전문가들, 넥서스 ID 유출이 사기 수법의 청사진을 드러냈다고 경고

이 다크웹 마켓플레이스는 8월 말 등장해, 1억 5,300만 건 이상의 미국 및 캐나다 운전면허증을 비롯해 1,000만 건의 기타 신분증, 300만 건의 여행 서류, 그리고 최소 57만 9,000건의 의료 카드 등 약 1억 7,000만 건의 기록에 접근할 수 있다고 주장했다. 운영자들은 이 정보가 1년 넘게 한 주요 신원 확인 업체에서 유출된 것이라고 주장했다.

‘넥서스(Nexus)’ 정보 유출은 단순한 비밀번호 유출을 훨씬 뛰어넘는다

비밀번호 유출은 끔찍한 일이지만, 대개는 탈출구가 있다. 바로 비밀번호를 변경하는 것이다. 하지만 정부 발급 신분증은 사정이 다르다. 마릴린 오르데키안 박사는 운전면허증에는 사진, 거주지 주소, 생년월일 등 평생은 아니더라도 수년 동안 개인을 따라다니는 정보가 포함되어 있다고 지적했다.

“비밀번호 유출 사고의 경우, 비밀번호를 재설정하고 넘어갈 수 있습니다,”라고 오르데키안 박사는 말했습니다. 그녀는 도난당한 정부 발급 신분증의 경우, 해당 정보가 사실상 개인의 신원에 깊이 각인되어 있어 범죄자들이 이를 손에 넣은 후에는 단순히 재설정할 수 없다고 설명했습니다. 넥서스 사건이 특히 우려되는 이유는 적외선 및 자외선 스캔 데이터가 존재한다는 보고가 나왔기 때문입니다. 오르데키안은 이러한 스캔이 “진위 여부를 확인하기 위한 보안 조치”라며, 이는 “물리적 문서의 진위를 인증하는 데 사용된다”는 뜻이라고 설명했다. 그녀는 범죄자들이 잠재적으로 “단순히 신분증뿐만 아니라, 신분증이 진품임을 증명하는 데 사용되는 청사진과 기술적 기반까지 확보했을 수 있다”고 경고했다.

이는 막대한 문제를 야기합니다. 오르데키안은 “은행 계좌 개설, 암호화폐 거래소 계좌 개설, 렌터카 대여, 송금 확인 등 (신원 확인을 위해 이러한 유형의 신분증을 사용하는 모든 것) 모든 신분증 기반 시스템은 이제 악용될 수 있는 잠재적인 공격 표면이 되었다”고 말했습니다.

도난당한 보안 기능, 사기 위험성 가중

이러한 기록이 범죄 시장에 유출되면 신원 도용은 시작에 불과합니다. 도난당한 인증 정보는 사칭, 사기성 은행 계좌 개설, 자금 세탁 및 기타 사기 행위에 재사용될 가능성이 있습니다. 오르데키안은 적외선 및 자외선 소재가 사용된 경우, 원본 문서 자체가 진짜이기 때문에 검증 시스템이 사기 사용을 탐지하기 더 어려워질 수 있다고 경고했습니다.

물리적 보안 측면도 있다. “예를 들어, 암호화폐 분야에서 일부 사용자와 데이터 유출 피해자들이 투자자로 식별되어 자산을 내놓도록 물리적 위협을 받는 사례를 목격해 왔습니다,”라고 오르데키안은 강조했다. “이러한 상황에서는 가정폭력 생존자나 증인 보호 프로그램에 참여 중인 사람들의 안전도 위협받을 수 있습니다.”

네크서스(Nexus)의 흔적은 뉴올리언스에 본사를 둔 신원 확인 서비스 제공업체 IDScan.net을 가리키고 있으며, 이 회사는 2만 곳 이상의 장소에서 매달 2,100만 건 이상의 신원 확인을 처리한다고 밝혔습니다. IDScan은 해킹 사실을 공식적으로 확인하지는 않았으나, 데이터가 유출되었을 가능성을 시사하는 정보를 조사 중이며 회사가 “연루되었을 수도 있다”고 고객들에게 알렸습니다.

넥서스, KYC 데이터 허니팟을 면밀히 조사하다

이번 사건은 고객 신원 확인(KYC) 시스템에 대해 불편한 의문을 제기하기도 합니다. 방대한 양의 신분증 데이터를 수집하는 것이 범죄자들에게 거부할 수 없는 유인처가 되는 것은 아닐까요? Sumsub의 사기 방지 제품 책임자인 아르템 포포프(Artem Popov)는 이 위험이 KYC 제공업체에만 국한된 것이 아니라고 말했습니다. “어디에든 개인 데이터를 저장하는 것은 위험을 수반하며, 이는 KYC 제공업체뿐만 아니라 데이터를 취급하는 모든 기업에 해당되는 사실입니다,”라고 포포프는 Bitcoin.com News에 전했다. 그는 문서 사진이 온라인에 공유되는 순간, 자신의 통제 범위를 벗어난 수많은 서비스를 거칠 수 있으므로 사실상 유출된 것으로 간주해야 한다고 말했다.

포포프는 또한 도난당한 문서가 사기 기계의 한 부분에 불과하다고 경고했다. “이러한 유출 사례 중 상당수는 사회 공학 기법에 기인하는데, 이는 누군가가 단순히 설득당해 자신의 데이터를 넘겨주는 경우를 말합니다. 바로 이 때문에 문서 사진만으로는 누구도 가입 절차를 완료해서는 안 됩니다,”라고 포포프는 말했다.

전문가들, 신분 확인을 문서 너머로 확대해야 한다고 주장

포포프는 다음 단계로 또 다른 보안 계층을 추가해야 한다고 말했다. “비밀번호만으로는 더 이상 민감한 시스템에 로그인할 수 없는 것과 마찬가지로, 신분증에도 생체 인식과 같은 두 번째 인증 요소가 필요하며, 이를 통해 해당 신분증이 실제로 제시한 사람의 것임을 확인해야 합니다.” 생체 인식은 일반적으로 사용자가 단순히 도난당한 사진이나 문서를 제출하는 것이 아니라, 실제 사람이 물리적으로 존재함을 증명하도록 요구합니다.

단순히 신분증을 생체 인식 데이터로 대체하는 것만으로도 만병통치약이 될 수는 없다. 포포프는 얼굴이나 기타 생체 식별 정보가 한 번 유출되면 재발급될 수 없기 때문에 생체 인식 기술 자체가 영구적인 위험 요소를 내포하고 있다고 경고했다. 한편 오르데키안은 이번 사건이 신원 확인 보안 규칙과 이러한 보호 조치가 어떻게 시행되고 있는지에 대한 심층적인 검토를 촉발해야 한다고 말했다.

‘Krebs on Security’에 따르면 FBI의 수사는 여전히 진행 중이며, 집단 소송이 이미 제기된 상태이고, IDScan은 아직 전체적인 포렌식 보고서를 공개하지 않은 상황입니다. 수사 당국이 정확히 무슨 일이 일어났는지, 그리고 정보 유출의 범위가 어느 정도인지 파악하기 위해 노력하는 동안 업계는 아직 위기를 완전히 벗어난 것은 아닙니다.