여권과 셀카가 해커에게 생중계됐다: 나이 인증 시대의 보안 역설

성인임을 증명하려고 제출한 여권과 셀카가 도리어 범죄의 재료가 됐습니다. 신분증 스캔본을 1년 넘게 외부에서 들여다볼 수 있었다는 의혹은 나이 인증 산업이 안고 있는 모순을 드러냅니다. 미성년자를 보호하자고 만든 장치 때문에 모든 이용자의 신원이 위험해진 셈입니다.

‘생중계’된 것은 영상이 아니라 신원 정보였습니다

여기서 생중계라는 말은 카메라 영상이 실시간으로 송출됐다는 뜻이 아닙니다. 이용자가 새로 제출한 신분증과 얼굴 사진을 외부인이 계속 확인할 수 있었다는 의미에 가깝습니다.

일반적인 신분 확인 과정에서는 이용자가 여권이나 운전면허증을 촬영한 뒤 얼굴 사진이나 짧은 셀카 영상을 제출합니다. 인증 업체는 두 자료를 비교해 동일인인지 판단합니다.

문제는 인증이 끝난 뒤입니다. 자료가 삭제되지 않은 채 접근 가능한 저장소에 남아 있었다면, 해커는 새로운 제출물이 들어올 때마다 가져갈 수 있습니다. 일회성 유출보다 더 위험한 지속형 노출입니다.

다만 공개된 정보만으로는 실제로 몇 명의 자료가 내려받아졌는지, 범죄에 악용됐는지까지 알기 어렵습니다. 외부에서 접근할 수 있었다는 사실과 대규모 탈취가 입증됐다는 주장은 구분할 필요가 있습니다.

비밀번호와 달리 얼굴은 바꿀 수 없습니다

비밀번호가 유출되면 바꾸면 되고, 카드번호도 재발급받을 수 있습니다. 하지만 얼굴과 생년월일, 여권 정보는 그럴 수 없습니다.

신분증 한 장에는 이름과 사진만 있는 게 아닙니다. 생년월일과 국적, 문서번호, 만료일 같은 정보도 담겨 있습니다. 여기에 셀카까지 결합되면 공격자는 실제 인물처럼 보이는 정교한 신원 도용 자료를 만들 수 있습니다.

생성형 AI 때문에 위험은 더 커졌습니다. 사진 몇 장만으로 얼굴 영상을 합성하고 음성을 덧붙이기 쉬워졌기 때문입니다. 이렇게 유출된 자료는 계정 탈취, 금융 사기, 허위 계정 개설에 거듭 쓰일 수 있습니다.

결국 이번 사건의 핵심은 단순히 파일 몇 개가 새어 나갔다는 데 있지 않습니다. 한 사람의 신원을 구성하는 원본 재료가 함께 노출됐다는 점이 더 심각합니다.

나이만 확인한다면서 왜 여권을 보관할까요

서비스가 실제로 알아야 할 정보가 이용자의 정확한 생년월일인 것은 아닐 수 있습니다. 대개 필요한 답은 “이 사람이 기준 연령 이상인가”라는 예·아니요입니다.

하지만 실제 인증 절차에서는 지나치게 많은 정보를 요구합니다. 여권 전체를 촬영하게 하고 얼굴 사진까지 받습니다. 인증이 끝난 뒤에도 원본 자료를 일정 기간 보관하기도 합니다.

업체는 부정 이용에 대응하고 분쟁을 처리하기 위해 필요하다고 설명할 수 있습니다. 규제 준수 기록도 필요합니다. 그렇더라도 보관 기간이 길어질수록 데이터는 자산이 아니라 부채가 됩니다.

더 나은 방법은 데이터 최소화입니다. 원본 신분증을 넘기는 대신 성인 여부를 나타내는 인증값만 서비스에 전달하는 방식입니다. 원본이 꼭 필요하다면 확인 직후 삭제하고, 보관을 피할 수 없다면 암호화와 접근 기록, 자동 파기 기한을 적용해야 합니다.

규제가 강해질수록 거대한 신분증 창고가 생깁니다

각국에서 온라인 나이 확인 의무가 확대되면 인증 수요도 빠르게 늘어납니다. 문제는 수많은 웹사이트가 이용자의 신분증을 직접 처리하기 어렵다는 데 있습니다. 결국 자료는 몇몇 전문 업체에 몰립니다.

편리한 대신 위험한 구조입니다. 한 업체만 뚫려도 여러 서비스 이용자의 여권과 얼굴 사진이 한꺼번에 노출될 수 있습니다. 그만큼 신분 확인 업체는 공격자에게 매력적인 단일 표적이 됩니다.

규제 기관도 “나이를 확인하라”는 의무만 부과해서는 안 됩니다. 어떤 정보를 수집할 수 있는지, 원본을 얼마나 오래 보관할 수 있는지, 사고가 나면 언제 알려야 하는지까지 함께 정해야 합니다.

인증을 외부 업체에 맡겼다고 해서 서비스 운영자의 책임이 사라지는 것도 아닙니다. 이용자에게 신분증 제출을 요구하는 서비스라면 인증 업체의 보관 정책과 보안 수준을 직접 확인해야 합니다.

조용한 커뮤니티 반응이 안전을 뜻하지는 않습니다

이번 리서치에서 살펴본 2026년 8월 5일부터 9월 4일 사이에는 새로 확인할 수 있는 커뮤니티 후속 논의가 없었습니다. 최근 반응 자료가 많지 않아 피해 규모나 이용자 여론을 단정하기는 어렵습니다.

그렇다고 논의가 적다는 이유로 사건의 중요도가 낮다고 볼 수는 없습니다. 신원 정보 사고는 피해가 곧바로 드러나지 않습니다. 몇 달 뒤 다른 서비스의 본인 확인이나 금융 사기에 쓰일 수도 있습니다.

앞으로 나이 인증은 더 흔해질 가능성이 큽니다. 이제는 “성인임을 어떻게 증명할 것인가”에서 한 걸음 더 나아가야 합니다. 증명한 뒤 남은 신원 정보를 누가, 얼마나 오래 가지고 있어야 하는가를 먼저 따져봐야 합니다.