중국 시민 대규모 데이터베이스, 딥웹에 등장

'GlitchX'라는 사용자가 12억 중국 시민의 개인 정보를 담고 있다고 주장하는 데이터베이스가 딥웹에 등장했습니다. 약 4.95GB로 압축된 이 데이터셋은 방대한 수의 개인에 대한 실명과 전화번호를 포함하고 있는 것으로 전해집니다. 이 유출 사실은 2026년 3월 30일까지의 활동을 다루는 주간 위협 인텔리전스 보고서를 통해 공개되었습니다.

데이터베이스의 진위 여부는 독립적으로 검증되지 않았지만, 그 규모만으로도 이는 역대 보고된 가장 대규모 시민 데이터 유출 사건 중 하나로 꼽힙니다. 해당 데이터가 완전히 실제인지, 부분적으로 조작된 것인지, 혹은 이전의 여러 유출 사건에서 수집된 것인지와 무관하게, 딥웹에서의 유통은 정보가 포함되어 있을 수 있는 사람들에게 실질적인 위험을 초래합니다.

어떤 종류의 데이터가 유출되었나?

공개된 내용인 실명과 전화번호의 조합은 금융 자격 증명이나 주민등록번호가 포함된 유출 사건에 비하면 제한적으로 보일 수 있습니다. 하지만 이 조합이 초래할 수 있는 피해를 과소평가해서는 안 됩니다.

실명과 전화번호는 사회공학적 공격의 기본 재료입니다. 범죄자들은 이러한 유형의 데이터를 활용해 설득력 있는 피싱 메시지를 작성하고, SIM 스와핑 사기를 실행하며, 다른 유출 데이터셋과 교차 참조하여 더욱 상세한 프로필을 구축합니다. 전화 등록, 은행 업무, 정부 서비스를 하나로 연결하는 주민등록 시스템이 존재하는 나라에서는 이름과 전화번호의 조합만으로도 잘못된 손에 들어갈 경우 강력한 도구가 될 수 있습니다.

데이터셋의 압축 크기(10억 건 이상의 기록에 5GB 미만)는 데이터가 비교적 단순할 수 있으며, 단일 유출 사건에서 추출된 것이 아니라 여러 출처에서 집계된 것일 가능성을 시사합니다. 이러한 데이터 집계 방식은 단편적인 유출 자료를 통합된 검색 가능한 데이터베이스로 편집하는 위협 행위자들 사이에서 점점 더 일반화되고 있습니다.

중앙 집중식 데이터 수집의 광범위한 위험성

이번 사건은 중국을 훨씬 넘어서는 구조적 문제를 부각시킵니다. 정부나 대형 기관이 인구 규모의 개인 데이터를 수집할 때, 그 데이터는 극히 높은 가치의 표적이 됩니다. 데이터베이스가 중앙 집중화되고 포괄적일수록 유출 시의 피해는 더욱 치명적입니다.

의무적 SIM 등록법을 통해 전화번호를 실제 신원과 연결하는 중국의 디지털 감시 인프라는 이름과 전화번호 데이터셋이 다른 환경에서보다 더 강력한 신원 확인 능력을 갖게 만듭니다. 강도 높은 감시 환경에 처한 시민들은 데이터 수집을 거부할 실질적인 능력이 더 제한되어 있어, 사후 완화가 어려운 방식으로 위험이 집중됩니다.

딥웹 게시물은 또한 한 국가의 국경 내에서 발생한 데이터가 어떻게 전 세계 어디에서나 활동하는 범죄자들에게 빠르게 접근 가능해질 수 있는지를 보여줍니다. 데이터셋이 지하 포럼에서 유통되기 시작하면, 이를 실질적으로 봉쇄할 방법은 존재하지 않습니다.

당신에게 의미하는 바

중국과 개인적, 직업적, 또는 가족적 연결이 있거나, 중국 플랫폼과 데이터를 수집하고 공유했을 수 있는 서비스를 이용한 적이 있다면, 현재 자신의 개인 정보 보호 상태를 점검해볼 필요가 있습니다.

강도 높은 디지털 감시 환경에서 생활하는 개인에게는 개인 정보 보호 선택지가 더 제한적이지만, 전혀 없는 것은 아닙니다. 신뢰할 수 있는 VPN을 사용하면 인터넷 활동을 숨기고 데이터 프로파일링에 기여하는 메타데이터 발자국을 줄이는 데 도움이 됩니다. 또한 어떤 앱과 서비스가 연락처 목록, 위치 정보, 신원 서류에 접근할 수 있는지에 대해 신중하게 관리하면 노출을 최소화할 수 있습니다.

더 넓은 관점에서, 이번 유출 사건은 한번 수집된 개인 데이터는 좀처럼 통제 범위 안에 머물지 않는다는 사실을 상기시켜 줍니다. 가장 안전한 데이터는 애초에 수집되지 않은 데이터입니다.

실질적인 대응 방안:

  • 원치 않는 전화와 메시지에 주의하세요. 귀하의 전화번호가 이 데이터셋에 포함되어 있다면 표적형 스팸이나 피싱 시도가 증가할 수 있습니다.
  • 공공 및 모바일 네트워크에서 VPN을 사용하여 신원과 연결될 수 있는 메타데이터 수집을 줄이세요.
  • 모든 계정에 이중 인증을 활성화하세요. 특히 전화번호와 연결된 계정의 경우 SIM 스와핑 공격 위험을 줄일 수 있습니다.
  • 데이터 유출 알림 서비스를 통해 모니터링하세요. 알려진 유출 데이터베이스에서 귀하의 이메일 주소와 전화번호를 스캔하는 서비스를 이용하세요.
  • 연락처 목록 접근을 요청하는 앱에 주의하세요. 이러한 앱들은 본의 아니게 데이터 집계 작업에 기여할 수 있습니다.

이번 유출 사건의 규모는 완전히 가늠하기 어렵지만, 개인적 위험은 구체적이고 관리 가능합니다. 정보를 지속적으로 파악하고 데이터 발자국을 줄이기 위한 의도적인 조치를 취하는 것이 현재 이용 가능한 가장 효과적인 방어 수단입니다.