1년 넘게 새어나간 1억 5천만 건의 운전면허증, 회사는 마지막까지 몰랐다

안녕하세요, 베이스스톤 구독자님! 👋

이번 달은 조금 다른 종류의 사고를 다뤄보려 합니다. 지난 9월 초, 미국의 신원 확인 업체 아이디스캔(IDScan.net)에서 운전면허증 1억 5,300만 건을 포함해 신분증 이미지 1억 6천만 건 이상이 다크웹에서 팔리고 있다는 사실이 드러났어요. 그런데 이 사고에서 가장 놀라운 지점은 유출 규모가 아니라, 이걸 아무도 몰랐다는 사실이었습니다. 공격자는 1년 넘게 회사의 내부 시스템에 머물며 실시간으로 데이터를 빼갔는데, 이를 처음 알아챈 건 아이디스캔 자신도, 고객사도, 외부 감사자도 아니었어요. 사이버 보안 전문 기자가 다크웹 포럼을 살펴보다가 자기 자신의 운전면허증 스캔본을 발견하면서 세상에 알려졌습니다. 오늘은 이 사고가 왜 이렇게 오래 발견되지 않았는지, 그리고 그 뒤에 있는 데이터 보관 정책의 문제를 살펴보겠습니다 🔍

📌 오늘의 글, 한눈에 요약해보기

• 아이디스캔에서 운전면허증 1억 5,300만 건을 포함한 신분증 이미지가 1년 넘게 실시간으로 빠져나갔지만, 회사가 이를 인지한 건 외부 보안 기자의 제보 이후였음
• 공격자가 접근한 건 단순 개인정보가 아니라 신분증 원본의 적외선과 자외선 스캔본까지 포함된 데이터로, 검증 결과만 남겨도 될 정보를 통째로 보관해온 것이 근본 원인으로 지목됨
• 국내에서도 같은 시기 국정원이 클라우드 보안 인증 체계를 전면 개편하며 클라우드에 쌓이는 민감 데이터의 분류와 관리 기준을 다시 세우고 있음
• 이 사고는 탐지 기술의 부재보다 무엇을, 얼마나 오래 보관할지에 대한 설계 단계의 결정이 사고의 규모를 정한다는 점을 보여줌

🔍 사고는 이렇게 드러났습니다

다크웹에 등장한 새로운 장터

지난 8월 31일, 러시아어권 해킹 포럼 익스플로잇(Exploit)에 넥서스(Nexus)라는 새로운 다크웹 플랫폼이 등장했습니다. 이 플랫폼은 미국과 캐나다의 운전면허증 1억 5,300만 건, 신분증 1천만 건 이상, 여행 문서와 의료용 마리화나 카드까지 판매한다고 광고했어요. 전체 데이터를 확인하려면 별도의 결제가 필요했는데, 이는 공격자가 몸값을 요구했을 가능성을 시사합니다.

회사가 아니라 기자가 먼저 알아챘습니다

보안 전문 기자 브라이언 크렙스(Brian Krebs)는 이 다크웹 플랫폼을 살펴보던 중 자신의 운전면허증 스캔본을 발견했습니다. 그는 2025년 6월 여행 중 본인 인증을 위해 제출했던 문서와 대조해 데이터의 출처가 아이디스캔이라는 걸 확인했고, 이 사실을 보도했어요. 9월 1일, 미국 연방수사국(FBI) 뉴올리언스 지부가 공식 수사에 착수했고, 아이디스캔은 9월 8일이 되어서야 유출 사실을 공식적으로 확인했습니다. 회사는 "9월 1일경 이상 접근을 인지하고 즉시 시스템을 보호하는 조치를 취했다"고 밝혔지만, 실제로는 이미 외부에서 먼저 발견된 뒤였어요.

1년 넘게 이어진 실시간 탈취

더 심각한 건 이 접근이 하루아침에 벌어진 일이 아니라는 점입니다. 공격자는 내부 오브젝트 스토어, 관리자 계정, 백엔드 파이프라인에 접근해 1년 넘게 데이터를 실시간으로 빼간 것으로 파악됐어요. 아이디스캔이 매달 처리하는 본인 확인 건수가 약 2,100만 건이라는 점을 감안하면, 유출된 데이터 규모는 대략 7개월 치 검증 기록이 통째로 남아있었다는 뜻이 됩니다. 즉 이 사고는 단발성 침해가 아니라, 오랜 시간 조용히 이어진 대량 탈취였어요.

🧭 왜 이렇게 오래, 이렇게 크게 새어나갔는가

사고의 크기는 결국 '무엇을 얼마나 오래 보관했는가'의 문제였습니다

아이디스캔은 신분증을 확인한 뒤 "진위 여부"라는 결과값 하나만 남기면 충분한 서비스입니다. 그런데 실제로는 신분증 앞뒤 면의 적외선과 자외선 스캔본까지 원본 그대로 보관해온 것으로 드러났어요. 보안 전문가들은 이 지점을 근본 원인으로 지목합니다. 검증에 필요한 건 "이 문서가 진짜인가"라는 불리언 값 하나인데, 그 판단의 근거가 된 원본 이미지까지 계속 쌓아둔 거예요. 이런 구조에서는 하루 처리 건수와 보관 기간을 곱한 값이 곧 사고가 터졌을 때의 피해 규모가 됩니다. 보관 기간을 며칠 단위로 줄이는 것만으로도 유출 규모 자체를 근본적으로 줄일 수 있었던 셈이에요.

대량 반출을 잡아내는 장치가 없었습니다

1년 넘게 데이터가 실시간으로 빠져나가는 동안 회사가 이를 알아채지 못했다는 건, 클라우드 스토리지에서 비정상적으로 많은 데이터가 한꺼번에 빠져나가는 상황을 감지하는 장치가 충분하지 않았다는 뜻이기도 해요. 보안 업계에서는 이런 상황을 막기 위해 클라우드 저장소에 반출량 임계치를 설정해, 평소보다 훨씬 많은 데이터가 짧은 시간에 빠져나가면 자동으로 경고가 울리도록 하는 방식을 권고합니다. 서비스 계정처럼 사람이 직접 로그인하지 않는 계정의 이상 행동까지 함께 모니터링해야 이런 조용한 유출을 놓치지 않을 수 있어요.

소비자는 애초에 이 회사와 아무런 관계도 맺은 적이 없었습니다

이 사고에서 눈여겨볼 또 다른 지점은, 피해자 대부분이 아이디스캔이라는 회사의 이름조차 몰랐다는 사실이에요. 이들은 렌터카를 빌리거나 매장에서 나이 확인을 하면서 신분증을 스캔당했을 뿐, 그 데이터가 어느 회사의 클라우드에 저장되는지는 알 수 없었습니다. 신원 확인을 아웃소싱하는 기업이 늘어날수록, 소비자가 동의한 적도 없는 제3자 벤더 리스크가 계속 쌓이고 있다는 뜻이에요.

공교롭게도 같은 달, 국내에서는 클라우드 보안 체계가 전면 개편됐습니다

이 사고가 알려진 지 얼마 지나지 않은 9월 17일, 국가정보원은 사이버 서밋 코리아 2026에서 공공 클라우드 보안 인증 체계를 전면 개편한다고 발표했습니다. 기존에 과학기술정보통신부와 국정원 양쪽에서 각각 받아야 했던 이중 인증 구조를 국정원 중심으로 일원화하고, 기존 상, 중, 하 3단계 분류 체계를 기밀, 민감, 공개(CSO) 방식으로 바꾸는 내용이에요. 이 개편이 아이디스캔 사고에 대한 대응은 아니지만, 클라우드에 쌓이는 민감 데이터를 어떻게 분류하고 얼마나 엄격하게 관리할지가 국내외를 막론하고 동시에 화두가 되고 있다는 점은 눈여겨볼 만합니다.

✅ 우리 조직의 데이터 보관, 지금 이것부터 점검하세요

• 검증이나 인증 과정에서 잠깐 필요했던 원본 문서(신분증, 여권 등)를 결과값만 남기고 즉시 삭제하도록 보관 기간(TTL)을 설정했는가
• 클라우드 스토리지에서 평소보다 훨씬 많은 데이터가 짧은 시간에 반출되면 자동으로 경고가 울리는 임계치 기반 탐지 체계를 갖추고 있는가
• 사람이 직접 로그인하지 않는 서비스 계정과 백엔드 파이프라인의 접근 패턴까지 모니터링 대상에 포함하고 있는가
• 신원 확인이나 데이터 처리를 외부 벤더에 위탁할 때, 삭제 의무와 삭제 증빙, 계약 종료 시 데이터 처리 조항을 계약에 명시했는가

⚠️ 현장에서 자주 놓치는 지점

"암호화했으니 안전하다"는 착각

이 사고에서 데이터가 암호화되지 않았다는 보도는 없었지만, 설령 암호화가 되어 있었더라도 관리자 계정 자체가 뚫린 상황에서는 큰 의미가 없습니다. 암호화는 저장된 데이터를 보호하는 장치일 뿐, 정당한 권한으로 위장한 접근까지 막아주지는 않아요. 결국 무엇을 보관하고 있는지, 그리고 그 접근 패턴이 평소와 다른지를 계속 지켜보는 쪽이 훨씬 근본적인 대응입니다.

"검증 결과만 필요한데 왜 원본을 남기나"라는 질문을 아무도 하지 않는 경우가 많습니다

많은 조직이 초기 설계 단계에서 편의를 위해 원본 데이터를 넉넉히 저장해두고, 이후 서비스가 커져도 그 결정을 다시 들여다보지 않습니다. 데이터를 얼마나 보관할지는 보안팀만의 결정이 아니라 제품 설계 단계에서부터 함께 정해야 할 문제예요.

"이 사고에서 기술적으로 새로운 공격 기법은 없었습니다. 다만 1년 넘게 아무도 묻지 않았던 질문, '이 데이터를 왜 아직도 가지고 있나'가 있었을 뿐입니다." — Basestone Security Research Team

🚀 작게 시작하는 방법

가장 먼저 할 수 있는 건, 우리 조직이 본인 확인이나 KYC 과정에서 어떤 원본 데이터를 얼마나 오래 보관하고 있는지 한 번 세어보는 거예요. 하루 평균 처리 건수에 보관 일수를 곱해보면, 만약 사고가 난다면 얼마나 큰 규모가 될지 가늠할 수 있습니다. 그 숫자가 생각보다 크다면, 보관 기간을 며칠 단위로 줄이는 것만으로도 잠재적 피해 규모를 크게 줄일 수 있어요.

지난달 다뤘던 헬프데스크 보이스피싱 사고도 함께 살펴보고 싶다면 맥케슨부터 링센트럴까지 8월 대형 기업들을 연달아 뚫은 보이스피싱 플레이북 해부를 이어서 읽어보세요.