IDScan 해킹으로 1억 5천만 건이 넘는 운전면허 기록 도난 드러나

신원 문서 검증 전문 기업인 IDScan은 공격자들이 자사 클라우드 시스템에서 운전면허증, 성명, 면허 번호와 여권 등 다른 정부 문서에 기재된 신원 번호를 포함한 데이터를 훔쳤다고 확인했다. 회사는 조사가 아직 진행 중이며, 현재까지 실제 피해를 입은 사람의 수는 특정하지 않았다고 밝혔다.

이번 확인은 1년간 지속된 해킹에 관한 보도가 나온 지 약 일주일 만에 이루어졌다. IDScan은 처음에는 보안 사고를 조사하고 있다고 밝혔지만, 당시에는 해킹 발생을 확인하지 않았다. 회사는 웹사이트에 게시한 공지에서 9월 1일 해킹 의혹에 관한 정보를 입수했다고 설명했으며, 이날은 사이버 보안 전문 기자 Brian Krebs가 사건에 관한 보고서를 발표한 날이기도 하다.

데이터 규모에 관해 보도된 내용은 무엇인가?

Krebs의 보도에 따르면 다크웹의 한 웹사이트에서는 미국과 캐나다에 거주하는 1억 5천만 명이 넘는 사람들의 운전면허 정보와 사진을 검색할 수 있었다. Krebs 본인과 관련된 기록을 확인하는 방식으로 데이터의 진위가 검증되었으며, 한 공인과 한 보안 연구원도 자신의 데이터가 해당 데이터베이스에 포함되어 있음을 확인했다. 보도에 따르면 데이터에는 미국 국방장관 Pete Hegseth를 비롯한 유명 인사들의 기록도 포함되어 있었다.

그렇다고 해서 IDScan이 1억 5천만 건이 넘는 모든 기록이 이번 사건에서 도난당한 사람들의 것이라고 확인한 것은 아니다. 회사는 단지 1억 5천만 건이 넘는 운전면허 기록을 보유하고 있다고 밝혔을 뿐이며, 실제 피해자 수는 확정하지 않았다. 또한 공격자들이 전체 데이터를 입수했는지 일부만 입수했는지도 설명하지 않았다.

이 소식이 중요한 이유는 무엇인가?

IDScan은 여러 분야의 고객, 즉 유흥 시설과 대마초 매장 등을 대상으로 고객 신원 문서를 확인하는 서비스를 제공한다. 이 때문에 이번 사건은 각 기관이 데이터를 별도로 보관하는 대신 민감한 신원 데이터가 검증 서비스 제공업체에 집중될 때 발생할 수 있는 위험을 보여주는 사례가 된다. 성명, 운전면허 번호, 문서 사진은 공격자에게 신원 도용이나 사기 시도에 재사용할 수 있는 데이터 묶음을 제공할 수 있지만, 출처는 그러한 사용이 실제로 발생했다는 점을 입증하지 않는다.

IDScan은 웹사이트 공지를 통해 영향을 받았을 가능성이 있는 사람들에게 알렸다. 회사는 정보에 완전히 접근하려면 비용을 지불해야 했다고 밝혔는데, 이는 공격자들이 금전적 요구를 했음을 시사할 수 있지만, 회사는 몸값 요구가 있었다고 확인하지 않았고 공격자들과 직접 연락했다고도 말하지 않았다. 또한 이 점에 관한 TechCrunch의 질문에도 답변하지 않았다.

조사와 남은 질문

미국 국방부는 의심되는 해킹 사실을 알고 있었다고 밝혔으며, 연방수사국 FBI 대변인은 FBI가 사건을 조사하고 있다고 말했다. 공격자들이 시스템 내부에 머문 기간, 문서 사진과 전체 데이터가 공개되거나 판매되었는지 여부, 회사가 피해자들에게 알리고 시스템을 보호하기 위해 어떤 조치를 취할지 등 핵심적인 질문에는 여전히 답이 나오지 않았다.

편집자 해설: 이번 사건의 중요성은 아직 확인된 최종 피해자 수가 아니라 데이터베이스의 규모와 정보의 성격에 있다. 조사가 완료될 때까지 1억 5천만이라는 숫자는 IDScan이 보유하고 있다고 밝힌 기록의 규모로 보아야 하며, 실제 피해를 입은 사람들의 최종 확정 수치로 보아서는 안 된다.