는 셈이에요.
한국 개발자에게 주는 시사점
한국도 남 일이 아니에요. 비대면 실명확인이 도입된 뒤로 신분증 사진 위조, 명의도용 대포통장 같은 문제가 꾸준히 나오고 있거든요. 실무에서 생각해볼 만한 점을 정리해 볼게요.
- '확인됨'의 근거도 같이 저장하세요. 인증 성공 여부만 남기면 나중에 확인할 방법이 없어요. 휴대폰 인증, 신분증 OCR, 안면 대조 같은 인증 방식과, 어느 기기와 IP에서 확인했는지까지 남겨 두세요. 그래야 나중에 “정말 그 사람이었나?”를 다시 따져볼 수 있어요.
- 신뢰 수준을 구분하세요. 인증 방식마다 믿을 수 있는 정도가 다른데, DB에서는 전부 똑같은 '인증 완료'로 뭉개지는 경우가 많아요. 등급을 나눠 두면 이상 거래를 잡아내거나 분쟁에 대응할 때 큰 차이가 나요.
- 명의도용 신고 창구를 만들어 두세요. “제가 만든 계정이 아니에요”라고 말할 수 있는 창구가 눈에 잘 띄는 곳에 있어야 해요.
마무리
한 줄 정리: 우리가 DB에 찍는 '인증 완료' 한 줄이 누군가에게는 유죄의 증거가 될 수 있어요.
여러분 서비스의 '본인확인 완료'는 실제로 얼마나 믿을 만한가요? 그 데이터가 법적 증거로 쓰인다면, 지금 남기고 있는 로그로 충분히 입증하거나 반박할 수 있을까요?
🔗 출처: Hacker News