[K Voice Today=김선엽 기자] 미국과 캐나다 국민 1억5300만여 명의 운전면허증 디지털 스캔본이 다크웹에서 대량으로 판매되고 있는 사실이 확인됐다. 피해자 명단에는 피트 헤그세스 미 국방장관(전 국방부 장관, 현재 ‘전쟁장관’ 직함 사용)도 포함된 것으로 드러나 파장이 커지고 있다.
이번 사건은 사이버보안 전문 기자 브라이언 크렙스가 운영하는 매체 ‘크렙스온시큐리티(KrebsOnSecurity)’의 보도로 알려졌다. 크렙스 기자는 지난 8월 31일 러시아어 사이버범죄 포럼 ‘익스플로잇(Exploit)’에 신규 회원이 올린 게시물을 제보받았다. 이 게시물은 ‘넥서스(Nexus)’라는 신규 서비스를 광고하면서, 무료 샘플로 크렙스 기자 본인의 버지니아주 운전면허증 스캔본을 공개해 그의 눈에 띄게 됐다.
크렙스 기자에 따르면 자신의 기록에는 면허증 앞뒤 사진, 그리고 적외선·자외선으로 촬영한 버전까지 총 6개의 이미지 파일이 포함돼 있었다. 이는 단순한 이름·주소 등 개인정보 유출이 아니라, 정부 발급 신분증의 실제 스캔 이미지가 그대로 노출됐다는 점에서 심각성이 크다는 지적이다.
넥서스 측은 미국·캐나다인 대상 운전면허증 1억5300만 건 외에도 신분증 1000만 건 이상, 여행증명서·국제신분증 300만 건 이상, 의료카드 57만9000건 이상을 보유하고 있다고 주장했다. 크렙스 기자가 검색창에 아무 조건 없이 조회했을 때 약 1150만 페이지, 페이지당 약 15건의 결과가 나와 이 수치가 과장이 아닐 가능성이 높다고 전했다. 캐나다 면허증은 약 110만 건으로, 이 중 온타리오주가 약 47만3000건으로 가장 많았다.
이번 유출에서 가장 눈길을 끄는 대목은 피트 헤그세스 미 국방장관의 운전면허증이 100달러에 판매 목록에 올라 있었다는 사실이다. 헤그세스 장관 외에도 FBI 고위 간부를 포함한 여러 고위 연방 관료의 신분증이 함께 발견됐다고 크렙스 기자는 전했다. 유출 데이터에는 일반 운전면허증뿐 아니라 상업용 운전면허증(CDL), 정부 시설 출입에 쓰이는 공통접근카드(CAC), 심지어 대마초 판매점 회원카드까지 포함된 것으로 나타났다.
유출 근원지로 지목된 ID스캔닷넷
크렙스 기자는 유출된 이미지들의 출처를 루이지애나주에 본사를 둔 신원인증업체로 지목했으며, 이후 여러 매체는 이를 ‘ID스캔닷넷(IDScan.net)’으로 특정해 보도했다. 이 회사는 매장·렌터카 업체 등에서 고객 신분증을 스캔해 진위와 연령을 확인해주는 서비스를 제공하는 업체로, 허츠(Hertz), 페덱스(FedEx), 웨이스트 매니지먼트, 모토로라, 잭 헨리 등 다양한 기업이 고객사로 알려져 있다. 다만 타깃(Target)의 경우 자사 고객 데이터를 ID스캔에 전달하지 않는다며 이번 사건과 무관하다고 별도로 해명했다.
ID스캔닷넷은 매장 내 하드웨어 스캐너뿐 아니라 개발자용 SDK와 모바일 앱 연동 서비스도 제공하고 있어, 온라인에서 앱 이용 시 나이 인증을 위해 신분증 사진을 찍어본 이용자라면 이 회사의 시스템을 거쳤을 가능성도 있다는 분석이다. 넥서스 측은 해당 업체로부터 1년 넘게 데이터를 빼내 왔다고 주장한 것으로 전해졌다. 회사 측은 아직 무단 접근 여부나 피해 규모를 공식 확인하지 않은 채 “내부 조사 중”이라는 입장만 밝힌 상태다.
크렙스 기자에 따르면 FBI 뉴올리언스지부는 이미지 유출 경로를 밝히기 위한 공식 수사에 착수했다. 보안업체 맬웨어바이츠 등은 이번 사건이 단순 개인정보 유출을 넘어 신원인증 시스템 자체의 취약성을 보여준다고 지적했다.
전문가 조언: “신용 동결이 최선의 방어책”
전문가들은 주 정부 발급 운전면허증이 새로운 신용카드 발급이나 대출 신청 시 신원 증빙 자료로 흔히 쓰인다는 점을 우려한다. 자신의 면허증 정보가 유출됐는지 개별적으로 확인할 방법이 마땅치 않고, 한 번 다크웹에 오른 정보는 되돌릴 수도 없는 만큼, 신원도용 피해 예방을 위한 사전 조치가 중요하다는 지적이다.
신원도용자원센터(Identity Theft Resource Center)의 제임스 리 국장은 “가장 좋은 방어책은 신용 동결(credit freeze)”이라고 강조했다. 그는 신용 동결 절차가 온라인이나 전화로 몇 분 안에 무료로 가능하며, 신용점수에는 전혀 영향을 주지 않는다고 설명했다.
신용을 동결해도 이미 보유한 신용카드·체크카드는 평소처럼 그대로 사용할 수 있다는 점이 핵심이다. 신용 동결은 제3자가 본인 명의로 새로운 신용카드를 발급받거나 대출을 신청하는 것을 원천 차단하는 조치로, 에퀴팩스(Equifax) 등 3대 신용평가사 웹사이트를 통해 개별적으로 신청할 수 있다.
