허츠·호텔서 스캔한 운전면허증 1억5300만 건, 아이디스캔넷 해킹으로 다크웹에 유출

[핵심요약] 미국 신원확인 업체 아이디스캔넷에서 운전면허증 스캔본 1억5300만 건이 다크웹에 풀렸어요. 허츠 렌터카 등 2만 곳에서 모은 자료로, 국방장관 면허증까지 포함돼 FBI가 수사 중이에요.

2026년 8월 31일, 러시아어 사이버범죄 포럼 익스플로잇에 넥서스라는 다크웹 마켓이 등장했어요. 미국과 캐나다 운전면허증 스캔본 1억5300만 건, 신분증 1000만 건 이상, 여행증명서 300만 건 이상, 의료카드 57만9000건을 판다는 공지였어요. 이 자료를 모은 곳은 렌터카 업체 허츠와 호텔, 대마초 판매점 등 미국 전역 2만 곳 넘는 매장에서 신원확인 단말기를 운영해온 루이지애나의 아이디스캔넷이었고요. 보안 전문가 브라이언 크렙스의 제보로 다음 날인 9월 1일 FBI 뉴올리언스 지사가 곧바로 수사에 들어갔어요. 유출된 면허증 중에는 피트 헤그세스 미국 국방장관과 FBI 부국장의 면허증까지 포함돼 있었어요.

무슨 일이 있었나?

넥서스는 검색 기능을 갖춘 쇼핑몰처럼 운영됐어요. 빈 검색어로 조회해도 페이지당 15건씩 1150만 페이지 분량이 나왔고, 구매자는 이름이나 지역으로 특정인의 면허증을 찾아 미리보기까지 확인한 뒤 살 수 있었어요. 게다가 데이터는 계속 늘고 있었어요. 조사 시점 기준 24시간 만에 신규 면허증 약 40만 건이 추가됐어요. 아이디스캔넷은 한 달에 2100만 건의 신원확인을 처리하는 업체이고, 카이사르스 엔터테인먼트 같은 대형 고객사도 있었지만 2025년 2월 계약을 끊은 상태였어요. FBI 수사와 언론 보도가 이어지자 넥서스는 9월 2일 다크웹에서 사라졌고, 아이디스캔넷은 9월 8일에야 공식 성명을 내고 무단 제3자의 접근 가능성을 인정했어요.

왜 위험한가?

유출된 스캔본은 단순 사진이 아니라 적외선·자외선 촬영본이에요. 은행이나 정부기관이 신분증 진위를 가려낼 때 쓰는 방식이라, 이 데이터로 만든 위조 신분증이 실제 검증 절차를 통과할 수 있다는 뜻이에요. 신용카드 개설이나 대출 사기는 물론, 증인보호 프로그램 대상자나 가정폭력 피해자처럼 신원 노출 자체가 생명과 직결되는 사람들까지 위험해졌어요. 더 중요한 건 허츠나 호텔, 카지노 어디도 직접 해킹당하지 않았다는 점이에요. 신원확인을 맡긴 업체 한 곳이 뚫리면서 수백만 고객 정보가 한꺼번에 새어나간 거예요. 아무리 우리 회사 보안이 철저해도, 위탁업체 하나의 약한 고리가 전체를 무너뜨릴 수 있다는 걸 보여준 사례예요.

우리 회사도 대비하려면?

국내 기업 대부분은 아이디스캔넷을 직접 쓰지 않지만, 본인인증과 신원확인을 외부 업체에 위탁하는 구조 자체는 국내에서도 똑같이 흔해요. 카드사, 통신사 대리점, 렌터카, 숙박업, 병원 접수처까지 신분증을 스캔하거나 사본을 보관하는 곳이 많고, 그 데이터를 실제로 누가 어떻게 관리하는지는 위탁계약서 뒤에 가려져 있는 경우가 대부분이에요. 위탁업체를 선정할 때는 스캔본을 얼마나 오래 보관하는지, 암호화는 어떻게 하는지, 접근 로그를 남기는지를 계약 단계에서 구체적으로 확인해야 해요. 굳이 원본 스캔본을 오래 쌓아둘 이유가 없다면, 확인 즉시 파기하거나 마스킹된 형태로만 남기는 데이터 최소보관 원칙이 안전해요. 백업이나 로그 데이터도 마찬가지예요. 위탁업체 시스템이 뚫려도 원본 백업까지는 손댈 수 없도록 물리적으로 분리해두는 구조가 필요해요.

이런 증상이 보이면 이미 위험 신호예요:

• 본인인증·신원확인을 맡기는 외부 업체가 스캔본을 얼마나 오래 보관하는지 계약서에 명시돼 있는지 확인해 보세요.
• 고객 신분증 사본이나 스캔 이미지를 필요 기간 이상으로 쌓아두고 있지는 않은지 점검해 보세요.
• 위탁업체 시스템의 접근 로그에 평소와 다른 대량 조회나 다운로드 흔적이 없는지 살펴보세요.
• 다크웹 모니터링 서비스로 우리 회사나 고객 정보가 이미 유출됐는지 검색해 본 적 있는지 확인해 보세요.
• 신원확인을 스캔 하나에만 의존하지 않고 대면 확인이나 추가 인증 수단을 병행하고 있는지 점검해 보세요.

적외선·자외선 스캔본까지 유출된 게 왜 특히 문제인가요?

일반 사진 유출과 다르게, 이 스캔본은 은행이나 정부기관이 신분증 진위를 판별할 때 쓰는 방식 그대로라 위조 신분증이 정식 검증을 통과할 수 있게 만들어요. 단순 개인정보 유출보다 한 단계 더 심각한 이유예요.

신원확인을 외부 업체에 맡기는 것 자체가 문제인가요?

위탁 자체가 문제라기보다, 그 업체가 데이터를 얼마나 오래 어떻게 보관하는지를 우리 쪽에서 확인하지 않는 게 문제예요. 계약 시 보관기간과 보안 조치를 구체적으로 요구하고 정기적으로 점검하면 위험을 크게 줄일 수 있어요.

이번 사고는 해킹 한 번이 아니라, 신원확인이라는 위탁 업무 하나가 얼마나 많은 조직을 한꺼번에 위험에 빠뜨릴 수 있는지를 보여줬어요. 넥서스 사이트는 사라졌지만 이미 팔려나간 1억5300만 건의 면허증은 되돌릴 수 없고, 이 데이터를 활용한 사기는 앞으로 몇 년에 걸쳐 계속 나타날 가능성이 커요. 우리 회사가 직접 해킹당하지 않아도 위탁업체를 통해 같은 피해를 입을 수 있다는 걸 이번 사례가 정확히 보여준 셈이에요.

이런 사고를 막으려면 위탁업체 시스템이 뚫려도 우리 회사의 백업이나 핵심 데이터까지는 손대지 못하는 구조가 필요해요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 위탁업체가 뚫려도 우리 데이터는 왜 안전할 수 있는지 궁금하다면 여기서 확인해보세요.