영화 미션 임파서블에서 매 시리즈마다 등장하는 단골 특수장비가 있습니다. 바로 특정 인물의 얼굴을 3D 스캐닝 해서 완전히 똑같은 얼굴 형태로 만들어주는 가면 프린터죠. 얼마나 효과가 좋았으면 에단 헌트 일행이 과도하게 애용(?)하는 것을 막기 위해 일부러 극중에서 고장을 내기도 하는 장비입니다.
사람들을 속일 수 있어서 CCTV나 경비원 우회 같은 사회공학적 해킹에도 사용되고, 안면인식 장비도 쉽게 무력화하는 것을 영화 내에서 볼 수 있습니다. 실제 안면인식 기술 기업 '크네론(Kneron·耐能)'은 공공장소와 간편결제 시스템의 안면식별 기술을 기만하는 실험을 실시한 적이 있었습니다.
영화처럼 온 머리를 다 뒤덮지도 않은 얄팍한 가면 한 장을 썼음에도 불구하고 안면식별 기술을 적용한 알리페이와 위챗페이 결재를 문제없이 진행했고 중국 국경 인근 검문소와 네덜란드 암스테르만의 스키폴 국제공항의 보안망을 죄다 뚫어냈습니다.
대중화된 생체 인식 보안, 유출 위험도 급상승
실제 다양한 생체정보를 활용한 보안 및 인증은 주민등록증을 비롯한 여러 분야에 쓰이고 있었지만, 최근 휴대전화 모니터의 대형화, 버튼의 모니터 통합 등을 통해 안면인식, 혹은 지문인식 기능이 휴대전화에 탑재되기 시작하면서 우리 생활 속에서 크게 대중화되었습니다.
생체 인식 보안은 주로 홍채, 지문, 얼굴 등이 사용되죠. 그런데 최근 다크웹에서는 커다란 사건이 발생했습니다. 바로 비트코인을 법정화폐로 도입했다고 뜨거웠던 엘살바도르인데요.
CiberinteligenciaSV라는 닉네임을 사용하는 해커는 엘살바도르 국민 500만명, 전체 인구의 약 80%에 해당하는 수치의 개인 식별 정보를 다크웹을 통해 유포했습니다. 공개된 데이터는 약 144GB가량으로 DUI(Documento Único de Identidad, 엘살바도르 주민등록 번호), 이름, 생년월일, 전화번호, 이메일주소, 거주지 주소가 유출되었습니다.
가장 중요한 것은 고화질 사진만 5,129,518건이 유출되었다는 것입니다. 피해자의 PII(Personally identifiable information, 개인 식별 정보)와 함께 유출된 이 얼굴 사진으로 인해 현재 사용되는 다양한 생체정보를 통한 인증과 결합할 경우 심각한 사기 및 신원 도용의 위협을 일으킬 수 있게 되었는데요.
이번 데이터 유출은 사이버 범죄 역사상 처음으로 한 국가의 거의 전체 인구가 생체 인식 데이터 손상/유출 사례로 앞으로도 생체 인식 보안과 해킹 분야에 많은 영향을 줄 것으로 예상됩니다.
생체 인식 데이터와 생성형 AI 기술 결합의 위험성
현재 생성형 AI는 소위 '황금시대'를 지나고 있습니다. 그런 상황에서 초고화질 사진을 통해 생체 인식 데이터 마커를 손쉽게 얻게 된 이번 사건의 유출 자료와 PII가 결합하면 최신 딥 페이크 기술을 통해 디지털 금융을 비롯, 광범위한 범위에서 공격을 받을 수도 있습니다.
심지어 많은 정부나 기관이 생체정보를 주효한 인증 수단으로 채택하고 있고 이런 경향성이 점점 확산되고 있기에 문제는 더욱 심각해질 수 있습니다.
비밀번호나 개인키는 잊어버리거나 유출되더라도 바꿔버리면 괜찮습니다. 하지만 생체 인식 정보는 바꿀 수 없죠. 인증에 대한 신뢰성이 영구히 훼손될 수 있습니다. 실제 FTC(Federal Trade Commission, 미 연방 거래 위원회)는 "머신 러닝 기반 기술을 포함하여 소비자의 생체 인식 정보 및 관련 기술의 사용이 증가함에 따라 상당한 소비자 개인 정보 보호 및 데이터 보안 문제가 제기되고 편견과 차별 가능성이 높아진다"고 경고하기도 했습니다.
생체 인식 보안의 특성과 유출 시 위험성
공공 및 민간 부문에 걸쳐 전 세계의 기업과 기관에서는 고객, 직원 및 시민의 신원을 수집, 처리 및 확인하기 위해 얼굴, 홍채 및 지문 인식 기술을 점점 더 많이 채택하고 있습니다. 다른 생체 정보 기술은 단일 바이오마커를 기반으로 피험자의 나이, 성별, 인종부터 성격 특성, 건강, 적성, 감정적 성향에 이르기까지 개인의 다양한 특성을 판단할 수 있다고 주장합니다.
데이터 캡처. 생체 인식 확인 및 분석을 위한 최신 사용 사례에는 의료 심사, 채용, 여행, 금융 서비스의 KYC(Know Your Customer, 고객 파악) 확인 및 일반 보안 검사가 포함됩니다.
그러나 소비자는 생체정보의 제도적 수집 및 사용과 관련하여 점점 더 커지는 위험에 직면해 있습니다. 예를 들어, 특정 위치에 있는 소비자를 식별하기 위해 생체 정보 기술을 사용하면 그들이 받은 의료 유형, 참석한 종교, 직장, 정치 또는 노동 조합 참여와 같은 민감한 개인 정보가 노출될 수 있습니다.
최근 일리노이주의 한 여성이 소매업체인 Target을 상대로 제기한 집단소송은 생체인식 데이터 수집을 둘러싼 불신이 점점 커지고 있음을 보여줍니다. Fox Business에 따르면 원고의 소송은 "거인 소매업체가 주법을 위반하여 동의 없이 얼굴 및 지문 스캔을 포함한 생체 인식 데이터를 수집하고 저장했다"는 내용이 주가 되었는데요.
이렇게 생체 인식 데이터를 수집하는 조직이 증가하면 증가할수록 해커들 입장에서 고유한 신원 기록에 대한 공격은 더욱 매력적으로 다가올 수밖에 없게 됩니다.
안면 인식부터 지문 정보까지 광범위한 정보 유출 사례
얼굴 정보만 유출된 것이 아닙니다. 이런 공격은 과거에도 있었는데요. 2023년 글로벌 인터넷 보안업체 NordVPN는 다크 웹 포럼에서 81,000개의 지문을 발견했다고 경고한 바 있습니다.
해당 정보는 휴대전화를 이용한 유출로, 악성 코드에 감염된 앱이 스마트 기기에 저장된 생체 인식 데이터의 접근 권한을 받으면 악성 코드를 해커들은 생체 인증 정보를 취득할 수 있게 됩니다. 심지어 신뢰할 수 있는 앱이라도 앱 공급업체의 클라우드 서버에 저장되거나 데이터 전송 중에 해커들이 데이터를 가로챌 수 있죠.
사실상 인터넷에 기록된 모든 데이터는 해킹 위험에 노출되어 있다고 봐도 됩니다. 사이버 범죄자에게 생체 인식 정보는 신원 도용의 흔한 수단이 되어가고 있었는데, 활발한 소셜 미디어 사용과 딥페이크 기술이 발전하면서 생체 인식 데이터 도난, 그리고 활용이 더욱 쉬워지면서 문제가 더욱 커지게 된 거죠. 생성형 AI와 결합되면 이런 생체 인증 정보는 더욱 위험한 무기가 될 수 있습니다.
생체정보 보호를 위한 가이드라인과 보호 조치
한국 정부에서도 이런 피해를 예방하기 위해 개인정보보호위원회는 2021년 9월 '생체정보 보호 가이드라인'을 개정, 생체인식정보 보호 조치를 통해 생체정보의 안전한 활용 방법을 제시하고 있습니다.
개인정보보호법 시행령 제18조 제3호에서는 민감정보를 '개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보'라고 규정하고 있습니다.
생체정보는 개인을 인증 또는 식별하기 위한 목적으로 입력장치 등을 통해 수집·입력한 '원본정보'와 데이터마커를 통해 특징점을 추출, 생성된 '특징정보'로 구분되는데요. 법령에 따르면 특징정보 역시 민감정보에 해당하므로 개인정보보호법 제23조(민감정보의 처리 제한)가 적용됩니다. 생체인식정보는 안전한 알고리즘으로 암호화해 저장해야 합니다.
암호화할 때 사용한 암호키는 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립하고 이에 따라 관리해야 합니다. 또한 보유/이용기간이 지나거나 처리 목적이 달성된 경우, 해당 생체인식정보는 지체 없이 파기해야 합니다. 또한 정보통신망을 통해 생체인식정보를 전송해야 한다면 안전한 알고리즘으로 암호화한 뒤 전송해야 하며, 전송 구간 또한 SSL/TLS, VPN 등을 적용해 보호해야 합니다. 관리 시에도 임의의 값을 사용하여 데이터를 매핑, 식별자를 통해 원본정보에 해당하는 개인정보가 식별되지 않도록 하기 위한 기술적 조치를 이행해야 합니다.
이런 논란 속에서도 한 가지 중요한 것은 있습니다. 바로 보안의 기본이죠. 전문가와 다양한 장치를 이용하여 꾸준히 모니터링과 이상행동에 대한 감사를 수행하는 것입니다. 인텔렉추얼데이터는 소송자료라는, 어찌보면 소송 대상자에게는 생체정보만큼이나 민감한 자료를 취급하고 있기에 더욱 최선을 다해서 정보 보안에 주력하고 있습니다.
