북미 운전면허 스캔 사상 최대 규모의 유출 사고로 시저스 엔터테인먼트(Caesars Entertainment)와 서카 카지노(Circa Casino)가 주목받고 있습니다. 두 라스베이거스 카지노 운영사는 신원 확인 서비스 제공업체인 IDScan.net의 알려진 고객 명단에 이름을 올렸습니다 — 시저스는 IDScan의 공개 고객/신뢰 페이지에, 서카는 21세 이상 출입구에서 신분증을 스캔하기 위해 회사의 VeriScan을 사용하는 IDScan 고객 사례 연구에 등장했습니다.
Caesars Entertainment, owner of Caesars Palace, said the largest breach of North American driver’s license scans “should have no impact” on its customers. (Image: Caesars Entertainment) 이번 주 FBI는 1억 5,300만 건 이상의 미국 및 캐나다 운전면허 스캔을 판매하는 대규모 다크웹 마켓플레이스에 대한 조사에 착수했습니다. 연구자들은 이 자료가 IDScan에서 유출되었을 가능성이 높다고 보고 있으나, IDScan은 목요일(9월 3일) 오전 현재 유출된 파일의 출처로 어떤 기업도 지목하지 않았고 자사 시스템의 침해 여부도 확인하지 않았습니다.
시저스는 즉각 반박했습니다. 성명에서 회사는 IDScan의 고객이었던 적이 없으며, 유출 사건이 알려지기 1년도 훨씬 전인 2025년 2월 이후로 회사의 VeriScan 시스템을 사용하지 않았다고 밝혔습니다.
“사건 발생 당시 저희는 활성화된 VeriScan 계정이 없었고, IDScan.net이 저희 계정에서 데이터를 보관하도록 승인한 적도 없기 때문에, 해당 회사는 이번 사건이 시저스 엔터테인먼트에 영향을 미치지 않을 것이라고 알려왔습니다.”라고 회사는 밝혔습니다.
서카는 Casino.org의 논평 요청에 응답하지 않았습니다. 응답이 있을 경우 본 기사에 업데이트할 예정입니다.
넥서스 포인트
이 기록들은 월요일(8월 31일) 러시아어 사이버범죄 포럼 Exploit에 Nexus라는 서비스가 광고되면서 드러났습니다. Nexus는 1억 7,000만 명 이상의 신원 문서에 대한 검색 가능한 접근권을 주장했으며, 여기에는 1억 5,300만 건 이상의 운전면허증, 1,000만 건 이상의 신분증, 300만 건 이상의 여행 문서 및/또는 국제 신분증, 그리고 최소 579,000건의 의료 카드가 포함됩니다.
운영자들은 이 데이터가 주요 신원 확인 제공업체에서 발생한 “활성 침입”에서 나왔다고 밝혔습니다. 보안 저널리스트 브라이언 크렙스(Brian Krebs)는 타임스탬프와 스캔 유형을 회사 시스템을 사용하는 기업들과 대조하여 뉴올리언스에 본사를 둔 IDScan.net을 가능성 있는 출처로 추적했습니다.
IDScan은 조사 중이라고 밝혔습니다. 크렙스의 기사 보도 후 알려진 고객 공지에서, 회사는 특정 정보가 노출되었을 가능성이 있으며 IDScan.net이 연루되었을 수 있다는 정보를 입수했고, 무단 접근이 발생했는지 여부를 파악하는 중이라고 밝혔습니다.
크렙스는 기록 중에서 자신의 버지니아 운전면허증을 발견한 후 데이터의 진위성을 확인했습니다. 타임스탬프는 그와 그의 어머니가 허츠(Hertz) 카운터에 면허증을 건넨 순간과 일치했습니다. (허츠는 IDScan이 자사 검증 서비스를 사용한다고 밝힌 브랜드 중 하나입니다.)
크렙스의 보도 이후 몇 시간 만에 Nexus 사이트는 다크웹에서 사라졌고, 로그인 페이지는 서비스가 더 이상 이용 불가능하다는 메시지로 대체되었습니다.
다른 사람들도 일치하는 기록을 발견했습니다. 보안 연구자 자크 에드워즈(Zach Edwards)는 자신의 면허증 타임스탬프가 라스베이거스의 플래닛 13(Planet 13) 대마초 판매점 방문 시점과 일치한다고 밝혔습니다. 2022년, IDScan은 플래닛 13과 독점 신원 확인 계약을 발표한 바 있습니다.
유출된 데이터에는 국방장관 피트 헤그세스(Pete Hegseth)와 FBI 부국장을 포함한 미국 고위 관료들의 기록도 포함되어 있었습니다. Nexus가 광고한 재고 목록에는 국방부 및 기타 보안 시설 출입에 사용되는 수십만 개의 공통 접근 카드(Common Access Cards)도 포함되어 있었습니다.
FBI 뉴올리언스 지부는 화요일(9월 1일) 조사를 개시했습니다.
독특한 신원 도용 위험
이번 유출 의혹을 유독 위험하게 만드는 것은 도난당한 데이터의 유형입니다. IDScan의 인증 프로세스는 문서당 6장의 이미지를 캡처할 수 있습니다: 가시광선 아래에서의 앞면과 뒷면, 적외선, 자외선입니다. 이러한 다중 스펙트럼 스캔은 은행과 정부 기관이 문서의 진위를 확인하는 데 사용하는 것과 동일한 인증 계층입니다.
연구자들이 검토한 유출 파일에는 일반 사진뿐만 아니라 적외선 및 자외선 스캔도 포함되어 있었습니다.
6장의 이미지를 모두 확보하면 범죄자들은 실제 면허증의 완전한 '스펙트럼 지문'을 손에 넣게 됩니다 — 이는 위조를 감지하도록 설계된 바로 그 시스템을 무력화할 수 있는 템플릿입니다.
또한 운전면허증을 재발급받는다고 해서 신원 도용의 위험이 사라지는 것은 아닙니다. 새 면허 번호가 이를 저장했던 모든 은행, 정부 기관, 렌터카 카운터, 또는 검증 시스템에서 기존 번호를 지워주지 않으며, 이미 촬영된 가시광선, 적외선, 자외선 이미지를 무효화하지도 않기 때문입니다.
시저스, FBI가 1억 5,300만 건의 운전면허 스캔 도난 사건을 조사하는 가운데 노출 부인 게시물이 Casino.org에 처음 게재되었습니다.