Mercor AI 계약자 4만 명 음성 생체정보·신분증 4TB 유출 — AI 라벨링 산업 최대 개인정보 침해

핵심 요약

AI 데이터 라벨링 플랫폼 Mercor에서 AI 계약자 4만 명 이상의 음성 샘플 4TB와 정부 발급 신분증이 함께 유출되는 대규모 개인정보 침해가 발생했다. 계약자당 평균 2~5분 분량의 고품질 음성 녹음이 포함되어 있으며, 이는 약 15초의 참조 오디오만으로도 딥페이크 음성 복제가 가능한 수준의 생체정보다.

배경

Mercor는 AI 학습 데이터 수집 및 라벨링 서비스를 제공하는 플랫폼으로, 전 세계 AI 계약자(데이터 어노테이터)를 모집해 작업을 의뢰한다. 계약자들은 신원 확인을 위해 정부 발급 신분증과 음성 샘플을 제출하며, 이 민감 데이터가 플랫폼 내부에 집중 보관된다. AI 산업 성장으로 라벨링 계약자 수가 폭증하면서 개인정보 집중 보관 리스크도 함께 커졌고, 신분증과 음성 생체정보가 한 줄의 데이터로 결합된 구조가 특히 위험하다.

원인

음성 생체정보와 신분증이 단일 데이터 포인트로 결합·저장된 구조적 취약점이 근본 원인이다. 유출 경로는 공개되지 않았으나, 대규모 데이터 집중 보관 및 접근 통제 미흡이 주요 원인으로 지목된다. AI 라벨링 산업이 빠르게 성장하면서 플랫폼들이 보안 인프라 구축보다 성장을 우선시한 구조적 문제도 있다.

경과

유출된 음성 샘플 인덱스 기준으로 4만 명 이상 AI 계약자의 개인정보가 외부에 노출됐다. 각 계약자당 2~5분 분량의 깨끗한 녹음이 포함돼 딥페이크 음성 복제에 즉각 활용 가능한 수준이며, 정부 발급 신분증 사진과 결합되어 신원 도용 및 금융사기 위험도 극히 높다. 총 유출 규모는 4TB에 달한다.

현재 상태

Mercor 측의 공식 대응 및 후속 조치 내용은 보도 시점 기준으로 명확히 공개되지 않았다. 피해 계약자들은 딥페이크·신원도용·피싱 공격에 취약한 상태로 노출되어 있다.

주요 영향

• 경제: AI 라벨링 플랫폼 신뢰도 타격으로 계약자 이탈 및 보안 비용 급등이 우려된다.
• 시장: AI 데이터 수집 산업 전반에 걸쳐 생체정보 보안 규제 강화 요구가 높아질 전망이다.
• 지정학: 글로벌 AI 계약자 개인정보가 특정 플랫폼에 집중 관리되는 구조에 대한 국제 규제 논의가 촉발될 수 있다.