최근 다크웹에 '넥서스(Nexus)'라는 새로운 서비스가 등장하여 미국과 캐나다 시민의 운전면허증 1억 5천만 개 이상을 포함한 3백만 개의 여행 서류 접근 권한을 판매하고 있다고 크렙스 온 시큐리티(Krebs on Security)가 보도했습니다. 이는 단순한 개인정보 유출을 넘어, 미국 국가 안보에 심각한 위협이 될 수 있다는 분석이 제기되고 있습니다. 유출된 데이터는 신원 도용 및 피싱 공격에 악용될 수 있을 뿐만 아니라, 적대국의 정보 기관이 미국 정보 요원을 식별하고 활동을 방해하는 데 활용될 가능성이 높기 때문입니다.
넥서스는 한 주요 신원 확인 서비스 기업에 무단으로 침입하여 1년 이상 지속적으로 새로운 데이터를 유출해왔다고 주장했습니다. 크렙스 온 시큐리티는 하루에 약 40만 개의 면허증 정보가 추가되는 것을 확인했으며, 유출된 면허증이 실제임을 검증했습니다. 여기에는 크렙스 본인과 가족, 친구들의 면허증뿐만 아니라 국방부 장관, FBI 고위 관계자 등 미국 정부 고위 관료들의 정보도 포함되어 있었습니다. 여러 정황 증거를 바탕으로 크렙스는 이번 유출 사건이 신원 확인 서비스 기업인 IDScan과 연관되어 있다고 지목했으며, IDScan은 현재 데이터 유출 조사를 진행 중임을 확인했습니다. 넥서스 서비스는 크렙스의 보도 직후 다크웹에서 사라졌지만, 해커들은 데이터가 삭제되었다고 주장하지 않아 잠시 잠적한 것으로 보입니다.
이러한 신분증 정보는 정보기관에 특히 가치가 높습니다. 운전면허증 번호는 다른 데이터베이스와 연동되는 경우가 많아, 유출된 정보와 결합되면 특정 인물의 주소와 사진을 포함한 상세한 프로필을 구축할 수 있기 때문입니다. 과거 중국의 사이버 첩보 활동은 앤섬(Anthem) 보험사, 에퀴팩스(Equifax) 신용 평가사, 메리어트(Marriott) 호텔, 유나이티드 항공(United Airlines) 등 다양한 출처에서 보완적인 데이터를 훔쳐 미국 정보기관을 분석하는 데 활용된 바 있습니다. 벨링캣(Bellingcat)과 같은 탐사 보도 단체는 유출된 데이터를 활용해 러시아 정보기관 요원을 식별하는 등 실제 정보 작전에서 데이터가 어떻게 활용될 수 있는지 보여주기도 했습니다. 이번 IDScan 유출은 미국 전체 운전면허증의 약 63%에 해당하는 방대한 규모로, 신원 확인 서비스 기업들의 보안 취약성이 국가적 위협으로 이어질 수 있음을 시사합니다. 이러한 서비스들은 막대한 양의 민감한 데이터를 다루는 만큼 엄격한 규제와 감독이 필요하지만, 정부의 신속한 조치는 기대하기 어려운 상황입니다. 단기적으로는 대규모 소송과 같은 재정적 압박이 기업들의 보안 강화로 이어지기를 기대할 수밖에 없습니다.