비밀번호가 설정되지 않은 데이터베이스를 통해 미국 유권자의 이름, 주소, 생년월일, 사회보장번호, 운전면허 번호 등의 개인정보가 유출되는 사건이 발생했다.
미국의 선거관리 솔루션 계약업체 플래티넘 테크놀로지 리소스(Platinum Technology Resources)가 일리노이주에 소속된 460만 명의 유권자 데이터와 선거 문서를 유출하여 선거 보안과 유권자 개인정보 보호에 대한 심각한 우려가 제기되고 있다.
플래티넘 테크놀로지 리소스가 운영하는 노출된 데이터베이스는 비밀번호로 설정되지 않은 상태로 일리노이주의 여러 카운티 인프라와 연결되어 있는 것으로 밝혀졌다. 이번 데이터 유출은 사이버 보안 연구원인 제레미아 파울러가 발견하여 보안 전문 리뷰 및 콘텐츠 전문 사이트인 VPN멘토(vpnMentor)를 통해 공개됐다.
파울러는 보고서에서 “일리노이주의 투표 기록, 투표용지 템플릿, 유권자 등록 등 다양한 문서 모음을 외부에 노출됐으며, 이는 모두 일리노이주의 한 카운티에서 나온 것”이라며 “추가 조사를 통해 외부 접근이 가능한 데이터베이스 13개와 비공개 데이터베이스 15개가 발견됐다”라고 밝혔다.
이번에 노출된 13개 데이터베이스는 비밀번호가 설정되지 않은 상태였으며, 저장된 정보에는 유권자의 이름, 주소, 생년월일, 사회보장번호, 운전면허 번호 등 매우 민감한 개인정보와 함께 유권자, 부재자 투표, 사전 우편투표 기록, 중복 유권자 목록이 포함되어 있었다. 또한 개인 전화번호, 이메일 주소, 집 주소가 포함된 후보자 문서도 노출되었다.
파울러는 “‘유권자 기록’라는 제목의 문서에는 더욱 민감한 개인 정보가 포함되어 있었다”라며 “여기에는 과거 투표 기록과 유권자 등록 신청서 사본이 포함됐다”라고 설명했다.
해당 데이터베이스는 일리노이주 전역의 카운티에 선거 기술 및 서비스를 제공하는 플래티넘 테크놀로지 리소스와 연결되어 있었다. 파울러는 외부에 공개된 계약서와 정보자유법(FOIA) 문서를 통해 담당 회사를 확인했다.
파울러는 처음에 플래티넘 테크놀로지 리소스에 연락을 시도했지만 답변을 받지 못했고, 플래티넘 선거 서비스의 기술 지원 업체인 마제니움에 연락을 취했다. 파울러에 따르면, 개인정보 유출 사실이 외부에 알려진 뒤 데이터베이스 접근이 제한되었다.
파울러는 “데이터베이스는 알 수 없는 기간 동안 외부에서 액세스 가능했기 때문에 누군가로부터 무단 접근이 이뤄졌을 가능성이 높다”라며 “내부 포렌식 감사를 통해서만 의심스러운 활동이 있었는지 확인할 수 있다”라고 설명했다.
파울러는 유출된 개인 정보와 관련된 위험에 대해서도 경고했다. 그는 “범죄자들은 노출된 정보를 신원 도용 및 다양한 형태의 사기에 사용할 수 있다. 또한 선거 과정에 대한 대중의 신뢰를 약화시키기 위한 사회공학적 공격이나 허위 정보 캠페인에 악용될 수도 있다”라고 지적했다.
이번 유출 사건에 대응하기 위해 업계 연구진은 민감한 문서를 관리하는 조직에 강력한 액세스 제어 및 암호화를 구현할 것을 권고했다. 추측하기 어려운 고유한 데이터베이스 형식과 이름을 사용하는 것도 무단 액세스를 방지하는 데 도움이 될 수 있다고 연구진은 조언했다.
반복되는 유권자 정보 유출 사고
이번 사건은 선거 시스템에서 강력한 데이터 보호 조치가 매우 중요하다는 점을 보여준다. 2017년 국토안보부는 선거 인프라의 무력화 또는 파괴가 국가에 미칠 수 있는 파괴적인 영향을 인정하며 선거 인프라를 ‘중요 인프라’로 분류했다.
2020년에 퓨 리서치 센터는 미국 유권자의 75%가 대선에 외부의 간섭이 있을 것이라고 믿는다고 보고했다.
선거 데이터 유출 사건은 최근 몇 년 동안 계속 발생하고 있다. 2023년 10월, 컬럼비아 특별구 선거관리위원회는 IT 솔루션 업체 데이터넷 시스템즈(DataNet Systems)가 관리하던 전체 유권자 명부의 데이터베이스가 유출되었다고 밝혔다. 2020년에는 서드파티 데이터 브로커가 관리하는 데이터베이스로 인해 2억 건 이상의 미국 유권자 기록 데이터가 유출되었다. 선거 시스템에 대한 사이버 공격의 위협이 증가함에 따라 유권자 데이터 보호의 중요성이 강조되고 있다.
2017년에는 공화당 전국위원회(RNC)에게 솔루션을 제공하는 딥 루트 애널리틱스(Deep Root Analytics)가 약 2억 명의 미국 유권자 데이터를 유출하여 이름, 생년월일, 집 주소, 전화번호, 유권자 등록 정보가 노출된 사건이 발생했다.
미국의 선거 관련 데이터 보안 문제가 지속되는 가운데, 이번 유출 사고는 현존하는 취약점을 여실히 드러냈다. 유권자 데이터의 무결성과 보안 확보는 민주주의 절차에 대한 국민의 신뢰를 유지하는 데 핵심적인 요소이다.
dl-ciokorea@foundryco.com
