플로리다주 DMV 법집행 조회 시스템이 경찰관 계정 탈취로 뚫리며 20만 건 이상 유출 주장이 나왔다. 주정부와 해커의 침투 경로 설명이 엇갈리는 이유를 살펴본다.
DAVID(Driver and Vehicle Information Database)는 일반 운전자가 아니라 경찰관·공무원이 운전면허·차량 등록 정보를 조회하는 플로리다주 법 집행 전용 시스템이다. 일반에 공개되지 않는 내부망 도구인 만큼, 접근 권한을 가진 계정 자체가 곧 신뢰의 경계선이다.
이 경계가 무너진 건 외부 침투 기술이 아니라 계정 하나 때문이었다. 갈취조직 ShinyHunters는 9월 7일 다크웹 유출 사이트에 "연락해라, 방법은 알지 않느냐. 아니면 파일을 공개하겠다"는 협박 문구와 함께 플로리다 DMV를 게시했다.
침투 경로를 둘러싼 설명은 두 당사자가 서로 다르다. 플로리다주 고속도로안전차량국(FLHSMV)은 "플랜트시티 경찰서 소속 직원 한 명의 로그인 정보가 개인 전자기기에 부적절하게 보관돼 있다가 탈취됐다"고 밝혔다 — 단일 계정, 단일 원인이라는 설명이다. 반면 ShinyHunters는 BleepingComputer에 DAVID 시스템의 비밀번호 재설정 기능 자체에 결함이 있어 여러 계정을 뚫었다고 주장했고, 그중엔 FBI 요원 계정도 포함된다고 했다. FLHSMV는 이 비밀번호 재설정 결함 주장을 확인해주지 않았다.
증거로 공개된 건 다름 아닌 제프리 엡스타인의 DAVID 조회 기록 스크린샷이었다 — 주소·사회보장번호·생년월일·운전면허번호·등록 차량 정보에 사진과 서명까지 담긴 화면이다. 이 한 건이 공격자가 실제로 얼마나 깊이 접근했는지를 보여주는 유일한 공개 증거이며, 전체 유출 데이터의 대표성은 확인되지 않는다.
ShinyHunters는 20만 건 이상의 운전자 기록을 훔쳤다고 주장하지만, FLHSMV는 접근 규모나 유출 건수를 공식적으로 확인하지 않았다. "침해는 신속히 차단됐고 추가 침해는 없다"는 게 주 정부의 공식 입장이다. FLHSMV는 플로리다주 법무장관실에 정식 침해 통보를 제출했고, 플로리다 디지털서비스(Florida Digital Service)·플로리다 법 집행국(FDLE)과 공동 대응 중이다. 수사가 진행 중이라는 이유로 세부 사항 공개는 미뤄졌고, 체포 소식도 아직 없다.
ShinyHunters는 낯선 이름이 아니다. 2024년 스노우플레이크(Snowflake) 클라우드 계정을 노려 티켓마스터·AT&T·산탄데르은행 고객 데이터를 훔친 것으로 알려진 바로 그 조직이다. 이번에도 시스템 자체의 취약점보다 계정 탈취를 진입 경로로 삼았다는 공통점이 있다.
이번 사건은 악성코드나 제로데이가 아니라 정상 계정으로 위장한 접근(MITRE ATT&CK T1078, Valid Accounts)이 핵심이다. 이런 유형은 시스템 로그만 봐서는 "정상 업무"와 구분하기 어렵기 때문에, 탐지는 계정의 평소 행동 패턴에서 벗어나는 지점을 잡아내는 데 달려 있다.
구체적으로는 한 계정이 평소보다 훨씬 많은 건수를 짧은 시간에 조회하는 이상 접근 패턴, 등록되지 않은 기기·낯선 IP 대역에서의 로그인, 비밀번호 재설정이 비정상적으로 반복되는 계정, 대량 데이터 내보내기 시도에 대한 이상 탐지 경고가 각각 조기 경보 지점이 될 수 있다. FLHSMV가 "신속히 차단했다"고 밝힌 것도 이런 이상 탐지 체계가 완전히 없지는 않았다는 뜻으로 읽을 수 있다 — 다만 발견까지 걸린 시간은 여전히 개선 여지를 보여준다.
플로리다주가 이번 사건의 원인을 "개인 기기에 보관된 로그인 정보"로 지목한 대목은 낯익다. 미국에서 DMV 데이터 오남용을 규제하는 연방법(Driver's Privacy Protection Act)은 1994년, 한 스토커가 사설탐정을 통해 캘리포니아 DMV 기록으로 배우 레베카 셰퍼(Rebecca Schaeffer)의 집 주소를 알아내 살해한 사건 이후 만들어졌다. 30년이 지난 지금도 문제의 본질은 바뀌지 않았다 — 데이터베이스 자체가 아니라, 그 데이터베이스에 합법적으로 접근할 수 있는 계정 하나가 여전히 가장 약한 고리라는 것이다.
한국에서도 도로교통공단·주민등록시스템처럼 공무원·경찰이 조회 권한을 갖는 국가 데이터베이스는 구조가 비슷하다. 개인 기기에 업무 계정 정보를 남겨두는 습관, 비밀번호 재설정 절차의 허점은 국적을 가리지 않는 취약점이라는 점에서 이번 사건은 남의 일로만 보기 어렵다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.