2026-08-28

입사 지원할 때 보내는 신분증·개인 번호·계좌 정보, 암호화해야 할까?

구직은 대부분의 성인이 평생 경험하는 것 중 가장 기울어진 서류 관계 속으로 들어가는 일입니다. 채용 확정 통보와 첫 월급 사이 어딘가에서, 한 번도 만난 적 없는 누군가가 운전면허증이나 여권 사진, 신원 조회용 개인 식별 번호(미국이라면 사회보장번호), 때로는 급여 이체용 계좌 정보를 요구합니다 — 채널은 흔히 일반 이메일이고, 시점은 하필 당신이 까다로운 사람으로 보이고 싶지 않은 바로 그 순간입니다. 대출 신청자는 은행을 골라 갈 수 있지만, 서류 요구에 토를 다는 입사 지원자는 출근 첫날이 오기도 전에 문제적 인물로 비칠까 걱정하게 됩니다. 이 비대칭은 냉정하게 들여다볼 가치가 있습니다. 그 서류들에 일어날 수 있는 나쁜 일 두 가지가 모두 잘 문서화되어 있고, 성격이 서로 놀랍도록 다르기 때문입니다. 서류를 합법적으로 처리하는 신원 조회 업계는 막대한 규모의 유출 사고를 겪어 왔고, 빠르게 늘고 있는 어떤 사기 유형은 애초에 줄 일자리도 없으면서 똑같은 서류를 요구합니다. 이 글은 두 문제를 차례로 살펴본 뒤, 파일 암호화가 실제로 해결할 수 있는 것이 둘 중 어느 쪽인지 구체적으로 짚습니다 — 솔직한 답은 "둘 중 하나만"이기 때문입니다.

당신의 서류가 최종적으로 도착하는 신원 조회 업계

고용주가 신원 조회나 약물 검사를 진행하면, 당신의 데이터는 대개 당신이 고르지 않았고 이름도 들어본 적 없을 제3의 대행업체로 흘러갑니다. 2025년 2월, 그 업계 최대급 업체 중 하나인 DISA Global Solutions — 약물·알코올 검사와 신원 조회를 대행하는 회사 — 는 330만 명에게 통지문을 보내기 시작했습니다. 침입자가 2024년 2월 9일부터 4월 22일까지 회사 네트워크 안에 있었고, 접근 범위에는 사회보장번호, 운전면허증 번호, 정부 발급 신분증 번호, 금융 계좌 정보가 포함되었을 수 있다는 내용이었습니다. 곱씹을 만한 대목이 둘 있습니다. 첫째, DISA는 공격자가 정확히 무엇을 가져갔는지 확정적으로 결론 내릴 수 없었다고 밝혔습니다 — 피해자들은 영영 알 수 없다는 뜻입니다. 둘째, 통지는 유출 발견 시점으로부터 약 10개월 뒤에야 나갔습니다 — 그 1년 가까운 시간 동안 해당 지원자와 재직자들은 자신의 신분 서류가 떠돌고 있을지 모른다는 사실조차 몰랐습니다. 그리고 이 업계의 문제는 특정 업체 한 곳의 보안 수준보다 깊은 곳에 있습니다. 2024년에는 공공 기록을 긁어모아 신원 조회 검색을 팔던 데이터 브로커 National Public Data가 해킹당했고, 해커는 약 3억 명을 아우른다고 주장하는 수십억 건의 기록을 내놓았습니다 — 보안 연구자들은 유출된 데이터베이스에 약 2억 7천만 개의 사회보장번호가 들어 있다고 추정했습니다. 2024년 10월 이 회사의 모기업은 챕터 11 파산을 신청하며, 잠재적 피해자 수억 명의 신용 모니터링 비용을 감당할 길이 없다고 법원에 밝혔습니다. 파산 서류에서 도난당한 사회보장번호 데이터베이스에 매겨진 가치는 100만 달러였습니다. CBS News가 이 유출 보도에서 짚었듯, 그 데이터베이스에 든 사람들 대부분은 이 회사와 거래해 본 적조차 없었습니다. 고용주의 신원 조회 대행사를 당신이 고를 수는 없고, NPD 사건은 당신이 참여하든 말든 데이터 집적이 일어난다는 것을 증명합니다. 당신이 통제할 수 있는 것은 더 좁지만 실재합니다 — 당신이 직접 보내는 구간에서 서류가 취하는 형태, 그리고 뒤에 남는 사본들입니다.

누가 요구하는 건지 항상 알 수 있는 건 아니다

두 번째 문제는 새는 파이프라인보다 더 나쁩니다. 때로는 요구 자체가 공격입니다. FTC(미국 연방거래위원회) 소비자 안내에 따르면 구직 사기 신고는 2020년에서 2024년 사이 3배로 늘었고, 신고된 피해액은 같은 기간 9천만 달러에서 5억 100만 달러로 뛰었습니다. 당신의 서류와 직결되는 변종은 FTC가 LinkedIn 등 구직 플랫폼의 가짜 리크루터에 관한 경보에서 설명한 유형입니다. 사기꾼들은 실재하는 유명 기업과 실재하는 리크루터를 사칭하고, 공식 문서처럼 보이는 채용 통보서를 보낸 뒤 — "입사 서류" 작성을 위해서라며 운전면허증, 사회보장번호, 은행 계좌번호를 요구합니다. 그 요구는 진짜 요구가 도착할 법한 바로 그 자리에, 진짜 요구와 똑같은 옷차림으로, 거절이 곧 합격 취소처럼 느껴지는 단계에 도착합니다. 입사 서류가 그토록 효과적인 위장인 이유가 이것입니다 — FTC가 진짜 고용주는 절대 하지 않는다고 못 박은 "선입금 요구"와 달리, "입사 서류용으로 신분증 사본을 보내 달라"는 진짜 고용주도 실제로 하는 요구이기 때문입니다.

서류를 암호화하면 실제로 달라지는 것

먼저 합법적인 경우부터 — 대부분은 이 경우이니까요. 인사팀이나 채용 담당자가 말합니다. 신분증 사본을, 혹은 개인 번호가 적힌 서명된 서식을 이메일로 보내 주세요. 파일을 첨부하기 전에 암호화하고 패스프레이즈를 다른 채널로 — 전화가 가장 깔끔하고, 채용 확정 단계쯤이면 거의 항상 누군가의 실제 전화번호를 갖고 있습니다 — 전달하면, 그 이메일이 도착하는 모든 곳에는 당신의 여권 대신 암호문이 놓입니다. 이것이 중요한 이유는 입사 서류 이메일이 한자리에 머물지 않기 때문입니다. 담당자는 인사 운영팀으로 전달하고, 누군가는 대행업체에 올리고, 사본 하나는 당신의 보낸편지함에, 하나는 리크루터의 받은편지함에 무기한 남습니다. 그중 어느 메일함이든 내년에 털리면 — 메일함 침해는 흔한 일입니다 — 공격자가 당신의 스레드에서 건지는 것은 읽을 수 없는 파일입니다. 같은 논리가 울타리 안쪽, 당신 몫의 사본에도 적용됩니다. 지난 구직 때부터 다운로드 폴더에 앉아 있는 신분증 스캔본과 작성 완료된 서식들은 도난당하거나 중고로 팔린 노트북이 고스란히 내어주는 바로 그 파일들이고, 암호화된 아카이브가 그것들을 보관해도 안전한 형태입니다. 실무적인 메모 두 가지. 고용주나 대행업체가 제대로 된 보안 업로드 포털을 제공한다면 그것을 쓰세요 — 그 구간에는 그것이 맞는 도구이고, 이 절 전체는 누군가 일반 이메일을 고집하는 구간에 관한 이야기입니다. 그리고 이 방식은 상대에게 아무 설치도 요구하지 않습니다 — 받는 쪽은 같은 웹사이트를 열고, 파일을 끌어다 놓고, 당신이 불러준 패스프레이즈를 입력하면 됩니다.

솔직히 해줄 수 없는 것

이제 한계를 있는 그대로 말하겠습니다. 첫째, 합법적 전송의 반대편 끝은 당신의 서류를 복호화해 자기 시스템에 저장하고, 그 순간부터 당신의 암호화는 그 사본들을 보호하지 못합니다. DISA를 통해 조회당한 지원자가 자기 쪽에서 무엇을 했더라도 DISA 네트워크 안 침입자의 손이 닿는 범위는 달라지지 않았을 것입니다 — National Public Data는 같은 논점의 더 날카로운 판본입니다. 그 데이터베이스는 아무도 보내 준 적 없는 기록들로 조립됐으니까요. 전송하는 파일을 암호화하는 것은 당신 개인의 노출면 — 이메일 구간들과 잔존 사본들 — 을 줄여 줄 뿐이고, 그것이 전부입니다. 둘째, 너무 많은 프라이버시 도구들이 얼버무리는 대목인데, 가짜 리크루터 시나리오 앞에서 암호화는 제로 방어입니다 — 파일과 함께 패스프레이즈까지 공격자에게 건네게 될 테니까요. 그 경우의 방어책은 절차이고, FTC 경보가 명시한 그대로입니다. 당신을 스카우트한 누군가에게 서류나 돈을 보내기 전에, 그 사람이 준 것이 아니라 당신이 독립적으로 찾은 전화번호나 웹사이트를 통해 회사에 직접 확인하세요. 그리고 실제 면접과 검증된 채용 확정 이전에 도착하는 개인 번호·신분증·계좌 요구는 그 자체로 위험 신호로 취급하세요. 다만 기분 좋은 정렬이 하나 있습니다 — 서류를 암호화하는 습관에는 검증 단계가 내장되어 있다는 것. 누군가에게 패스프레이즈를 불러준다는 것은, 사기가 구조적으로 회피하는 바로 그 직접적이고 별도 채널의 접촉을 만든다는 뜻이기 때문입니다.

NearSeal이 맞는 자리

NearSeal은 파일을 전적으로 브라우저 안에서 암호화합니다. 파일도 패스프레이즈도 당신의 기기를 떠나지 않습니다 — 계정도, 업로드도 없고, 네트워크 탭을 열어 아무것도 전송되지 않는다는 것을 직접 확인할 수 있습니다. 암호화는 AES-256-GCM이고, 키는 패스프레이즈로부터 PBKDF2-SHA256을 2²⁰회 반복해 유도합니다. 복호화할 때는 파일 이름이나 확장자가 아니라 실제 바이트로 파일을 인식하므로, 받는 쪽의 인사 담당자는 같은 웹사이트를 열고 파일을 끌어다 놓은 뒤 당신이 전화로 불러준 패스프레이즈를 입력하면 됩니다. 설치할 것이 없다는 성질이 여기서도 같은 이유로 중요합니다 — 회사 인사팀에 당신을 위해 소프트웨어를 도입해 달라고 할 수는 없지만, 한 사람에게 웹페이지 하나를 열어 달라고는 할 수 있으니까요. 어느 한 번의 구직보다 오래 남을 개인 아카이브 — 신분증 스캔본과 서명된 서식들 — 라면 옵트인 age-encryption.org 형식도 살펴볼 만합니다. age 파일은 공식 age CLI와 rage를 비롯한 모든 age 호환 도구로 열리므로, 아카이브의 미래가 이 웹사이트의 미래에 묶이지 않습니다. 주의사항 하나는 온전한 무게로 적용됩니다 — 복구는 없습니다. NearSeal을 포함해 그 누구도 패스프레이즈를 보관하지 않으므로, 잊어버린 패스프레이즈는 곧 읽을 수 없는 파일입니다. 무언가를 보내기 전에 비밀번호 관리자에 적어 두세요. 그러면 당신이 누구인지를 증명하는 그 서류들은 낯선 이의 받은편지함에 놓인 읽을 수 있는 전리품이기를 멈추고, 전화 통화의 양쪽 끝 — 당신이 하루를 들여 실재함을 확인한 단 한 곳의 회사 — 을 제외한 모든 곳에서 암호문이 됩니다.