Mercor에서 AI 계약자 4만 명의 음성 샘플 4TB 유출

Mercor에서 AI 계약자 약 4만 명의 음성 샘플과 정부 발급 신분증이 함께 묶인 대형 유출이 발생했다.

유출 아카이브는 약 4TB 규모로 전해졌고, 2026년 4월 4일 Lapsus$가 유출 사이트에 올린 것으로 설명된다.

계약자당 평균 2~5분 분량의 깨끗한 녹음이 포함돼 있어, 상용 음성 복제 서비스가 요구하는 15초 안팎의 기준을 크게 넘는다. 음성 클론과 실명 신원이 같이 노출된 셈이라 실제 사칭 공격에 바로 쓰일 수 있다는 점이 핵심이다.

악용 가능성으로는 다음이 꼽힌다.

• 은행 음성 인증 우회
• 직장 대상 vishing
• 딥페이크 화상 통화
• 보험 청구 사기
• 가족 사칭 긴급 전화

대응책으로는 공개 음성 흔적 삭제, 가족·금융용 코드워드 설정, 음성 프린트 재등록, 은행 음성 인증 비활성화, 의심 음성의 포렌식 검사가 제시된다. 포렌식은 코덱 불일치, 호흡 패턴, 마이크로 지터, 포먼트 궤적, 실내 음향 일관성, 운율과 발화 속도 이상을 본다.

게시 후 10일 안에 계약자 5건의 소송이 제기됐고, 음성 프린트를 수집하면서 그것이 영구적 생체식별자라는 점을 충분히 알리지 않았다는 주장이 담겼다.