미국 플로리다주 차량관리국(FLHSMV)이 운전자 정보 데이터베이스 'DAVID'가 해킹됐음을 공식 확인했습니다. 해킹 그룹 ShinyHunters는 20만 건 이상의 운전자 기록을 탈취했다고 주장하고 있으며, 제프리 엡스타인의 개인정보가 담긴 화면을 증거로 공개하기도 했습니다. 기관 조사 결과, 한 경찰관이 개인 기기에 잘못 저장해 둔 계정 정보가 도용된 것이 침입 경로로 확인됐습니다. 현재 플로리다 법무장관실, 플로리다 디지털 서비스, 플로리다 법집행부와 함께 대응 중이며 추가 유출은 없다고 밝혔습니다. 업무용 계정 정보를 개인 기기에 저장하는 행위가 얼마나 위험한지를 잘 보여주는 사례입니다.
ShinyHunters 그룹이 플로리다 차량관리국(FLHSMV)의 DAVID 운전자 데이터베이스를 침해해 20만 건 이상의 운전자 기록을 탈취했다고 주장. FLHSMV는 2026년 9월 4일 침해 사실을 인지하고 공식 확인.
운전자 개인정보 및 차량 정보가 포함된 대규모 기록 유출 가능성. 피해 기록 수는 아직 공식 미확인이며, FBI 요원 및 DMV 직원 계정도 접근됐을 가능성이 제기됨.
Plant City 경찰서 소속 직원이 업무용 계정 자격증명(ID·비밀번호)을 개인 전자기기에 부적절하게 저장했고, 해당 기기가 침해되면서 계정이 탈취됨. ShinyHunters는 별도로 비밀번호 재설정 취약점을 악용했다고 주장.
FLHSMV는 침해를 신속히 차단했으며, 플로리다 법무장관실·플로리다 디지털 서비스·플로리다 법집행부와 공동 대응 중. 형사 수사가 진행 중.
업무용 시스템 계정 정보는 개인 기기나 개인 저장소에 절대 보관하지 않아야 하며, 공공기관·법집행기관 연계 시스템에 대한 MFA(다단계 인증) 및 접근 권한 모니터링이 필수적임.
본문
플로리다 고속도로안전차량국(FLHSMV)은 ShinyHunters 갈취 조직이 DAVID 운전자 데이터베이스를 침해했다고 주장한 이후, 해당 시스템에서 실제로 데이터 유출이 발생했음을 공식 확인했습니다.
이번 공개는 ShinyHunters 갈취 조직이 DAVID 데이터베이스를 침해하여 20만 건 이상의 운전자 기록을 탈취했다고 주장한 데 이어 나온 것입니다.
"2026년 9월 4일, FLHSMV는 국제 사이버 범죄 조직이 저지른 데이터 침해 사실을 인지했습니다"라고 기관은 X(구 트위터)에 올린 성명에서 밝혔습니다.
"해당 침해는 신속히 차단되었으며, 이후 추가적인 침해는 발생하지 않았고 현재도 진행 중이지 않습니다."
FLHSMV는 자체 조사 결과, 공격자가 Plant City 경찰서 소속 직원 한 명의 자격증명(계정 정보)을 도용하여 침입했으며, 해당 자격증명은 직원의 개인 전자기기에 부적절하게 저장되어 있었다고 밝혔습니다.
기관은 플로리다 법무장관실에 침해 사실을 통보했으며, 대응의 일환으로 플로리다 디지털 서비스 및 플로리다 법집행부와 협력 중이라고 설명했습니다.
"현재 형사 수사가 진행 중인 사안이므로, 추가 정보는 추후 적절한 시점에 공개될 것입니다"라고 FLHSMV는 덧붙였습니다.
ShinyHunters가 주장한 침입 방법은 달랐다
FLHSMV의 조사 결과는 ShinyHunters가 앞서 주장한 접근 방법과 다릅니다.
해커들은 비밀번호 재설정 취약점을 악용하여 DMV 직원 및 FBI 요원의 계정을 포함한 복수의 DAVID 계정에 접근했다고 주장했습니다.
ShinyHunters는 이후 9월 3일부터 DAVID 기록 ID를 순차적으로 탐색하며 관련 HTML 페이지와 이미지를 내려받기 시작했다고 밝혔습니다.
위협 행위자들은 침해의 증거로 Jeffrey Epstein의 DAVID 기록 캡처 화면을 공유했으며, 해당 기록에는 민감한 개인정보와 차량 정보가 포함되어 있었습니다.
ShinyHunters는 이후 BleepingComputer에 시스템 접근이 차단됐으며 취약점이 패치되고 있는 것으로 보인다고 전했습니다.
FLHSMV는 침해 과정에서 접근하거나 탈취된 기록 수를 공개하지 않았으며, ShinyHunters가 주장한 20만 건 이상의 기록 탈취 주장도 확인하지 않은 상태입니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
