운전면허 스캔 1억5300만 건 유출 의혹—신원확인 업체가 약한 고리였다

미국과 캐나다 시민의 운전면허 스캔 이미지 1억5300만 건 이상을 판매하는 신종 신원도용 서비스가 다크웹에 등장했다가, 이를 보도한 KrebsOnSecurity의 기사가 공개된 직후 사라졌다. 'Nexus(넥서스)'로 불린 이 서비스는 러시아어 사이버범죄 포럼 Exploit에 새 계정으로 광고를 올렸고, 운전면허 외에도 신분증 1000만여 건, 여행·국제 신분증 300만여 건, 의료 카드 최소 57만9000건을 보유하고 있다고 주장했다. 검색창에 아무 조건 없이 조회하면 약 1150만 페이지, 한 페이지당 약 15건의 결과가 나와 1억5300만이라는 수치가 과장이 아닐 가능성이 크다는 것이 취재진의 판단이다. 캐나다 면허만 검색해도 약 110만 건이 나왔고 그중 온타리오주가 47만3673건으로 가장 많았다.

주목할 점은 유출 규모 자체보다 데이터가 흘러나온 경로다. Nexus 운영자는 '주요 신원확인 업체'의 진행 중인 침해에서 이미지를 확보하고 있으며, 1년 넘게 지속적으로 데이터를 빼내 왔다고 밝혔다. 실제로 24시간 사이 운전면허 레코드가 약 40만 건 늘어난 정황은 새로 훔친 데이터가 반정기적으로 업로드되고 있음을 시사한다. 각 레코드에는 앞뒷면 기본 스캔은 물론 적외선·자외선 버전까지 총 6개 이미지 파일과 촬영 시각 타임스탬프가 붙어 있었다.

타임스탬프가 가리킨 렌터카 카운터

취재진은 데이터의 출처를 추적하기 위해 지인과 가족 12명 이상에게 동의를 받아 면허를 검색했고, 발견된 9명 모두 타임스탬프에 찍힌 날짜에 여행했음을 확인했다. 렌터카 기록을 대조한 결과 타임스탬프의 시간대는 GMT로 추정됐다. 처음에는 공항이 유력한 출처로 보였지만, 데이터셋에 여권이 하나도 없고 일부는 공항에서 면허를 제시하지도 않았다는 사실이 드러나며 이 가설은 무너졌다. 오히려 공통점은 렌터카였다. 기자 본인은 그날 리건 공항 검색대에서 Real ID가 없어 여권을 제시했을 뿐 면허를 낸 곳은 Hertz 렌터카 카운터가 유일했고, 함께 면허를 건넨 어머니의 이미지 타임스탬프는 기자의 것과 불과 몇 초 차이였다.

단서는 마리화나 판매점으로도 이어졌다. 보안 연구자 잭 에드워즈의 면허 스캔은 지난달 데프콘 참석차 방문한 라스베이거스 여행 시점과 일치했는데, 그날 그의 신분증을 실제로 기기에 스캔한 곳은 Planet13 대마 판매점뿐이었다고 그는 말했다. 이 지점들의 신원확인은 뉴올리언스 소재 idscan.net이 담당한다. idscan.net은 미 19개 주 1000곳 이상의 대마 판매점에 신원확인을 제공하며, 자사 기술이 적외선·자외선으로 신분증을 스캔한다고 문서에 명시하고 있다. 이 회사의 고객 명단에는 Hertz, Target, FedEx, Caesars 등이 포함돼 있고, 월 2100만 건 이상의 검증을 20만 곳이 넘는 지역에서 수행한다고 밝히고 있다.

신원확인 인프라가 공격면이 되다

정황 증거는 여러 갈래에서 idscan.net이라는 하나의 지점으로 수렴했다. 회사 측은 사안을 조사 중이라고만 밝혔을 뿐 구체적 답변은 내놓지 않았다. 취재 과정에서 FBI 뉴올리언스 지부는 이날 idscan.net 관련 침해에 대한 공식 수사에 착수했으며, 취재진은 사이버 부문 고위 인사를 포함한 FBI 요원 6명과의 콘퍼런스 콜에 참여했다. Nexus에는 미 국방장관 등 고위 정부 관계자와 FBI 부국장의 면허 정보까지 포함돼 있었던 것으로 전해졌다.

이 사건이 한국 IT 실무자에게 주는 교훈은 명확하다. 신원확인은 보안을 강화하려는 통제 장치이지만, 그 데이터가 모이는 제3자 벤더 자체가 방어의 성패를 좌우하는 단일 실패 지점이 된다는 점이다. 서비스 접근이나 연령 확인을 이유로 면허 제출을 요구하는 관행이 늘수록, 원본 이미지가 여러 외부 업체 데이터베이스에 축적되고 감독의 사각지대도 넓어진다. 에드워즈는 '아이 보호'를 명분으로 한 온라인 신분 확인 체계가 오히려 민감 정보를 통제되지 않는 벤더들로 흘려보낸다고 지적했다.

피해의 성격도 일반적 유출과 다르다. 사이버 기업 Cybera의 라리 볼드윈은 운전면허가 신규 신용 개설의 본인 확인 수단으로 널리 쓰이는 만큼 금융 사기 위험이 크며, AI 이미지 매칭 시대에는 얼굴을 쉽게 바꿀 수 없는 사람들—가정폭력 피해자나 연방 증인보호 프로그램 대상자—까지 위험에 노출된다고 경고했다. 인증을 강화하려는 노력이 바로 그 인증이 의존하는 데이터의 침해로 무력화된다는 것이다.

다만 현시점에서 확정된 사실과 추정은 구분해야 한다. Nexus의 주장, 그리고 타임스탬프와 렌터카·판매점 정황이 idscan.net을 가리킨다는 것은 강한 정황 증거이지만, 회사의 공식 확인이나 침해 범위·기간에 대한 검증된 발표는 아직 없다. FBI 수사와 idscan.net의 내부 조사 결과가 나오기 전까지 유출 경로와 규모는 유동적이다. 실무 관점에서 지금 필요한 것은 자사가 위탁하는 신원확인 벤더가 원본 이미지를 어떻게 보관·파기하는지, 적외선·자외선 스캔본까지 장기 저장하는지, 그리고 그 접근 통제와 감사 체계가 실재하는지를 재점검하는 일이다.