패스 앱 모바일 신분증 본인 인증 취약점

1. 주요 취약점 및 명의 도용 실험 사례

3D 실리콘 마스크 및 타인 신분증 도용 성공:

여성 이용자가 타인(남성)의 신분증 인쇄본을 촬영하고, 신분증 주인의 얼굴을 본뜬 3D 실리콘 마스크를 착용한 채 안면 인식을 시도한 결과 인증이 통과되었습니다.

생체 반응(눈 깜빡임, 고개 흔들기 등)을 판별하는 '라이브니스(Liveness)' 검증 기술을 교묘하게 우회하여 성별이 다른 타인의 모바일 신분증을 손쉽게 발급받는 심각한 보안 허점이 드러났습니다.

파급력 및 오남용 우려:

PASS 모바일 신분증은 공항 국내선 탑승, 공직선거 투표장, 주민센터, 매장 등 실생활 전반에서 신분 확인용으로 쓰이고 있습니다.

최근 연예인(BTS 정국 등) 명의 도용을 통한 알뜰폰 개통 범죄 사례처럼, 훔친 명의를 악용한 2차 금융·통신 범죄 피해로 확대될 위험성이 큽니다.

통신 3사의 1년 간 업데이트 방치:

정부 모바일 신분증과 PASS 앱은 동일한 보안 업체의 안면 인식 솔루션을 사용하고 있습니다.

솔루션 개발사가 이미 지난해 12월 관련 취약점을 보완한 업데이트 버전을 배포했으나, 통신 3사는 1년 가까이 이를 앱에 적용하지 않고 방치했습니다.

한국정보통신기술협회(TTA) 검증 허점:

안면 인식 기술 도입 시 TTA의 적합성 평가를 거쳐야 함에도, 정면 사진과 실제 움직이는 얼굴 간 동일성 판별 검증 등 핵심 항목이 누락된 채 평가를 통과한 것으로 밝혀졌습니다.

국회 지적: 최민희 국회 과학기술정보방송통신위원장은 "모바일 신분증 우회 발급은 매우 충격적인 보안 사고"라며, 한국정보통신기술협회의 생체 인증 검증 기준 강화와 수사를 촉구했습니다.

통신 3사 조치 계획: 보안 취약점이 논란이 되자, 통신 3사는 주말 내로 해당 취약점을 보완하는 앱 보안 패치 업데이트를 즉시 완료하겠다고 발표했습니다.