미국 운전면허 1억 5,300만 건 유출 — 단순 범죄를 넘어 국가안보 재앙으로

본문

지난주 Krebs on Security는 Nexus라는 새로운 다크웹 서비스가 미국과 캐나다 시민의 여행 문서 300만 건과 운전면허 1억 5,300만 건에 대한 접근 권한을 판매하고 있다는 사실을 보도했습니다. 이 글은 이 유출이 단순한 신분 도용 소재가 아니라 미국 적대국의 정보 수집 체계를 먹여 살릴 수 있는 국가안보 재앙이라는 논지를 펼칩니다.

Nexus와 IDScan 유출의 규모

Nexus는 대형 신원확인(identity verification) 업체에 무단 침투해 1년 이상 '지속적으로' 데이터를 비공개 데이터베이스로 빼돌렸다고 주장했습니다. Krebs on Security는 하루 만에 데이터베이스의 면허 수가 약 40만 건 늘어난 것을 관찰해 신규 데이터가 정기적으로 유입되고 있음을 시사한다고 전했습니다. 유출 면허의 진위도 확인됐는데, Krebs 본인의 면허 외에 지인과 가족 9명의 면허가 포함돼 있었고, Pete Hegseth 국방장관과 FBI 부국장 등 고위 공직자의 면허도 섞여 있었습니다. Krebs는 여러 정황 증거를 토대로 신원확인 서비스 IDScan을 유출원으로 지목했고, IDScan은 데이터 침해를 조사 중이라고 인정했으며 FBI도 수사에 착수했습니다. Nexus는 보도 직후 다크웹에서 사라졌지만 데이터를 삭제했다고 주장하지는 않아, 여론이 잠잠해질 때까지 잠복한 것으로 보입니다. 데이터베이스에 담긴 미국 면허 수는 전체의 약 63%에 달합니다.

왜 국가안보 문제인가

정보 세계에서 면허는 핵심 신분 문서이고 면허번호는 다른 데이터베이스에서도 키로 쓰이기 때문에 특히 가치가 높습니다. 해킹하거나 구매한 데이터베이스의 레코드를 집 주소와 사진이 포함된 특정 개인과 직접 연결할 수 있게 되면 그 가치는 배가됩니다. 그리고 이 위협은 이론적인 것이 아닙니다. 2010년대 중반 중국 사이버 첩보 조직들은 Anthem(건강보험), Equifax(신용정보), Marriott(호텔), United Airlines, 그리고 가장 치명적으로 OPM(인사관리처)의 보안인가 정보까지 상호 보완적인 데이터를 탈취했고, 미 정보당국은 이 데이터가 대중국 정보활동을 무력화하는 데 쓰였다고 확신합니다. Bellingcat의 사례는 유사 데이터의 활용법을 잘 보여줍니다. 2022년에는 해킹된 데이터베이스의 여행 정보가 이탈리아 나폴리 NATO 지휘부에 침투하려던 GRU 심층첩보원을 식별하는 데 결정적 단서가 됐고, 2018년에는 Skripal Novichok 암살 미수 사건의 용의자들을 특정했습니다. Bellingcat은 2020년 '지난 몇 년간 수십 개의 유출 데이터베이스를 확보해 새 데이터를 교차 검증한다'고 밝힌 바 있습니다. 소규모 조사기관도 이 정도로 러시아 데이터를 긁어모으는데, 중국 정보기관이 미국 데이터에 대해 같은 일을 하지 않을 리 없다는 것이 저자의 지적입니다.

신원확인 서비스의 구조적 취약성

신원확인 업체의 유출은 실망스러울 만큼 빈번합니다. 최근 2년 사이 AU10TIX, Discord의 연령인증 사업자 5CA, National Public Data에서 유출이 발생했습니다. 이런 서비스는 사기 방지에 필요하지만 보안이 허술하면 그 자체가 취약점이 되므로, 다루는 데이터의 민감성을 고려할 때 엄격한 규제와 감독 대상이어야 한다고 글은 주장합니다. 다만 신속한 정부 대응은 기대하기 어려우므로, IDScan을 겨냥해 줄 서고 있는 집단소송과 FTC의 관심 같은 재정적 압박이 단기적으로 보안 강화를 유도하길 바란다고 덧붙입니다.

미군의 광고 식별자 뒷북 대응

6월 Reuters는 상업적 위치데이터가 중동 주둔 미군 표적 추적에 이용되고 있다고 보도했습니다. 이번 주 후속 보도에 따르면 공군은 7월 말에야 Windows와 Android의 광고 식별자를 비활성화했고(Apple은 이미 적용), 육군은 2월부터 Android·Apple 기기에서 기본 비활성화했으며, 특수작전사령부(SOCOM)는 Windows의 식별자를 '최근' 끈 것으로 확인됐습니다. 미군이 상업적 위치데이터 위험을 처음 브리핑받은 것은 2016년이고, 2018년에는 Strava 글로벌 히트맵으로 미군 기지와 조깅 경로가 노출된 사례가 있었으므로 몇 년 전에 했어야 할 기본 조치라고 글은 비판합니다. 또한 이것만으로는 추적이 어려워질 뿐 불가능해지지 않고, 장병들의 개인 기기에 대한 정책이 함께 필요하다고 지적합니다.

'화이트햇'의 자기기만

주말 사이 자칭 화이트햇 해커가 Liquid Network에서 3억 2,000만 달러 상당의 비트코인을 탈취한 뒤 수요일까지 85%를 돌려주고 약 4,700만 달러를 챙겼습니다. Poly Network(2021, 6억 1,000만 달러), Multichain(2022), Huobi(2023), Tender.fi(2023) 등 '먼저 훔치고 보상을 주장하는' 유사 사례가 반복돼 왔습니다. 대표 사례인 Mango Markets 해킹의 Avraham Eisenberg는 자신의 행위를 '고수익 트레이딩 전략'이라 주장했고 2024년 배심 재판에서 사기 유죄 평결을 받았으나 지난해 판사가 이를 뒤집었습니다. 글은 대부분을 돌려주는 행위가 책임감 있는 행동이라는 자기기만이며, FBI는 피해자가 괜찮다고 해도 기소 면제를 보장할 수 없다고 명시해 왔다고 지적합니다. Liquid Network는 해커에게 15% 몫을 허락한 적이 없어, 이 '자칭 선의의 해커'는 4,700만 달러 일부를 변호사 비용으로 쓰게 될 수도 있다고 덧붙입니다.

이번 주의 긍정적 소식

Google은 검증된 사이버 방어자에게 고급 AI 사이버 능력을 제한적으로 제공하는 Fairwind Program을 출범시키고, 같은 날 취약점 탐지와 패치에서 'frontier-level' 성능을 내면서도 경쟁 모델보다 저렴한 Gemini 3.8 Flash Cyber를 공개했습니다. 미 법무부와 Europol은 2003년부터 활동해 온 Sality 봇넷을 국제 공조로 무력화했는데, P2P 구조라 단일 실패 지점이 없었고, 주 페이로드 EggJagger는 감염 호스트의 클립보드에서 암호화폐 지갑 주소를 감시해 공격자 주소로 치환해 왔습니다. 영국과 미국은 스캠 조직 대응 협력을 위한 양해각서도 체결했습니다.

Hacker News 반응

• @exabrial — 이런 업체들에게 내 의료 정보와 삶의 세부사항까지 맡기고 싶다는 냉소적 반응입니다.
• @max__dev — 민간 의료 부문은 오히려 더 심각하다고 반박합니다. 사실상 오픈 액세스 수준으로 매주 수백만 건 규모 유출이 일어나 더 이상 뉴스거리도 아니라며 최근 사례 링크들을 나열합니다.
• @Libcat99 — 데이터 보호 실패의 대가가 미미한 한 이 상황은 계속될 것이라고 지적합니다.
• @paimapi — 기업에게 시민적 자유만 줄 게 아니라 개인처럼 기소할 수 있다면 좋겠다고 말합니다.
• @dlcarrier — 보안 표준을 따르는 업계는 준수(compliance)를 달성하는 순간 보안 노력을 멈춘다는 경험담을 공유합니다. HIPAA는 최소 기준을 세우지만 정확히 그 최소치 이상을 보장하지 못한다는 것입니다.

원문: Lawfare / 번역·요약: Trawling