핵심 요약
- 러시아 사이버범죄 포럼 Exploit에 새로 등장한 신원 도용 서비스 넥서스는 미국과 캐나다 운전면허증 스캔본 1억 5,300만 건 이상을 판매 중이며, 신분증 1,000만 건, 여행·국제 ID 300만 건, 의료 카드 57만 9,000건도 함께 유통되는 것으로 확인됨. 자료의 출처는 루이지애나 소재의 신원 인증(KYC) 업체에서 유출된 이미지인 것으로 추정됨. FBI 뉴올리언즈 현장사무국은 8월 31일자로 해당 자료 출처에 대한 공식 조사를 개시함. 판매된 데이터에는 미국 국방장관 피트 헤그세스 등 고위 관료의 운전면허증도 포함되어 있음. 넥서스 판매자는 크렙스온시큐리티 기자의 버지니아 운전면허증을 초기 판매 글에서 무료 샘플로 제시함. 서비스 내 빈 검색 결과만 약 1,150만 페이지가 반환되며 페이지당 15건이 표시되어 1억 5,300만 건이라는 수치가 허구로 보기 어려운 규모로 분석됨. 캐나다 운전면허증만 별도 검색 시 약 110만 건이 적출됨. 고위 인사 면허가 포함된 점에서 단순한 개인정보 유출을 넘어 국가 안보 리스크로 확장될 가능성도 제기됨.
단순한 사건 요약에서 한 걸음 더 나아가, 이번 1억 5,300만 건 규모의 운전면허증 유출이 디지털 신원 인증(KYC) 산업의 구조적 취약성을 드러내는 사례로 분석함. 신원 인증 업체가 보유한 이미지가 어떻게 단일 해킹 또는 내부 유출을 통해 다크웹 상품으로 전환되는지, 그리고 고위 관료의 신원 정보가 같은 통로에 노출될 때 발생하는 안보·정책적 시사점을 짚는 분석형 기사. 취재 기반 팩트에 기반하되, 업계 전반의 데이터 보관 관행 개선 필요성을 제기하는 방향으로 구성.
목차
1억 5,300만 건의 운전면허증 유출이 단일 신원 인증(KYC) 업체에서 일어난 것으로 보인다. 이번 운전면허증 유출의 출처에 대해 FBI 뉴올리언즈 현장사무국은 8월 31일자로 공식 수사에 들어갔다.
러시아 사이버범죄 포럼 Exploit에 새로 등장한 신원 도용 서비스 ‘넥서스(Nexus)’는 미국과 캐나다 운전면허증 디지털 스캔본 1억 5,300만 건 이상을 판매 중이다. 이번 운전면허증 유출은 단일 데이터 유출 사고로서는 전례가 없는 규모다.
판매자는 크렙스온시큐리티의 취재를 받던 기자의 버지니아 운전면허증을 초기 판매 글에 무료 샘플로 첨부했다. 실명이 통째로 노출된 셈이다. 자료의 출처는 루이지애나 소재의 KYC 업체에서 유출된 이미지로 추정된다. KYC 절차는 보통 이용자가 제출한 신분증 이미지를 서버에 저장한 뒤 사본을 폐기한다. 그런데 이번 건에서는 폐기가 이루어지지 않았거나, 어딘가에서 다시 흘러나온 것으로 보인다.
운전면허증 유출, 데이터의 실제 규모
넥서스가 공개한 색인에는 운전면허증 외에도 미국·캐나다 신분증 1,000만 건, 여행·국제 ID 300만 건, 의료 카드 57만 9,000건이 포함됐다. 캐나다 운전면허증만 따로 검색하면 약 110만 건이 적출된다.
서비스 내부에서 빈 검색을 돌리면 1,150만 페이지가 반환되고, 페이지당 15건이 표시된다. 이 계산이 맞다면 1억 7,250만 건 규모다. 판매자가 내건 1억 5,300만이라는 숫자보다 오히려 많다.
고위 관료 운전면허증 유출의 안보적 의미
이번 사건이 단순 개인정보 유출과 다른 지점은 미국 국방장관 피트 헤그세스의 면허증도 같은 묶음에 들어 있었다는 사실이다. 고위 관료의 신원이 일반인과 동일한 KYC 파이프라인을 통과한다는 것 자체가 안보 이슈다.
필자는 이 부분이 가장 의미 있다고 본다. 신원 인증은 결국 “누가 누구인지 확인한다”는 절차인데, 그 확인을 맡은 시스템이 동일한 약점을 공유한다면 검증 자체가 무의미해진다. 실무자 입장에서 보면, 운전면허증 유출 사건이 반복될수록 KYC 절차를 의무화한 정책 자체의 신뢰가 흔들린다.
다크웹 유통 구조
넥서스는 Exploit 포럼에서 활동하며 무료 샘플을 활용해 신뢰를 구축했다. 다른 다크웹 브로커들과 다른 점은 데이터 규모다. “재판매 가능한 자산”이 아니라 “자체 검색 서비스” 형태로 판매되고 있어, 구매자는 한 건씩 사는 대신 검색을 통해 필요한 자료를 직접 추출한다.
FBI가 출처에 대한 조사를 시작했지만, KYC 업체가 외부 해킹을 당했는지 내부자 유출이었는지는 아직 공식 발표가 없다. 루이지애나 소재라는 점만으로 범위를 좁히기엔 KYC 외주 시장이 워낙 분산돼 있다.
KYC 산업의 구조적 취약성
KYC는 금융·커뮤니케이션·암호화폐 산업 전반에서 의무화돼 있다. 문제는 신분증 이미지를 어떤 방식으로, 얼마나 오래 보관하느냐에 대한 업계 표준이 사실상 없다는 점이다. 어떤 업체는 몇 달, 어떤 업체는 몇 년간 원본을 유지한다.
데이터 보관 기간 최소화, 업로드 즉시 암호화, 접근 권한 엄격 통제는 기본이다. 그런데 이를 제대로 지키는 업체는 소수에 불과하다. 이번 운전면허증 유출 사건은 그 빈틈이 어떻게 다크웹 상품으로 이어지는지를 적나라하게 보여준다.
유출 데이터 요약
| 유출 유형 | 건수 | 위험도 |
|---|---|---|
| 운전면허증 | 1억 5,300만 건 | 매우 높음 |
| 신분증 | 1,000만 건 | 높음 |
| 여행·국제 ID | 300만 건 | 높음 |
| 의료 카드 | 57만 9,000건 | 중간 |
지금 바로 해볼 것
- 신원 도용 모니터링 서비스(예: 미국신원도용자원센터, 캐나다 신용감독국)에 가입해 자신의 운전면허증 번호가 노출됐는지 확인한다.
- KYC 인증을 마친 서비스라면 이미지 보관 기간과 파기 일정을 고객센터에 직접 묻는다.
- 운전면허증 사본을 다른 서비스 가입에 재사용하지 말고, 업로드 후 만료되는 일회용 링크만 사용한다.
- 신용 보고서를 3개 신용정보회사에서 모두 받아 최근 12개월간 비정상 조회 기록이 있는지 점검한다.
쟁점 정리
- 1억 5,300만 건이라는 단일 KYC 운전면허증 유출은 산업 표준 부재의 직접적 결과다.
- 고위 관료 신원이 같은 파이프라인에 묶여 있다는 점은 안보 위협으로 확장된다.
- 이미지 폐기 의무를 법제화하더라도 실제 이행 여부를 감독할 주체가 부재하다.
- 다크웹 자체 검색 서비스의 등장은 “한 번 유출되면 끝”이라는 가정을 무너뜨린다.
자주 묻는 질문
내 운전면허증 유출 여부를 어떻게 확인할 수 있나요?
아직 공식 노출 조회 도구는 공개되지 않았다. 신용감독국이나 신원 도용 모니터링 서비스를 통해 비정상 활동을 주기적으로 점검하는 것이 현실적인 방법이다.
운전면허증 정보만으로 어떤 피해가 가능한가요?
다른 서비스의 신원 인증을 우회하는 데 악용될 수 있다. SIM 스와핑, 금융 계좌 개설, 세금 환급 청구 등으로 이어질 가능성이 있다.
KYC 업체는 왜 신분증 원본을 오래 보관하나요?
재인증이나 분쟁 발생 시 증거로 쓰려는 이유가 크다. 보관 기간을 법으로 정한 국가는 거의 없어 업계 자율에 맡겨져 있다.
본 기사는 크렙스온시큐리티의 취재 원문을 바탕으로 작성됐다.
참고 원문
이 기사는 다음 원문을 확인해 작성했습니다: Krebs on Security — FBI Probes Service Selling 153M+ Drivers Licenses
전문가 코멘트(AI)
정보보안전문가
단일 KYC 업체에서 나온 1억 5,300만 건 운전면허증 유출은 ‘수집 최소화’ 원칙이 산업 전반에서 실패했음을 보여주는 비가역적 사고
이번 사건의 기술적 본질은 침해 경로보다 유출된 자산의 성격에 있다. 운전면허증 이미지와 번호는 비밀번호처럼 재설정이 불가능한 불변 신원 식별자라서, 한 번 유출되면 재발급이 이뤄지기 전까지 수년간 SIM 스와핑·계좌 개설·세금 환급 사기 같은 2차 피해의 원료로 재생산되는 비가역적 사고다. 다크웹 유통 방식의 진화도 의미가 크다. 단건 판매가 아니라 자체 검색 서비스 형태로 전환하면 공격자의 획득 효율이 극대화되어 후속 범죄의 진입 장벽이 사실상 사라진다. 방어 관점에서는 보관 기간 최소화, 업로드 즉시 암호화, 문서 단위 접근 감사, 비정상 이그레스 탐지 같은 통제가 이미 성숙한 기술임에도 1억 건대 원본 아카이브가 통째로 존재했다는 사실 자체가 관행과 기술의 괴리를 보여준다. 다만 이 사건 하나로 KYC 자체를 무용론으로 몰아가는 것은 과하고, 검증과 저장을 분리해 원본을 즉시 파기하고 토큰·해시만 남기는 아키텍처로의 전환이 현실적 개선점이다.
개인정보보호·신원인증규제전문가
검증을 위해 모은 데이터가 검증 체계를 무너뜨리는 ‘KYC의 역설’이 보관·파기 규제 공백과 함께 드러난 사건
KYC의 역설은 규제가 검증 의무만 부과하고 보관·파기 기준은 업계 자율에 방치하면서, 의무 이행을 충실히 할수록 공격 표면이 커지는 구조에 있다. 신분증 원본 장기 보관이 재인증과 분쟁 대응 명목으로 합리화돼 왔지만, 사고가 터지는 순간 그 보관 정책은 손실 규모를 극대화하는 리스크 축적 행위로 정체가 드러난다. 고위 관료의 신원까지 민간 KYC 파이프라인을 통과한다는 사실은 공공과 민간의 경계 없이 동일한 취약점에 노출돼 있음을 보여주며, 공직자 신원보호 특례와 독립 검증 경로 논의를 촉발할 계기가 된다. 근본적 해법은 검증의 재설계, 즉 필요한 속성만 증명하는 선택적 정보공개와 검증 결과만 유통되는 위임형 신원증명 모델로 나아가 유출 자체를 무의미하게 만드는 방향이다. 다만 폐기 의무 법제화만으로는 이행을 검증할 감독 인프라가 없으면 서면상 제도에 그칠 우려가 커서, 기술적 이행 점검 수단이 제도 설계에 동반돼야 한다는 점이 숙제로 남는다.
비판적 분석가
진짜 쟁점은 1억 5,300만 건이라는 숫자가 아니라, ‘단일 업체 유출’이라는 프레임이 누구에게 유리하게 작동하느냐다
하지만 이면을 들여다보면 가장 먼저 던져야 할 질문은 cui bono, 즉 누가 이득을 보는가다. 검색형 판매 모델과 ‘전례 없는 규모’라는 수식어는 판매자에게 곧바로 신뢰와 흥행으로 환산되고, 취재 기자의 운전면허증을 무료 샘플로 던진 행위는 위협인 동시에 세계적 무료 마케팅이라는 이중 계산이 읽힌다. ‘루이지애나 소재 단일 KYC 업체 출처’라는 프레임도 편하다. 여러 과거 유출본과 외주망 자료를 취합해 단일 출처로 포장하면 수사가 한 업체에 몰리는 동안 실제 공급선은 가려지기 때문이다. 빈 검색 페이지 수를 곱해 규모를 역산하는 방식은 중복·재판매 데이터가 섞여 있어도 통과하므로, 1억 5,300만이라는 숫자 자체가 판매자의 포장 문구일 가능성을 배제할 수 없다. 수사 개시 공개 역시 유출 시점과의 시간차, 출처 특정 전에 공개된 목적이 대국민 경각심인지 조직의 자원 확보인지 설명되지 않는 지점으로 남는다. 우리가 진짜 주목해야 할 점은 유출 규모가 아니라, ‘왜 하필 지금 이런 방식으로 시장에 나왔는가’라는 질문에 판매자도 당국도 아직 아무런 답을 내놓지 않았다는 침묵 그 자체다.
물밑 시나리오
- 내부자 또는 퇴사자가 수개월에 걸쳐 이미지 아카이브를 단계적으로 반출한 뒤 다크웹 브로커로 흘려보냈을 가능성이 있다 — 자료가 일괄 덤프가 아니라 검색 서비스라는 완제품 형태로 준비돼 등장한 점은 급작스러운 해킹보다 계획된 장기 반출의 전형적 패턴과 맞물린다.
- 판매자가 여러 과거 유출본과 KYC 외주망 자료를 취합해 ‘단일 업체 대량 유출’로 재포장했을 가능성이 있다 — 페이지 역산 규모가 판매자 표방 수치보다 오히려 크게 나온다는 점은 중복·재판매 데이터가 섞였을 때 자연스럽게 설명된다.