딥페이크 이미지 재업로드 막는 '디지털 지문' 등록제 — StopNCII 200만 건·CDT 거버넌스 프레임워크·마이크로소프트 통합, 2026년 NCII 해시매칭 피해자 완전 가이드

왜 삭제만으로는 부족한가 — 재유포의 메커니즘과 해시매칭의 등장

딥페이크 성적 이미지가 소셜 미디어나 포르노 사이트에 최초로 게시되는 순간부터 '다운로드-재업로드' 사이클이 시작됩니다. 오늘 신고해서 내일 삭제돼도, 그 사이 이미 다른 사용자들이 이미지를 저장하고, 다른 플랫폼에 올리고, 다크웹 포럼에 공유합니다. 전문가들은 이를 '모래성 문제(Sandcastle Problem)'라고 부릅니다. 파도가 밀려올 때마다 다시 쌓아야 하는 모래성처럼, 삭제와 재업로드가 끝없이 반복되는 구조입니다. 2026년 4월, 민주주의기술센터(Center for Democracy and Technology, CDT)는 'Digital Fingerprints, Human Stakes: Governing NCII Hash-Matching'이라는 제목의 정책 보고서를 발표했습니다. 이 보고서는 NCII(Non-Consensual Intimate Imagery, 비동의 성적 이미지) 피해에서 해시매칭이 가장 효과적인 대응 수단인 이유를 명확하게 설명합니다. 해시매칭이란 이미지를 하나의 고유한 수학적 값(해시값)으로 변환하는 기술입니다. 원본 이미지는 기기에 남아 있고, 해시값만 플랫폼에 전달됩니다. 플랫폼은 이 해시값을 데이터베이스에 저장하고, 이후 새로운 이미지가 업로드될 때마다 해시값을 비교해 일치하면 자동으로 차단합니다. 실제 이미지가 플랫폼 서버에 존재하지 않으므로, 2차 유출이나 개인정보 침해 위험이 없습니다.

CDT 보고서는 해시매칭 거버넌스에서 지켜야 할 다섯 가지 핵심 원칙을 제시합니다. 첫째, '피해자 동의와 통제(Victim Consent and Control)': 해시 등록과 해제를 피해자가 직접 결정할 수 있어야 하며, 언제든지 해시를 삭제해 달라고 요청할 권리를 보장해야 합니다. 둘째, '투명성(Transparency)': 어떤 플랫폼이 해시를 수신하고 어떻게 사용하는지 피해자가 알 수 있어야 합니다. 셋째, '적법절차(Due Process)': 잘못된 해시 등록으로 정상적인 콘텐츠가 차단된 경우 이의를 제기할 수 있는 절차가 있어야 합니다. 넷째, '목적 제한(Purpose Limitation)': 수집된 해시는 NCII 차단 목적으로만 사용해야 하며, 다른 감시 목적에 전용해서는 안 됩니다. 다섯째, '독립적 감독(Independent Oversight)': 해시매칭 시스템을 운영하는 기관은 플랫폼과 독립적으로 운영되어야 하며, 정기적인 외부 감사를 받아야 합니다. StopNCII.org는 이 다섯 가지 원칙을 모두 충족하도록 설계된 서비스로, CDT는 이를 '현재 가장 신뢰할 수 있는 NCII 해시매칭 플랫폼'으로 평가합니다. TAKE IT DOWN Act(미국)와 Online Safety Act(영국)는 모두 플랫폼이 NCII 재유포를 방지하기 위한 기술적 수단을 갖출 것을 법적으로 요구하고 있으며, 해시매칭은 이 요건을 충족하는 사실상의 표준 기술로 자리잡고 있습니다.

StopNCII 200만 이미지 보호 달성 — 17개 파트너와 마이크로소프트 통합의 의미

2025년 11월 25일, StopNCII.org는 창립 4주년을 맞아 두 가지 획기적인 수치를 발표했습니다. 하나는 200만 이미지 보호(전년 대비 97% 증가), 다른 하나는 785,000건 이상의 피해 사례 지원입니다. 이 숫자는 단순한 통계가 아닙니다. 딥페이크 피해자 한 명이 평균 수십에서 수백 개의 이미지 복사본 피해를 입는다는 점을 고려하면, 785,000건의 사례는 수백만 명의 실제 피해자가 이 도구를 통해 도움을 받았음을 의미합니다. StopNCII의 현재 파트너 플랫폼은 총 17개입니다. Facebook, Instagram, Threads, TikTok, Reddit, Microsoft Bing, Snap, Aylo(Pornhub 모회사), OnlyFans, PlayHouse, RedGIFS, Bitly, Patreon, Vivastreet, X(트위터), BlueSky, F2F.com이 여기에 포함됩니다. 이 17개 플랫폼은 수십억 명의 사용자를 보유한 인터넷의 핵심 인프라입니다. 특히 주목할 만한 것은 영국의 통신 규제기관 Ofcom이 StopNCII.org를 '글로벌 선도 모델(a leading global example)'로 공식 인정했다는 사실입니다. Ofcom은 Online Safety Act 집행 지침에서 플랫폼이 NCII 재유포 방지를 위해 해시매칭을 활용해야 하며, StopNCII가 그 기준을 충족하는 대표적 서비스라고 명시했습니다.

2026년 5월, Microsoft는 StopNCII 해시 통합을 대폭 확대했습니다. 기존에 Bing 검색 결과에 적용되던 해시매칭이 이제 Microsoft의 소비자 서비스 전반으로 확장됐습니다. 구체적으로 GroupMe(메신저), Teams Free(협업 도구), OneDrive(클라우드 스토리지), Xbox(게임 플랫폼)의 이미지 업로드 기능에 StopNCII 해시매칭이 통합됐습니다. 이것이 피해자에게 갖는 실질적 의미는 다음과 같습니다. 과거에는 딥페이크 이미지가 포르노 사이트와 소셜 미디어에서 주로 유포됐지만, 최근에는 게임 플랫폼 채팅, 클라우드 스토리지, 메신저를 통해 '조용히' 공유되는 사례가 증가하고 있습니다. Microsoft의 통합은 이러한 새로운 유포 경로를 차단합니다. 해시를 한 번만 StopNCII에 등록하면, 가해자가 어떤 Microsoft 서비스를 통해 이미지를 공유하려 해도 자동으로 차단됩니다. 또한 StopNCII는 '글로벌 클리어링 센터(Global Clearing Centre)' 파일럿 프로젝트를 진행 중입니다. 이 센터의 목표는 111개 NGO 파트너 조직 사이에서 NCII 해시를 자동으로 공유해, 각국의 지원 기관이 개별적으로 플랫폼과 교섭하지 않아도 글로벌 차원의 차단이 가능하게 하는 것입니다. 이 시스템이 완전히 가동되면, 한국의 피해자가 디지털성범죄피해자지원센터를 통해 해시를 등록하더라도 17개 파트너 플랫폼 전체에 자동으로 적용될 수 있는 인프라가 갖춰질 것입니다.

호주 eSafety Commissioner의 집행 선례 — 경찰 신고 없이 플랫폼 퇴출 가능

해시매칭 기술과 함께, 2026년에 주목할 만한 규제 집행 사례가 호주에서 나왔습니다. 2026년 6월 26일, 호주 eSafety Commissioner는 세 개의 AI 기반 넛지파이(nudify) 서비스가 연령확인 요건을 준수하라는 집행 명령 이후 호주 시장에서 자발적으로 철수했다고 발표했습니다. 이로써 eSafety가 집행 조치를 취한 이후 호주 시장에서 퇴출되거나 요건을 준수한 넛지파이 서비스는 총 7개로 늘어났습니다. 같은 맥락에서 연방법원은 딥페이크 이미지를 게시한 Anthony Rotondo에 대해 343,500호주달러(약 2억 2천만 원)의 벌금과 소송 비용 납부를 명령했습니다. 호주 eSafety 모델이 딥페이크 피해자에게 특히 중요한 이유는 단 하나입니다. 피해자가 경찰 고소장 없이도 eSafety Commissioner에게 직접 신고할 수 있다는 것입니다. eSafety는 플랫폼에 직접 접촉해 콘텐츠 삭제를 요청하고, 플랫폼이 응하지 않으면 법적 조치로 이어집니다. 한국, 미국, 영국의 피해자는 형사 고소를 통해 수사가 진행되는 동안 이미지가 계속 유포되는 고통을 겪는 경우가 많지만, 호주 eSafety 모델은 형사 절차와 병행 또는 독립적으로 신속한 콘텐츠 제거를 가능하게 합니다. 호주 내 딥페이크 피해자는 esafety.gov.au에서 24시간 이내에 신고를 제출할 수 있으며, eSafety는 플랫폼에 48시간 내 삭제를 요구합니다.

피해자 단계별 활용 가이드 — 해시 등록부터 각국 지원 기관까지

Step 1: StopNCII.org 접속과 해시 생성. StopNCII.org에 접속해 'Create a Case'를 선택합니다. 이 과정은 완전히 익명으로 진행됩니다. 이미지 파일을 선택하면 브라우저 내에서 해시값이 생성되며, 실제 이미지 파일은 기기를 벗어나지 않습니다. 성인(18세 이상)의 경우 StopNCII, 미성년자가 포함된 경우에는 NCMEC(National Center for Missing & Exploited Children)의 Take It Down(takeitdown.ncmec.org) 서비스를 이용해야 합니다. 딥페이크 이미지가 아직 자신의 기기에 없고 URL만 알고 있는 경우에도 케이스를 생성할 수 있습니다. 해시 등록을 완료하면 케이스 번호가 발급됩니다. 이 번호를 반드시 안전하게 보관하십시오. 향후 플랫폼에 직접 삭제를 요청하거나 법적 절차에서 증거로 활용할 수 있습니다. Step 2: 각 플랫폼에 직접 신고. 해시 등록과 병행해 이미지가 게시된 각 플랫폼에도 직접 삭제를 요청해야 합니다. 미국에서는 FTC TakeItDown 포털(takeitdown.ftc.gov)을 통해 TAKE IT DOWN Act 위반을 신고할 수 있으며, 플랫폼은 48시간 내에 삭제할 의무가 있습니다. 영국에서는 Revenge Porn Helpline(revengepornhelpline.org.uk, 0345 6000 459)이 플랫폼에 대한 긴급 삭제 요청을 대행합니다. 호주에서는 eSafety Commissioner(esafety.gov.au)에 직접 신고합니다. 한국에서는 디지털성범죄피해자지원센터(02-735-8994, d4u.stop.or.kr)에 연락하면 삭제 지원, 법률 자문, 심리 상담을 무료로 받을 수 있습니다. 방송통신심의위원회(129번, clean.kocsc.or.kr)를 통해 해외 플랫폼의 딥페이크 이미지 삭제 심의를 요청할 수 있으며, 방심위는 구글·메타·X 등과 핫라인 협약을 통해 빠르게 처리합니다.

Step 3: 증거 보전과 지속적 모니터링. StopNCII에 해시를 등록하면 파트너 플랫폼에서의 재업로드를 막을 수 있지만, 파트너가 아닌 소규모 사이트나 다크웹에서는 여전히 유포될 수 있습니다. 따라서 지속적인 모니터링이 필요합니다. Google 이미지 검색의 '유사 이미지 검색(Search by image)' 기능이나 TinEye(tineye.com)를 통해 주기적으로 자신의 이미지가 어디에서 사용되고 있는지 확인할 수 있습니다. 새로운 유포 경로를 발견할 때마다 해당 플랫폼에 삭제를 요청하고, StopNCII 케이스를 업데이트하십시오. 법적 절차를 위해서는 반드시 증거를 보전해야 합니다. 딥페이크 이미지가 발견된 URL, 페이지 스크린샷(날짜가 포함된 타임스탬프 포함), web.archive.org를 통한 페이지 보관을 즉시 진행하십시오. 이 증거들은 형사 고소와 민사 소송 모두에서 핵심 자료가 됩니다. Step 4: 심리적 지원. 딥페이크 피해는 단순한 법적 문제가 아니라 심각한 심리적 트라우마를 수반합니다. 법적 절차를 진행하면서 동시에 심리 상담을 받는 것이 중요합니다. 한국에서는 디지털성범죄피해자지원센터가 심리 상담을 무료로 제공합니다. 국제 피해자를 위해서는 Cyber Civil Rights Initiative(cybercivilrights.org, 844-878-2274)가 24시간 위기 전화와 심리 지원 연결 서비스를 제공합니다. 2026년 8월 현재, 미국에서는 48개 주(오하이오, 뉴멕시코 제외)가 딥페이크 성적 이미지에 관한 주법을 시행 중이며, DEFIANCE Act가 연방 민사 소송권을 보장합니다. 법적 권리를 행사하면서, 동시에 해시매칭 기술을 활용해 이미지 재유포를 막는 이중 전략이 2026년 현재 피해자에게 가장 효과적인 대응입니다.