2026년 9월, 미국의 신원확인 업체 IDScan이 1억 5천만 건이 넘는 운전면허 정보가 유출됐다고 공식 확인했다. 보도에 따르면 공격자는 약 1년에 걸쳐 회사 시스템에 머물렀고, 클라우드에 보관된 면허 스캔본(사진 포함)과 여권 등 신분증 정보까지 가져갔다. 유출 데이터는 다크웹 판매 사이트에 올라왔다.
주목할 점은 IDScan이 해킹당한 '최종 서비스'가 아니라는 것이다. 이 회사는 다른 기업들의 본인확인을 대행하는 위탁 업체다. 술집·공연장·대여 서비스 같은 고객사들이 "신분증 확인"을 맡겼고, 그 확인 과정에서 수집된 원본 스캔이 위탁 업체의 클라우드에 쌓여 있다가 한꺼번에 털렸다.
남의 일이 아닌 이유 — 우리도 '맡기고' 있다
한국 기업 대부분이 같은 구조 위에 있다. 본인확인(PASS·아이핀), 신분증 OCR, 계좌 인증, 결제 — 전부 외부 API로 연동하고, 데이터 일부는 위탁 업체 인프라에 남는다. 국내에서도 민간 인증기관 해킹으로 주요 인사 정보가 유출된 사건이 바로 지난달이다. 공격자는 점점 최종 서비스가 아니라 여러 회사의 데이터가 모이는 길목을 노린다.
법적 책임도 위탁했다고 사라지지 않는다. 개인정보보호법상 수탁사 사고에도 위탁사의 관리·감독 책임이 따라오고, 9월 시행 개정법에서는 고의·중과실로 1천만 명 이상에게 피해를 낸 경우 등 세 가지 경우 중 하나에 해당하면 과징금 상한이 전체 매출액의 10%로 높아졌다(일반 위반은 3%).
IDScan의 실패 지점에서 배울 3가지
1. 필요 이상으로 오래, 원본을 보관했다.
신분증 '확인'이 목적이면 확인 결과만 남기면 된다. 원본 스캔·사진을 클라우드에 장기 보관하는 순간, 그 저장소는 공격자에게 최고 가치의 표적이 된다. 우리 서비스가 위탁 업체에 넘긴 데이터가 어떤 형태로, 얼마나 오래 남는지 계약서에서 확인하라. 암호화·보관 기간·파기 확인·감사 권한이 명시돼 있지 않다면 그게 첫 번째 구멍이다.
2. 1년을 머물러도 몰랐다.
침입 자체보다 뼈아픈 건 체류 기간이다. 위탁 업체의 접속은 '정상 트래픽'이라 이상 징후로 잡히지 않는 경우가 많다. 외부 업체 계정에 IP 제한·2단계 인증이 있는지, 계약 종료 후 계정이 회수되는지, 그들의 접속을 우리 로그에서 구분할 수 있는지 확인하라.
3. API가 곧 데이터의 통로였다.
연동 API의 인증·인가가 약하면 위탁 업체를 거치지 않고도 같은 데이터가 샌다. 인증 토큰 관리, 권한 범위(우리가 준 키로 무엇까지 조회 가능한가), 입력값 검증, 호출 로깅까지 — 실무 점검 항목은 API 보안 취약점 점검 가이드에 정리해 뒀다.
30초 자가점검
- 신분증·개인정보를 다루는 외부 위탁 업체 목록을 즉시 댈 수 있는가
- 위탁 계약에 암호화·보관 기간·파기·감사 항목이 명시돼 있는가
- 외부 업체 계정에 IP 제한과 2단계 인증이 걸려 있는가
- 연동 API 키의 권한 범위와 호출 로그를 확인할 수 있는가
- DB·스토리지에 최소 권한 원칙(RBAC)이 적용돼 있는가
위탁 구조의 보안은 '계약서'가 아니라 '점검'으로 관리된다
먼저 우리 서비스가 외부에서 어떻게 보이는지 — 노출된 관리자 경로, 열려 있는 저장소, 방치된 엔드포인트 — 를 30초 무료 스캔으로 확인하는 것이 시작점이다. 위탁 업체와 얽힌 API·권한 구조, 로그인 이후의 데이터 흐름까지 보려면 SENTRIX 모의해킹·취약점 진단으로 이어가면 된다. 찾는 것에서 끝내지 않고, 계약·접근 통제 개선까지 함께 정리한다.