2026-09-21
연방대법원이 텍사스의 "앱 다운로드에도 신분증 확인" 법을 그대로 시행하게 했습니다. 연령 확인이 요구하는 그 사진, 어디로 갈까요?
2026년 7월 6일, 연방대법원은 포르노와는 무관한 텍사스 법 하나를 그대로 시행하도록 두었습니다. 대법원의 짧고 서명 없는 명령은 수정헌법 제1조 관련 소송이 진행 중인 동안 텍사스 앱스토어 책임법(App Store Accountability Act)의 시행을 막지 않기로 했고, 그 결과 이 법 — 애플과 구글의 앱스토어가 모든 이용자를 아동·어린 청소년·나이 든 청소년·성인 네 범주 중 하나로 분류하고, 미성년자가 대부분의 앱을 내려받기 전 부모 동의를 받도록 요구하는 법 — 은 그대로 효력을 유지합니다. 이는 더 좁은 목적의 텍사스 법이 같은 헌법적 관문을 통과한 지 딱 1년을 조금 넘긴 시점입니다. 2025년 6월 27일, 연방대법원은 Free Speech Coalition v. Paxton 사건에서 6대3으로, 상업용 웹사이트가 성적 콘텐츠를 보여주기 전 방문자의 나이를 확인하도록 요구하는 것은 "성인의 보호받는 표현의 자유를 부수적으로만 제한할 뿐"이라고 판결했습니다. 두 판결 모두 온라인 신분증 확인이라는 발상 자체를 새로 만든 것은 아닙니다. 하지만 둘이 합쳐져, "나이를 증명하라"는 요구는 약 1년 사이에 소수의 성인 사이트가 요구하던 것에서 미국 주(州)의 대략 절반이 법으로 요구하는 것으로, 그리고 — 지금까지는 한 주에서 — 날씨 앱 하나 설치하기 전에도 앱스토어 자체가 물어볼 수 있는 것으로 바뀌었습니다.
법이 실제로 요구하는 것, 그리고 지우라고 요구하는 것
2025년 판결의 근거가 된 텍사스 HB 1181 법안은 법 조문 자체에서 두 가지 경로를 제시합니다 — "디지털 신분증을 제공하거나 ... 나이를 확인하는 상업용 연령확인 시스템을 준수한다: (A) 정부 발급 신분증, 또는 (B) 공개 혹은 비공개 거래 데이터에 의존하는 상업적으로 합리적인 방법." 같은 조항은 이어서 정보를 탐하는 법이라면 하지 않을 법한 말을 합니다 — 확인을 수행한 상업적 주체나 제3자는 절차가 끝나면 "개인의 신원 확인 정보를 어떤 것도 보유해서는 안 된다"는 것입니다. 2026년 앱스토어 법인 SB 2420도 같은 방식으로 쓰여 있습니다. 2026년 1월 1일 발효된 이 법은 이용자를 13세 미만 "아동", 13~15세 "어린 청소년", 16~17세 "나이 든 청소년", 18세 이상 "성인"으로 분류하는 데 "상업적으로 합리적인 확인 방법"만을 요구하고, 별도로 앱스토어가 "연령 확인이 끝나면 제공받은 개인 데이터를 삭제"하고 필요 최소한만 수집하도록 요구합니다. 서류상으로는 두 법 모두 누구에게도 운전면허증 사진의 영구 보관소를 만들라고 요구하지 않습니다. 실제로는 "정부 발급 신분증"이 소규모 사이트나 앱이 갖추기에 가장 저렴한 "상업적으로 합리적인 방법"이라 많은 곳이 이를 택하고, "확인 후 삭제"는 준법 서류에 적힌 한 줄일 뿐 — 당신이 보낸 파일을 5분 뒤든 2년 뒤든 제3의 검증 업체 서버가 실제로 어떻게 처리하는지에 대한 기술적 보장은 아닙니다.
그 사진을 쥐고 있는 업체들의 기록은 깨끗하지 않습니다
지난 2년 사이의 두 사고가 정확히 그 간극을 보여줍니다. 셀피와 정부 발급 신분증을 요구해 접근을 허용하던 데이트 안전 앱 Tea는 이미지를 인증 절차가 전혀 없는 구글 Firebase 버킷에 저장해 두었습니다 — URL만 알면 누구든 내려받을 수 있는 상태였습니다. 2025년 7월 보안 연구자가 이 공개된 버킷을 발견했을 때, 그 안에는 약 72,000장의 이미지가 있었습니다 — 약 13,000장이 셀피와 운전면허증·여권 사진이었고, 일부는 2023년 초까지 거슬러 올라갔습니다 — Tea 측은 2024년 2월에 더 안전한 인프라로 이전했다고 밝혔지만, 그 뒤에 남겨진 옛 버킷은 그저 지우지 않은 채였습니다. 적어도 10건의 소송이 뒤따랐고, 그중에는 셀피 자체를 문제 삼은 일리노이주 생체정보보호법 관련 청구도 포함돼 있습니다. 두 번째 사고는 더 크고, 데이트 앱과는 전혀 무관합니다. Uber·TikTok·X·Coinbase·LinkedIn·Fiverr·Saxo Bank를 고객으로 둔 신원확인 업체 AU10TIX는 관리자 인증정보를 공개 텔레그램 채널에 1년 넘게 노출된 채로 방치했습니다 — 2022년 12월경 최초 유출된 것으로 추정되고, 2023년 3월 공개 게시됐으며, 2024년 6월 한 연구자가 시험했을 때도 여전히 작동했습니다 — 같은 사안을 다룬 Malwarebytes의 보도에 따르면, 이 인증정보로 해당 플랫폼들에서 검증용으로 제출된 운전면허증 이미지에 접근할 수 있었습니다. 두 회사 모두 유출을 목적으로 시스템을 만들지 않았습니다. 둘 다 그저 예전 시스템을 넘어간 뒤에도 그 낡은 부분을 그대로 세워 둔 것뿐이며, 이는 "확인 후 삭제" 조항이 사후에는 잡아낼 수 없는 종류의 실패입니다.
내 사본을 암호화하면 실제로 무엇이 해결되는가
위 가운데·오른쪽 칸은 어느 것도 내 통제 아래 있지 않고, 이 글은 NearSeal이 거기에 닿는다고 주장하지 않습니다. 내 통제 아래 있는 것은 이런 확인 절차를 따르는 그 순간 내 기기에 존재하는 파일입니다 — 데이트 앱이나 연령 제한 게시판, 그리고 이제 텍사스에서는 앱스토어에 올리려고 찍은 운전면허증 사진, 같은 달에 세 곳이 각각 "신분증 사진"을 요구해 재사용한 스캔본, 확인이 이미 끝났는데도 지우는 게 필수라고 느껴지지 않아 카메라 롤이나 다운로드 폴더에 그대로 남은 사본 말입니다. 그 파일은 Tea와 AU10TIX 고객사에서 노출됐던 파일들과 정확히 같은 수준으로 민감하고, 이 전체 사슬에서 유일하게 평문인 채로 내 기기를 떠날 필요가 없는 부분입니다. NearSeal은 전부 브라우저 안에서 실행됩니다 — 아무것도 업로드되지 않으므로, 보관 중인 사본을 암호화하는 것은 지금 하려는, 또는 이미 마친 확인 절차에 아무런 영향을 주거나 방해하지 않습니다.
정직하게 할 수 없는 것
암호화는 확인 절차 자체를 대신할 수 없습니다 — 연령을 확인하는 업체는 실제 서류를 읽을 수 있어야 확인을 할 수 있으므로, 암호문을 보내고도 통과하는 방법은 없습니다. 실제 파일을 그 업체 시스템에 제출하는 순간, 내 사본에 무엇을 했든 그들의 사본에는 아무 의미가 없습니다 — 내 노트북에 암호화된 백업이 있었다 해도 AU10TIX의 노출된 인증정보가 그들 서버의 살아있는 것에 닿는 것을 막지 못했을 것이고, Tea의 방치된 버킷이 공개되는 것도 막지 못했을 것입니다. NearSeal의 자체 포맷도 이미 파일을 가진 사람에게 그것이 무엇인지 숨기는 수단은 아닙니다 — 컨테이너 헤더는 원본 파일명을 평문으로 담고 있어서 — 현재 포맷 버전부터는 변조는 인증되지만 여전히 읽을 수 있어 — "drivers_license_front.jpg.nearseal"은 아무도 열 수 없는데도 안에 무엇이 있는지 그대로 알려줍니다. 암호화하기 전에 파일명을 평범한 것으로 바꾸거나, 같은 도구 안에 있는 옵트인 age-encryption.org 포맷을 쓰십시오 — 이쪽은 파일명 필드 자체가 없습니다. 그리고 NearSeal이 잠그는 다른 모든 파일과 마찬가지로 패스프레이즈 복구는 어디에도 없으며, 서류를 촬영하거나 패스프레이즈를 입력하는 순간 기기가 이미 손상돼 있다면 어떤 암호도 소용없습니다 — 키로거나 파일 시스템에 접근 가능한 악성코드는 그 사이 무슨 일이 있었든 암호화 전 또는 복호화 후의 평문을 그대로 읽어냅니다.
NearSeal이 맞는 자리
1년을 조금 넘긴 간격으로 나온 두 판결이 낯선 서버에 자기 신분증을 찍어 보내는 습관을 만든 것은 아닙니다 — 다만 그것을 합법적이고 흔한 일로, 그리고 2026년 7월 기준 적어도 한 주에서는 앱 하나를 설치하는 데도 필요한 전제조건으로 만들었을 뿐입니다. NearSeal이 여기서 할 수 있는 일은 좁고 구체적입니다 — 이런 확인 절차 전이나 후에 여전히 내 것으로 남아 있는, 내 기기 위의 그 사본이 평문인 채로 놓여 있을 필요는 없다는 것입니다. AES-256-GCM, PBKDF2-SHA256 220회 반복으로 유도한 패스프레이즈 기반 키, 전부 클라이언트사이드로 — 파일 자체에 대해서는 그렇습니다. 남의 검증 양식에서 "제출" 버튼을 누른 다음에 벌어지는 모든 일은 별개의, 정직한 한계입니다 — 이 도구의 결함이라기보다는, 그 거래에서 내 쪽에 서 있는 어떤 파일 암호화 도구든 애초에 닿을 수 없는 영역의 한계입니다.