IDScan, 운전면허증 1억 5,300만 건 유출과 연관된 침해 사고 공식 확인

신원 확인 기업 IDScan이 클라우드 플랫폼에 저장된 고객 데이터에 해커가 접근한 사실을 공식 확인했다. 이는 1억 5,300만 건이 넘는 운전면허증 스캔본이 담긴 대규모 데이터베이스와 해당 기업이 연루됐다는 보도가 나온 지 며칠 만의 발표다.

IDScan은 9월 4일 공개한 보안 공지에서, 특정 데이터에 무단 접근이 이루어졌을 가능성을 9월 1일경 인지했다고 밝혔다.

"이 사실을 인지한 즉시 시스템을 보호하기 위한 조치를 취하고, 사고의 전체적인 성격과 범위를 파악하기 위해 제3자 전문가 팀을 고용했습니다"라고 IDScan은 밝혔다.

회사 측은 조사가 아직 진행 중이라면서도, 권한 없는 제3자가 IDScan.net 클라우드 계정 내 고객 정보에 접근했거나 복사했을 "가능성이 있다"고 결론 내렸다.

노출된 정보에는 고객의 성명, 운전면허증 번호 또는 기타 정부 발급 신분증 번호 등이 포함될 수 있다. 공지에는 명시되지 않았지만, 이번 침해로 위협 행위자들이 운전면허증 스캔본까지 탈취한 것으로 알려졌다.

TechCrunch는 9월 4일 게시된 IDScan의 침해 공지를 발견했는데, 해당 페이지에는 검색 엔진에 노출되지 않도록 noindex 지시자가 설정되어 있었다.

BleepingComputer는 앞서 9월 4일, 해커들이 IDScan을 침해하고 1억 5,300만 건 이상의 운전면허증이 담긴 데이터베이스에 대한 접근 권한을 판매하고 있다는 주장과 관련해 복수의 소송이 제기됐다고 보도한 바 있다.

당시 IDScan은 해당 사건을 공개적으로 인정하지 않았고 BleepingComputer의 논평 요청에도 응하지 않았다.

회사 측은 노출된 정보에 대한 완전한 접근이 유료임에도 불구하고, "만일을 위해" 잠재적 피해 개인에게 통보하고 있으며 무료 신용 모니터링 및 신원 보호 서비스를 제공하고 있다고 밝혔다.

IDScan과 연관된 대규모 신분증 데이터베이스

이 사건은 Brian Krebs가 9월 1일, 다크웹 플랫폼 "Nexus"가 1억 5,300만 건 이상의 미국·캐나다 운전면허증 스캔본에 대한 접근 권한을 광고하고 있다고 보도하면서 처음 알려졌다.

해당 서비스에는 신분증 1,000만 건, 여행 서류 300만 건, 의료 카드 57만 9,000건도 포함된 것으로 알려졌다.

Krebs는 본인 및 동의를 받은 다른 사람들의 기록을 검색하는 방식으로 데이터베이스 샘플을 검증했으며, 노출된 정보가 IDScan으로 연결된다는 사실을 확인했다.

IDScan은 기업들이 정부 발급 신분증을 스캔·인증하고 정보를 추출하는 데 사용하는 신원 확인 기술을 제공하는 회사다. 렌터카 업체, 소매점, 금융기관, 대마초 판매점, 총기 판매점, 숙박업체 등이 해당 플랫폼을 이용하고 있다.

Nexus 서비스에 대한 소식이 퍼진 이후 해당 플랫폼은 오프라인으로 전환됐지만, 사이버 범죄자들은 여전히 데이터베이스에 접근 가능한 것으로 보인다.

그 이후 여러 위협 행위자들이 전체 데이터베이스를 판매하고 있다고 주장하고 있으나, BleepingComputer는 이러한 판매가 실제인지 확인하지 못했다.

IDScan은 연방 수사기관과 협조하고 있으며, FBI는 BleepingComputer에 해당 사건을 수사 중임을 이전에 확인한 바 있다.

"이번 사건에 대응해 즉시 조사를 시작하고 데이터 보안과 관련된 정책 및 절차를 검토했습니다"라고 IDScan은 밝혔다.

"또한 연방 수사기관의 수사에 협조하고 있습니다."

BleepingComputer는 이번 사건과 관련해 IDScan에 여러 차례 질의를 보냈으나 아직까지 답변을 받지 못했다.