타임즈카 침해로 신분증 기록 160만 건 노출…일본서 운전면허증 재발급 신청 증가

새 면허증을 발급받아도 유출된 정보는 사라지지 않는다

일본 타임즈카 서비스에 대한 사이버 공격으로 회원 기록 약 160만 건에 포함된 신분증이 노출됐다. 경찰은 면허증을 재발급받아도 사기 피해를 막는 효과가 제한적이라고 경고했지만, 운전면허증 재발급을 요청하는 사람들이 늘고 있다. 보도에 인용된 회사 공시에 따르면 이번 침해로 현재 회원과 전 회원 계정 약 660만 개가 영향을 받았다.

당장 문제가 되는 것은 새 면허증으로도 바뀌지 않는 정보다. 일본 운전면허증을 재발급하면 사진과 재발급 횟수를 기록하는 12자리 번호의 마지막 숫자만 바뀐다. 범죄자들이 이미 복사한 이름, 주소, 생년월일은 계속 노출된 상태로 남는다. 또 도난당한 면허증 이미지를 확인하는 사업자가 해당 면허증이 이후 재발급됐는지 확인할 믿을 만한 방법도 없다.

경찰청은 금융기관과 기타 사업자에 본인 확인 절차를 강화하라고 촉구하고, 개인정보가 악용됐다고 의심되면 신속히 경찰에 상담하라고 당부하고 있다. 별도로 금융청은 10월 9일 금융기관에 업로드한 신분증 사진을 확인하는 방식에서 실물 카드 안의 전자 칩을 읽는 방식으로 전환하는 시기를 앞당겨 달라고 요청했다.

이 변경은 범죄수익 이전 방지법 시행을 위한 개정 규정에 따라 이미 예정돼 있다. 2027년 4월 1일부터 대면 확인 없이 본인 확인을 하는 경우, 해당 규정이 적용되는 방식에서 신분증 사진을 보내는 방법은 더 이상 인정되지 않는다. 칩 판독이 표준 방식이 되며, 적합한 신분증이나 스마트폰이 없는 사람을 위한 대체 방식은 유지된다.

노출 규모는 어느 정도인가?

타임즈카는 파크24의 계열사가 운영한다. 이 서비스는 9월 25일 침입 사실을 발견했다. 보도에 따르면 계정 또는 유출 기록 약 660만 건이 영향을 받았으며, 이 가운데 운전면허증 이미지 등 신분증이 포함된 기록은 약 160만 건이다.

이 수치는 같은 전체 규모에 대한 서로 다른 추정치가 아니라 침해의 서로 다른 부분을 나타낸다. 보도된 계정 수를 기준으로 하면 영향을 받은 기록 가운데 신분증이 포함된 비율은 약 24%, 즉 거의 4건 중 1건이다. 어느 수치도 서로 다른 개인의 정확한 수를 보여주는 것은 아니며, 조사에 따라 총계가 수정될 수 있다.

노출된 정보에는 이름, 집 주소, 생년월일, 전화번호, 이메일 주소, 면허증 정보가 포함됐을 수 있다. 후쿠오카시에 사는 타임즈카 이용자 한 명은 주소, 생년월일, 전화번호, 이메일 주소와 면허증 이미지가 유출 정보에 포함됐다는 통지를 받았다.

과거 고객도 피해를 입었다. 보도에 따르면 고객 데이터가 약 7년간 보관돼, 원래 목적이 끝난 뒤에도 기업들이 민감한 문서를 계속 저장하는 문제가 주목받았다. 일본 개인정보보호위원회는 기업에 더 이상 필요하지 않은 개인정보를 삭제하라고 촉구했다.

대응과 관련된 주요 일정

본인 확인 강화 움직임은 타임즈카 침입 사건보다 앞서 마련된 규제 변경에 따른 것이다. 이번 침해로 법 시행일 전에 해당 변경을 이행해야 한다는 압박이 커졌다.

• 2025년 6월: 본인 확인 규정 개정안이 공포돼, 업로드된 신분증 이미지에 기반한 해당 방식의 종료 시점이 정해졌다.
• 2026년 9월 25일: 타임즈카가 침입 사실을 발견했다.
• 9월 29일: 피해 고객 한 명이 개인정보 유출을 확인하는 이메일을 가나자와에서 받았다.
• 10월 8일: 구스노키 요시노부 경찰청 장관이 기자회견에서 사이버 보안과 사기 예방 문제를 다뤘다.
• 10월 9일: 금융청이 카드 칩을 이용한 본인 확인의 조기 도입을 요청했다.
• 10월 11일: 일본 전역에서 문의와 면허증 재발급 신청이 늘고 있다는 보도가 나왔다.
• 2027년 4월 1일: 개정된 본인 확인 규정이 시행될 예정이다.

10월 9일 요청은 기존 본인 확인 방식을 즉시 금지하는 새로운 조치가 아니라, 시행을 앞당겨 달라는 요청이다. 아직 사진을 사용하는 금융기관에는 전환을 준비하는 동안 신분증과 얼굴 이미지를 면밀히 확인해 달라고 당부했다.

재발급 신청이 늘어나는 이유

침해 사실이 공개된 뒤 경찰서와 운전면허시험장에는 문의가 잇따랐다. 노출된 신분증이 신원 도용에 사용될 수 있다는 우려를 반영해, 사람들은 면허증 재발급과 등록 정보 변경에 관해 문의했다.

면허증은 일반적으로 분실, 도난, 훼손 또는 등록 정보 변경 등의 이유로 유효기간 중 재발급된다. 도도부현 공안위원회는 그 밖의 중대한 사유가 있을 때도 재발급을 승인할 수 있다. 타임즈카 정보 유출 이후에는 오용 위험을 재발급 사유로 인정해 거의 모든 사무소가 신청을 받고 있는 것으로 보도됐다.

이시카와현 운전면허시험장에는 하루에도 여러 건의 문의가 들어오고 있다. 가나자와의 현 운전면허시험장과 와지마·스즈 경찰서에서 신청을 받고 있다. 보도된 수수료는 일반 면허증 2,600엔, 운전면허 정보를 마이넘버 카드와 연계한 마이넘버 면허증 1,500엔이다.

타임즈카를 2년간 이용한 30대 가나자와 남성은 9월 29일 통지를 받은 뒤 재발급을 고려하고 있었다. 현지 보도 당시 그는 자세한 후속 설명을 받지 못했다고 말했다. 법인 명의로 타임즈카를 이용하는 가나자와의 한 회사는 모든 직원에게 이메일로 경고했지만 서비스 이용은 계속했다.

면허증 재발급으로 실제 바뀌는 것

면허증을 재발급해도 노출된 신원 정보가 초기화되는 것은 아니다. 사진과 번호 마지막 숫자는 바뀌지만, 복사된 문서에 담긴 나머지 정보는 여전히 신원 도용 시도에 악용될 수 있다. 재발급을 받아도 기업 시스템에서 이미 빠져나간 이미지를 회수하거나 삭제할 수는 없다.

사진을 갖고 있다는 사실은 그 사진을 제출하는 사람이 실물 카드를 갖고 있다는 증거가 아니므로 이 구분은 중요하다. 사업자가 충분한 추가 확인 없이 이미지를 받아들이면, 정당한 소지자가 새 카드를 발급받아도 누군가가 예전 이미지를 제시하는 것을 막는 데 별 도움이 되지 않을 수 있다.

개인정보보호위원회는 유출된 면허증 이미지가 신용카드 발급, 은행 계좌 개설, 휴대전화 계약 등에 악용될 수 있다고 경고했다. 이는 발생 가능한 악용 사례이지, 노출된 모든 신분증이 이미 부정하게 사용됐다는 뜻은 아니다.

보도에는 재발급 완료 건수의 전국 합계나 타임즈카 침해와 구체적으로 연관된 사기 피해 확정 건수가 제시되지 않았다. 광범위한 우려와 지역별 신청 움직임은 확인되지만, 재정적 피해를 입은 사람이 몇 명인지는 아직 집계되지 않았다.

은행에 카드 칩 판독을 촉구하는 이유

칩을 이용한 본인 확인은 신청자가 업로드한 사진에만 의존하는 대신 운전면허증이나 마이넘버 카드 같은 실물 신분증에서 전자 정보를 읽는다. 따라서 도난당한 이미지 하나만으로는 칩 판독 절차를 완료할 수 없다.

가타야마 사쓰키 금융상은 금융기관에 고객 신원을 확인할 때 강화된 절차를 이용하라고 촉구했다.

집적회로 칩 데이터 판독을 포함한 본인 확인 절차를 제대로 이행해야 한다.

금융청의 10월 9일 통지에서는 위탁업체 관리 등 사이버 보안 대책을 점검하라고도 요청했다. 통지는 특정 침해 사건을 지목하지는 않았지만, 타임즈카 침입과 신분증이 관련된 다른 사건이 공개된 뒤 나왔다.

개정 규정은 칩이 내장된 신분증이나 근거리무선통신(NFC)을 지원하는 스마트폰이 없는 사람을 위한 대체 방식을 유지한다. NFC는 호환되는 스마트폰을 카드 가까이에 대고 통신하는 기술이다. 대체 방식에는 위조 방지 조치가 적용된 실물 신분증을 우편으로 보내는 방법 등이 포함된다.

칩 판독은 신원 도용으로 이어지는 한 가지 경로를 차단한다. 하지만 유출된 주소, 생년월일, 전화번호를 쓸모없게 만들지는 않으며, 금융기관이 의심스러운 신청을 살펴봐야 할 필요도 없애지 않는다.

공통 범인은 확인되지 않은 사이버 공격 확산

타임즈카 침해와 더불어 운송, 소매, 외식 서비스의 피해 사실도 공개됐다. 보도된 사건에는 야키니쿠킹 식당 체인의 예약·포인트 앱에서 복사된 고객 기록 1,000만 건 이상, JR동일본 에키넷 예약 시스템에서 노출된 이메일 주소 약 167만 개 등이 포함된다.

도쿄메트로, 로손, 니케이 관련 사건도 보도됐다. 후쿠오카에서는 소매업체 미스터맥스와 교통카드 서비스 니모카의 정보 공개가 있었고, JR규슈는 웹 회원의 이메일 주소가 유출됐을 가능성이 있다고 밝혔다. 사건마다 노출된 정보가 다르므로 사진으로 된 신분증이 포함된 침해와 동일하게 취급해서는 안 된다.

다이라 마사아키 디지털상은 긴급회의를 소집하고 상황을 다음과 같이 표현했다.

사이버 공간의 비상사태

후루카와 도시하루 사이버보안 담당상도 상황의 심각성을 다음과 같이 밝혔다.

매우 위중하다

경제산업성은 약 1,000개 업계 단체에 통신 장비와 시스템의 취약점을 점검하라고 요청했다. 광범위한 공격 흐름과 관련해 책임을 주장한 단체는 없으며, 수사 당국도 공통된 단일 범인을 확인하지 못했다.

공격 방식에 관해 알려진 사실은?

일본 컴퓨터 긴급대응센터(JPCERT/CC)는 최근 공격에서 관찰된 기법으로 패치되지 않은 소프트웨어 결함 탐색, 모바일 앱을 통해 발견한 내부 인터페이스의 악용, 분석 도구 메타베이스의 알려진 SQL 인젝션 취약점 악용 등을 설명했다.

SQL 인젝션은 취약한 애플리케이션이 의도하지 않은 작업을 수행하도록 데이터베이스 요청을 조작하는 기법으로, 저장된 정보가 노출될 수 있다. 보도된 기법은 광범위한 공격 활동을 이해하는 데 참고가 되지만 타임즈카 공격에 어떤 방식이 사용됐는지는 밝혀주지 않는다.

후쿠오카공업대 정보인프라센터는 30분 동안 공격 시도 약 9,000건을 차단한 것으로 보도됐다. 이는 개별 기관이 마주한 악의적인 활동의 규모를 보여주는 사례다. 성공한 침해 건수나 전국적으로 도난당한 기록 규모를 나타내는 수치는 아니다.

보안 전문가들은 인공지능이 표적을 찾는 데 드는 수고를 줄일 수 있다고 봤다. 보안업체 블랙판다의 히라오카 마사키는 해당 공격이 AI와 명시적으로 연계된 것은 아니라고 경고했다. AI 사용 가능성이나 네트워크 트래픽이 시작된 것으로 보이는 지역만으로는 책임 소재를 확인할 수 없다.

피해자들이 주의해야 할 점

경찰청은 침해를 당한 기업을 사칭하는 사기 전화와 피싱 이메일이 더 늘어날 것으로 보고 있다. 노출된 연락처 정보로 인해 이런 메시지가 더 그럴듯하게 보일 수 있다. 특히 발신자가 상대의 이름, 주소, 서비스 가입 여부를 알고 있는 경우 그렇다.

구스노키 요시노부 경찰청 장관은 10월 8일 기자회견에서 경찰청이 수사와 예방을 모두 추진하겠다고 밝혔다. 그는 사기 전화를 차단하는 앱 사용, 비밀번호 변경, 의심스러운 이메일 회피 등 기본적인 예방 조치를 권고했다.

당국은 사기나 정보 오용이 의심되면 신속히 경찰에 연락하라고 당부한다. 모르는 계약이나 계좌를 발견한 경우 개인정보보호위원회는 해당 신용카드사나 은행에도 상담하라고 안내한다. 침해 통지는 정보가 노출됐다는 사실을 알리는 것이며, 예상하지 못한 계좌, 계약, 거래가 발견되면 별도로 대응해야 한다.

다음으로 예정된 주요 일정은 2027년 4월 1일이다. 패스키, 침입 탐지, 불필요한 데이터 삭제 등의 조치를 포함한 개정 개인정보보호 지침도 내년 4월 발표될 예정이다. 그때까지 기업은 본인 확인과 정보 보호를 강화하고, 피해자는 면허증 재발급으로 막을 수 없는 정보 오용에 계속 주의를 기울여야 한다.

핵심 내용

• 타임즈카 계정 약 660만 개가 영향을 받았으며, 이 가운데 약 160만 건에는 신분증이 포함됐다.
• 면허증을 재발급하면 사진과 번호 마지막 숫자는 바뀌지만, 노출된 개인정보 대부분은 그대로 남는다.
• 이시카와현에서 재발급 신청을 받고 있으며, 보도된 수수료는 일반 면허증 2,600엔, 마이넘버 면허증 1,500엔이다.
• 금융기관은 2027년 4월 1일 새 규정이 시행되기 전에 카드 칩을 활용한 본인 확인을 도입하라는 요청을 받았다.
• 당국은 신원 도용, 사기 계약, 사기 전화와 가짜 이메일을 경고하며, 정보 오용이 의심되면 신속히 상담하라고 당부한다.
• 보도된 공격 확산과 관련해 단일 범인은 확인되지 않았으며, 타임즈카 침해로 발생한 사기 피해의 전국 합계도 집계되지 않았다.