美 신원확인 업체 ID스캔 해킹, 신분증·여권 1억5300만 건 다크웹 '넥서스'에 유출

[핵심요약] 美 신원확인 업체 ID스캔이 해킹당해 북미 운전면허증·여권 등 1억5300만 건이 다크웹 '넥서스'에서 판매됐어요. 국방장관 면허증까지 포함됐고 FBI가 수사 중이에요.

2026년 9월 초, 미국 루이지애나의 신원확인 솔루션 기업 ID스캔(IDScan)이 대규모 해킹 피해를 입은 사실이 드러났어요. 보안 전문 기자 브라이언 크렙스(Brian Krebs)가 다크웹에 새로 등장한 '넥서스(Nexus)'라는 신원정보 검색 사이트를 취재하다가, 자신의 운전면허증 사진이 그대로 검색되는 걸 확인하면서 사건이 세상에 알려졌어요. 넥서스에는 운전면허증 1억5,300만 건, 일반 신분증 1,000만여 건, 여권 등 여행 서류 300만여 건, 의료 카드 58만여 건이 올라와 있었고, 해커 측은 "매일 50만 건씩 새 문서를 추가하고 있다"고 광고했어요. 피트 헤그세스 미 국방장관과 FBI 부국장의 신분증 스캔본까지 포함된 것으로 확인됐어요. ID스캔은 허츠 렌터카, 타깃, 페덱스 등 포춘 500대 기업을 포함해 전 세계 2만여 매장에서 매달 2,100만 건 이상의 신원확인을 처리해온 업체라, 파장이 만만치 않아요.

사건 상세 전개

크렙스는 연구원 재크 에드워즈(Zach Edwards)와 함께 넥서스의 표본 데이터를 대조해 유출 진원지가 ID스캔이라는 걸 특정해냈어요. 해커는 "주요 신원확인 기업의 시스템에 침투해 1년 넘게 데이터를 빼돌렸다"고 주장했는데, 사실이라면 침해가 오랫동안 발각되지 않고 이어졌다는 뜻이에요. 유출 자료에는 신분증 앞뒤 고화질 사진뿐 아니라, 위·변조 여부를 가려내는 적외선(IR)·자외선(UV) 감식용 스캔본까지 포함돼 있었어요. 이런 스캔본은 신원확인 절차 자체를 우회하는 데 악용될 수 있어서 다크웹에서 특히 높은 가격에 거래돼요. ID스캔의 지미 루셀 대표는 취재에 응답하지 않았고, 질리언 코스먼 최고운영책임자는 "조사 중"이라는 입장만 밝혔어요. 이후 FBI 뉴올리언스 지부가 조사에 착수했고, 수사망이 좁혀오자 넥서스는 서비스를 전면 중단했어요.

왜 중요한가, 무엇이 위험한가?

이번 사고의 핵심은 허츠·타깃·페덱스 같은 기업들이 직접 해킹당한 게 아니라는 점이에요. 이들은 ID스캔이라는 '신원확인 벤더'에게 업무를 맡겼을 뿐인데, 그 벤더가 뚫리면서 자기도 모르는 사이 고객 데이터가 다크웹에 노출됐어요. 서드파티 벤더 한 곳이 무너지면 계약한 수많은 기업이 동시에 피해를 보는 '공급망형 유출'의 전형이에요. 신분증 스캔본은 단순 개인정보보다 훨씬 위험해요. 이름·주소는 시간이 지나면 가치가 떨어지지만, IR·UV 스캔본까지 갖춘 진짜 신분증 이미지는 계좌 개설, 렌터카 대여 같은 비대면 인증 절차 자체를 무력화할 수 있어서 오래 악용될 수 있어요.

국내 조직에도 이 사고는 남 일이 아니에요. 국내 핀테크·은행권도 비대면 계좌 개설, 본인 인증, 배달·렌털 서비스에서 외부 신원확인 벤더의 API를 널리 써요. 벤더 한 곳이 뚫리면 우리 회사 시스템은 멀쩡해도 고객 신분증 정보가 통째로 다크웹에 오를 수 있어요. 최근 국내에서도 MSP(관리서비스 제공업체) 한 곳이 뚫려 20여 곳의 금융권 고객사가 동시에 피해를 본 사례가 있었던 것처럼, 벤더 리스크는 이미 국내 기업에도 현실적인 위협이에요.

우리 회사도 대비하려면?

가장 먼저 점검할 건 "고객 신분증·개인정보를 어떤 외부 벤더가 어디에 얼마나 오래 보관하는가"예요. 신원확인처럼 민감한 업무를 위탁했다면, 계약 시 벤더의 보안 인증(ISMS-P 등) 보유와 침해 시 통지 의무를 명확히 규정해둬야 해요. 인증이 끝난 신분증 스캔본을 필요 이상 오래 보관하지 않도록 데이터 보존 정책도 다시 점검해야 해요. 업계 권고사항으로는 벤더 연동 구간에 최소한의 데이터만 주고받는 최소 권한 원칙, 접근 로그 정기 감사, 벤더가 뚫혔을 때를 가정한 대응 시나리오 마련이 꼽혀요. 2026년 9월 11일부터 개정 개인정보보호법이 시행되면서 유출 '가능성' 단계부터 통지 의무가 생기는 만큼, 벤더발 사고라도 우리 회사 책임 범위를 미리 정리해두는 게 좋아요.

체크리스트형 실무 팁

• 비대면 본인인증·신원확인을 맡기고 있는 외부 벤더 목록을 뽑아보고, 신분증 원본·스캔본을 얼마나 오래 저장하는지 확인해보세요.
• 벤더 계약서에 침해 발생 시 통지 기한 조항이 있는지 찾아보고, 없다면 다음 갱신 때 추가하세요.
• 인증 완료 후에도 신분증 사본을 그대로 남겨둔 사내 폴더나 게시판이 있는지 확인하고, 불필요하면 삭제하세요.
• 신원확인 벤더명과 우리 회사명을 다크웹 모니터링 서비스에 주기적으로 넣어 유출 정황을 확인하세요.
• 렌터카·통신·금융처럼 신분증 스캔이 필요한 업무라면, IR·UV 스캔본까지 저장이 꼭 필요한지 다시 검토하세요.

IR·UV 스캔본까지 유출됐다는데, 이게 왜 더 위험한가요?

위·변조 감식용 스캔본은 신분증이 진짜라는 걸 증명하는 자료예요. 이게 유출되면 공격자가 다른 서비스의 신원확인 절차 자체를 통과할 수 있어서, 일반 개인정보 유출보다 악용 범위가 훨씬 넓어요.

허츠·타깃·페덱스는 직접 해킹당한 게 아닌데 왜 위험한가요?

이 기업들은 신원확인 업무를 ID스캔에 위탁했을 뿐이지만, 고객 입장에서는 위탁 여부와 무관하게 자신의 신분증이 유출된 거라 위탁사도 책임에서 자유롭기 어려워요. 이게 공급망 리스크의 특징이에요.

국내에도 이런 신분증 스캔·인증 서비스가 있나요?

네, 비대면 계좌 개설이나 본인 인증을 지원하는 국내 핀테크·통신·렌털 서비스 상당수가 외부 신원확인 솔루션을 연동해 써요. 벤더사가 뚫리면 여러 회사의 고객 정보가 한꺼번에 위험해질 수 있는 구조예요.

이번 ID스캔 사고는 해킹이 꼭 우리 회사 서버를 직접 뚫어야만 일어나는 게 아니라는 걸 보여줘요. 신뢰하고 맡긴 벤더 한 곳이 무너지는 순간, 고객 신분증 정보가 통째로 다크웹에 올라갈 수 있어요. 1억5,300만 건이라는 규모도 놀랍지만, IR·UV 스캔본까지 함께 새어나갔다는 점이 더 오래 남을 후폭풍이에요. 벤더 리스크는 이제 우리 회사 보안 점검 목록에도 반드시 들어가야 할 항목이에요.

이렇게 신뢰하던 벤더 하나가 뚫리면서 고객 데이터가 줄줄이 새어나가는 걸 보면, 우리 회사 백업이나 인증 데이터는 정말 안전한 곳에 분리 보관되고 있는지 궁금해지실 거예요. 해커가 시스템 관리자 권한까지 탈취해도 물리적으로 분리된 백업에는 손댈 수 없는 구조가 왜 필요한지 궁금하다면 디포트리스에서 확인해보세요.