십억 신원 털렸다…열린 포트 하나에 SIM스왑 공구까지 '세트

십억 개의 신원, 하나의 열린 포트, 그리고 즉시 배송 가능한 SIM 스왑 키트

잘못 설정된 MongoDB 인스턴스 하나가 비밀번호 없이 공개 인터넷에 노출되어 있었다. 약 30억 건의 기록 가운데 민감한 개인 식별 정보가 담긴 10억 건이 그 안에 들어 있었다. Cybernews 연구원들이 2025년 11월 11일 이를 발견했지만, 정확히 언제부터 열려 있었는지는 확인되지 않았다. 유출의 출처는 캘리포니아에 본사를 둔 신원 확인 공급업체 IDMerit으로 추적됐다. 이번 유출은 이름과 생년월일 정도가 아니었다. 통신사 메타데이터와 전화번호까지 묶여 있어, 산업용 SIM 스왑 조직이 대규모로 수탁 거래소 계좌를 털어내는 데 필요한 재료 목록을 그대로 제공한 셈이 됐다.

노출된 내용

데이터 분류를 보면 마치 신원 사기 조직을 위한 최악의 쇼핑 목록을 보는 듯하다. 1테라바이트가 넘는 인스턴스 내부에서 Cybernews가 확인한 것은 다음과 같다. 전체 이름, 거주지 주소와 우편번호, 생년월일, 국가 신원 번호, 전화번호, 성별, 이메일 주소, 그리고 각 가입자가 어느 이동통신망에 연결돼 있는지를 보여주는 통신사 메타데이터. 여기에 더해 해당 신원이 언제, 어떤 방식으로, 어떤 상대방에 대해 검증됐는지를 기록한 KYC/AML 검증 로그까지 포함돼 있었다.

각 필드는 단독으로는 복구가 가능하고, 레거시 유출 시장에서 때로는 값싸게 거래되기도 한다. 하지만 이들이 조합되면 상황은 달라진다. 국가 신원 번호에 현재 거주지 주소, 이동통신사, 일치하는 전화번호, 타임스탬프가 찍힌 KYC 통과 기록까지 더해지면, 기능적으로 공증된 신원 패키지가 완성된다. 사기 작업자가 평소라면 4~5개의 별도 출처에서 모아야 할 유형의 묶음이 한 데 모인 것이다.

지리적 범위는 최소 26개국에 걸쳐 공개됐으며, 기록이 가장 많이 몰린 국가는 다음과 같다.

• United States: 2억 300만 건
• Mexico: 1억 2400만 건
• Philippines: 7200만 건
• Germany: 6100만 건
• Italy: 5300만 건
• France: 5300만 건

KYC/AML 로그는 별도로 주목할 만하다. 이것은 단순한 원시 신원 문서가 아니라 신원 확인의 감사 추적 기록이다. 공격자가 이를 읽으면 어떤 핀테크 업체나 거래소가 이미 특정 신원을 신뢰하는지, 그 신뢰가 언제 발급됐는지, 어떤 문서로 검증됐는지를 알 수 있다. 이는 사기 시도를 냉철한 접근에서 따뜻한 사칭으로 전환시킨다. 지원 서류는 이미 사전 검증된 상태이기 때문이다.

99일의 공백

Cybernews는 2025년 11월 11일 열린 인스턴스를 발견하고 같은 날, 혹은 직후 IDMerit에 통보했다. 데이터베이스는 발견 다음 날인 11월 12일에 보안 처리됐다. 공개 발표는 최초 발견 후 99일이 지난 2026년 2월 18일에 이뤄졌다. Cybernews는 이 지연을 해당 데이터셋의 민감도를 고려할 때 표준적인 책임 있는 공개 관행으로 설명했다.

그러나 IDMerit의 대응은 문서화된 사실과 일치하지 않았다. 해당 기업은 "검토 결과 IDMERIT 환경 내 노출, 취약점 또는 무단 접근이 발견되지 않았다"며 "IDMERIT의 시스템과 보안 인프라는 결코 침해된 적이 없다"고 밝혔다. 또 "고객 데이터가 유출되었다는 징후가 없다"고 덧붙이며 이 사건이 "랜섬 관련"일 가능성을 제기했다. 이 문구는 신중하게 다듬어졌지만, 연구원들이 우연히 접근한 MongoDB 엔드포인트에서 비인증 상태로 제공된 IDMerit 검증 로그가 브랜딩된 1테라바이트 데이터셋이라는 경험적 사실과는 배치된다. 해당 기업이 "독립적인 데이터 소스와 관련된 데이터 포트"가 잠재적으로 열려 있었을 수 있다고 한 더 좁은 표현은, 기술적으로 부인이 성립하는 틈새를 노린 것이다. 하지만 데이터베이스에 이름이 올라간 개인들이 입은 피해가 그런 구별 때문에 덜 실재적인 것은 아니다.

SIM 스왑 파이프라인

SIM 스왑 관점에서 보면, 이 유출은 곤란한 수준을 넘어 무기화가 가능한 수준으로 끌어올려진다. Cybernews는 공개 발표에서 노출된 이동통신사 메타데이터(이동통신망 정보 포함)가 "SIM 스왑 공격을 촉진할 수 있다"고 적었으며, 전화번호와 결합된 통신사 메타데이터가 "범죄자들이 인증 코드를 가로채기 위해 피해자의 전화번호를 탈취할 위험을 증가시킨다"고 별도로 언급했다.

이 메커니즘은 이미 잘 알려져 있다. 2024년 800만 달러 SIM 스왑 암호화폐 절도 사건의 연방 유죄 판결은 KrebsOnSecurity의 심층 보도를 통해 표준 파이프라인을 명확히 했다. 운영자는 고가치 계좌를 표적으로 삼고, 피해자의 통신사를 식별한다. 그 뒤 소매점에 직접 방문하거나 콜센터를 사회공학적으로 조작해 통신사의 인증 검사를 통과할 만큼 충분한 신원 증명을 제시한다. 번호를 운영자가 통제하는 SIM으로 포팅한 뒤, 거래소에서 오는 SMS 일회용 비밀번호를 가로채고 계좌를 재설정한다. 이 파이프라인의 모든 단계에는 마찰이 있고, 그 마찰의 핵심은 통신사의 신원 확인이다. IDMerit 데이터셋은 바로 그 마찰을 제거한다. 국가 신원 번호, 주소, 생년월일, 현재 통신사가 스크립트에 붙여넣기만 하면 되는 상태라면, 예전에는 소형 범죄 조직이 피해자당 수 주에 걸쳐 수행하던 작업이 조립 라인으로 축소된다.

여기가 헤드라인 숫자가 가리는 부분이다. 십억 건의 민감한 기록이 십억 건의 불량 결과는 아니다. 이는 산업용 SIM 스왑을 위한 수 년간의 노동 투입이며, 데이터베이스가 불가피하게 유통될 때 구매자가 조각을 획득하는 대로 분배된다.

KYC 공급업체가 새로운 공격 표면이 된 이유

IDMerit 유출은 고립된 사건이 아니다. 클라이언트 목록에 Bitget, Bitpanda, Bybit, Huobi, Wirex를 포함하는 Sumsub는 2026년 초 자체 유출을 겪었다. 알려진 거래소 관리자 유출의 더 넓은 패턴(Kraken 관리자 공개가 가장 최근에 많이 논의된 예)은 신원 수집의 중앙집중화가 거래소 자체보다 더 풍부한 표적 계층을 만들어냈다는 점을 시사한다. 해킹당한 거래소는 핫 월렛을 잃지만, 해킹당한 KYC 공급업체는 여러 거래소 사용자 기반의 검증된 신원을 한 번에 잃는다. 이는 다음 라운드에서 수십 개의 무관한 장소에서 계좌 탈취가 가능하게 만든다.

구조적 문제는 규제 압력이 신원 확인을 소수의 전문화된 공급업체로 밀어붙였다는 점에 있다. 전문화가 품질을 향상시킨다는 합리적인 이론 아래, 그 통합이 의도적으로 추진됐다면 어떤 보안 엔지니어도 경고할 집중된 단일 실패 지점을 정확히 만들어냈다. 규제 체제는 수집을 명령하고, 시장 역학은 저장을 집중시키며, 그 저장은 IDMerit이 이제 입증했듯이 누군가 알아차리기 전까지 얼마 동안인지 알 수 없는 일수 동안 열린 포트에 방치될 수 있다.

Directory에 미치는 변화: 우리의 평결

우리는 2025년 또는 2026년 문서화된 유출을 겪은 KYC 공급업체에 의존하는 모든 목록 거래소를, 해당 공급업체가 부인이 아닌 신뢰할 수 있는 사후 분석을 게시할 때까지 하향 조정할 것이다. IDMerit의 성명은 기준에 미달한다. Sumsub 유출은 너무 최근의 일이라, 이를 통해 신원 흐름을 라우팅하는 모든 플랫폼(Bybit, Bitget, Huobi 등)은 SMS 기반 2FA에 여전히 의존하는 사용자에게 대체로 기본 설정으로 남아있는 해당 장소에서 SIM 스왑 위험이 높은 것으로 처리한다.

우리의 구체적인 권고는 다음과 같다. 독자가 historically U.S., Mexican, Philippine, German, Italian, 또는 French 전화번호를 사용해 주요 거래소에서 KYC를 통과했다면, 통신사 메타데이터가 이미 유통 중이라고 가정하고 SMS 기반 2FA를 하드웨어 토큰이나 지원되는 경우 기기에 바인딩된 인증 앱으로 교체하라. 운영 비용이 감당 가능하다면 거래소 계좌와 연결된 전화번호 교체도 검토하라. 신규 가입의 경우, 우리가 이미 다루는 no-KYC 대안은 더 이상 프라이버시 선호가 아니다. 이들은 SIM 스왑 완화책이다.

이 유출이 던지는 가장 불편한 질문은 IDMerit이 실패했느냐가 아니다. 규제되고, 감사받고, 준수하는 경로가 이제 범죄 시장이 스스로 조립할 수 없었던 데이터셋을 일상적으로 생산하고 있다는 점이다.

출처

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

편집 로그

• 2026-03-08 : 원본 Cybernews 공개 자료를 확보하고, 국가별 집계를 정렬 가능한 표로 스크래핑한 뒤 Bright Defense 기사와 총계를 교차 검증함.
• 2026-03-24 : IDMerit의 부인을 두 번 읽고 "IDMERIT 환경 내 노출 없음"이라는 문구를 버킷 귀속에 대한 Cybernews 방법론과 비교함.
• 2026-04-09 : Sumsub 클라이언트 목록(Bitget, Bitpanda, Bybit, Huobi, Wirex)을 IDMerit 하위 핀테크 목록과 대조하여 중복을 찾음. 관계가 보도자료에만 있는 세 개 이름은 제외함.
• 2026-04-18 : KrebsOnSecurity의 800만 달러 유죄 판결 보도를 절차적 참고 자료로 사용하여 SIM 스왑 섹션을 초안한 뒤, 재판매 가격에 대한 추측으로 빗나간 단락을 삭제함.
• 2026-04-26 : 최종 검토: 열린 MongoDB 뒤에 있을 가능한 위협 행위자에 대한 세 개의 추측적 문장을 제거하고, Cybernews와 Bright Defense 보고서에 문서화된 내용만 유지함.