신원 확인 서비스 회사 IDScan이 해킹을 당해 미국과 캐나다의 운전면허증 1억 5,300만 장을 포함한 방대한 개인 신분증 정보가 다크웹에서 판매되고 있다는 보도가 나왔습니다. IDScan은 렌터카 업체, 소매점, 금융기관, 총기 판매점 등 미국 전역의 다양한 사업체에서 신분증 스캔 및 인증 시스템을 제공하는 회사입니다. 사이버보안 전문가 Brian Krebs가 직접 데이터베이스에서 자신의 정보를 확인하는 방식으로 유출 사실을 검증했으며, FBI 뉴올리언스 지부도 수사에 착수한 것으로 알려졌습니다. IDScan은 아직 공식 입장을 내놓지 않고 있으며, 피해 규모와 정확한 침해 경위는 확인되지 않은 상태입니다. 현재 여러 로펌이 집단 소송을 준비 중이며, 향후 규제 당국의 추가 조사 가능성도 제기되고 있습니다.
신원 확인 기술 회사 IDScan이 해킹을 당해 운전면허증 1억 5,300만 건, ID 카드 1,000만 건, 여행 서류 300만 건, 의료 카드 57만 9,000건 등 방대한 신분증 스캔 데이터가 다크웹 서비스 'Nexus'를 통해 판매된 것으로 알려졌다.
미국과 캐나다 수억 명의 신분증 정보가 유출되었을 가능성이 있으며, IDScan의 시스템을 이용하는 렌터카 업체(Hertz 등), 소매점, 금융기관 등 고객사와 그 최종 이용자가 광범위하게 피해를 입을 수 있다. 집단 소송과 규제 당국 조사가 동시에 진행 중이다.
IDScan 시스템의 정확한 침해 경위는 아직 공개되지 않았다. 다크웹 서비스 Nexus가 해당 데이터베이스에 대한 접근권을 광고·판매한 것으로 확인됐으나, Nexus 사이트 자체는 현재 오프라인 상태다.
FBI 뉴올리언스 지부가 수사에 착수했으며, IDScan은 9월 1일경 일부 기업 고객에게 통보를 시작한 것으로 전해진다. 여러 로펌이 집단 소송을 위한 피해자 모집에 나섰고, 주(州) 검찰총장과 연방 규제 당국의 별도 조사 가능성도 있다.
IDScan 솔루션을 도입해 고객 신분증 스캔에 활용 중인 기업은 즉시 IDScan 측에 피해 여부를 확인하고, 영향을 받는 고객에 대한 대응 절차를 준비해야 한다. 23andMe, Marriott, Equifax 등 유사 대규모 유출 사례처럼 규제 조사와 대규모 소송이 뒤따를 수 있으므로 법무·컴플라이언스 팀과 긴밀히 협력해야 한다.
본문
신원 확인 회사 IDScan이 해킹을 당해 1억 5,300만 건 이상의 운전면허증을 판매하겠다는 해커의 주장이 제기된 이후, 해당 회사를 상대로 여러 건의 소송이 제기됐다.
Markovits, Stock & DeMarco, Hall Attorneys 등 여러 로펌이 IDScan에서 발생한 것으로 알려진 보안 사고와 관련해 집단 소송 가능성을 조사하고 나섰다.
Brian Krebs는 9월 1일, 다크웹 신원 도용 서비스 "Nexus"가 미국과 캐나다 운전면허증 스캔본 1억 5,300만 건 이상, ID 카드 1,000만 건, 여행 서류 300만 건, 의료 카드 57만 9,000건에 대한 접근권을 광고했다고 최초 보도했다.
Krebs는 자신의 정보와 동의를 받은 다른 개인들의 정보를 해당 데이터베이스에서 직접 검색해 유출 사실을 확인했으며, 유출 경로를 IDScan으로 추적했다.
IDScan은 기업들이 정부 발급 신분증을 스캔·인증하고 정보를 추출할 수 있도록 하드웨어 및 소프트웨어 솔루션을 제공하는 신원 확인 기술 회사다.
이 회사의 시스템은 미국 전역의 렌터카 업체, 소매점, 총기 판매점, 금융기관, 대마초 판매점, 숙박업소 등에서 사용되고 있다.
IDScan은 이러한 의혹에 대한 공식 입장을 발표하지 않았으며, BleepingComputer의 논평 요청에도 응하지 않았다.
현재 IDScan 시스템의 침해 여부와 실제 피해자 수는 확인되지 않은 상태다.
Krebs는 또한 FBI 뉴올리언스 지부가 이 사건에 대한 수사에 착수했다고 보도했으며, Reuters도 이를 독자적으로 확인했다.
보도 시점 기준으로 FBI는 공식 입장을 발표하지 않았으며, 확인 요청에도 응하지 않았다.
불법 서비스 Nexus는 현재 오프라인 상태이나, 사이버 범죄자들은 여전히 해당 데이터베이스에 접근할 수 있는 것으로 알려졌다.
소송은 IDScan의 본사가 위치한 루이지애나주에서 제기됐으며, IDScan이 글로벌 렌터카 회사 Hertz 등 고객사로부터 수집한 정보를 제대로 보호하지 못했다고 주장하고 있다.
Markovits, Stock & DeMarco에 따르면 IDScan은 9월 1일경부터 일부 기업 고객들에게 통보를 시작한 것으로 전해진다.
해당 로펌은 IDScan 시스템을 사용하는 사업체에서 신분증을 스캔한 경험이 있는 사람들이 피해를 입었을 수 있다며, 집단 소송을 위한 잠재적 청구인 모집에 나서고 있다.
이번 사건의 잠재적 규모를 감안할 때 추가 소송(집단 소송 포함)이 제기될 수 있으며, 관련 사건들이 결국 연방 다중지구소송(multidistrict litigation)으로 통합될 가능성도 있다.
과거 23andMe, Marriott, Equifax 등 유사한 규모의 데이터 유출 사례에서 그랬듯, 주 검찰총장과 연방 규제 당국도 별도 조사나 집행 조치에 나설 수 있다.
