무료 PDF 변환 사이트에 이력서 올리면 안 되는 진짜 이유 (서버 vs 로컬 처리)

https://privacy-alert.global / free-pdf-converter-upload

PDF PRIVACY ALERT

업로드 문서 89,062개 노출 · FBI도 경고한 '무료 변환'의 함정

무료 PDF 변환 사이트에 이력서 올리면,
내 신상정보는 어디로 갈까?

Server Upload ✕  ·  Local Processing ✓

 

숨기기

숨기기

취업 시즌이면 꼭 한 번씩 겪는 장면이 있어요. 이력서를 다 썼는데 채용 사이트가 "PDF 파일만 업로드 가능합니다"라고 하죠. 급한 마음에 검색창에 '무료 PDF 변환'을 치고, 맨 위에 뜬 사이트에 파일을 올린 뒤 3초 만에 변환 완료. 참 편리합니다.

그런데 그 3초 동안, 내 이력서는 내 컴퓨터를 떠나 낯선 회사의 서버로 여행을 다녀왔습니다. 이력서 한 장에는 이름, 생년월일, 전화번호, 집 주소, 이메일, 학력, 경력, 증명사진까지 들어 있어요. 누군가 내 행세를 하는 데 필요한 정보가 거의 다 모여 있는 셈이죠.

"설마 그 파일을 누가 보겠어?"라고 생각할 수 있지만, 실제로 업로드된 문서 9만 개 가까이가 인터넷에 그대로 노출된 사건이 있었고, 미국 FBI까지 무료 변환 사이트를 공식적으로 경고했습니다. 오늘은 무료 PDF 변환 사이트에 이력서를 올리면 안 되는 진짜 이유를, '서버 처리'와 '로컬 처리'의 차이로 쉽게 풀어볼게요.

Cybernews PDF Pro Help PDF FBI Denver Nitro PDF

"무료 변환 사이트 두 곳의 저장소에서
여권·신분증·계약서 등 89,062개 파일이 잠금 없이 열려 있었다"

— Cybernews 연구팀 조사 (2024년 7월) 내용 요약

쉽게 말하면: '외부 세탁소'와 '집 안 세탁기'의 차이

👔 서버 업로드 = 옷을 외부 세탁소에 맡기는 일

무료 변환 사이트에 파일을 올리는 건, 소중한 옷을 동네 세탁소에 맡기는 것과 같아요. 맡긴 순간부터 옷이 창고에 얼마나 오래 걸려 있을지, 창고 문을 잘 잠그는지, 직원이 누구인지는 전부 세탁소 사정입니다. 손님은 "세탁 끝나면 바로 돌려드려요"라는 말을 믿을 수밖에 없죠.

🏠 로컬 처리 = 집 안 세탁기로 직접 빠는 일

반대로 내 컴퓨터나 웹 브라우저 안에서 변환하면, 옷이 집 밖으로 한 번도 나가지 않습니다. 세탁소 창고가 털리든, 직원이 실수를 하든 내 옷과는 상관이 없어요.

🔄 '변환' 버튼을 누르면 실제로 벌어지는 일

서버형 변환 사이트에서는 ① 파일 업로드 → ② 회사 클라우드 저장소에 저장 → ③ 서버에서 변환 → ④ 다운로드 링크 발급 순서로 일이 진행됩니다. 문제는 ②번이에요. 변환이 끝나도 원본과 결과물이 저장소에 한동안 남아 있고, 대부분 사이트가 "몇 시간 뒤 자동 삭제"를 약속하지만 정말 지워졌는지 사용자가 확인할 방법은 없습니다.

🧺 세탁소 비유	💻 실제 IT 구조	⚠️ 이력서에 생기는 일
접수대에 옷 맡기기	파일 업로드 (인터넷 전송)	내 기기를 떠나는 순간 통제권 상실
세탁소 뒤편 창고	클라우드 저장소 (예: Amazon S3)	원본·결과물이 함께 보관됨
"찾아가실 때까지 보관"	자동 삭제 정책 (몇 시간~며칠)	실제 삭제 여부는 확인 불가
창고 문을 안 잠근 날	저장소 공개 설정 실수	누구나 파일을 열어볼 수 있음
가짜 세탁소 간판	사칭·악성 변환 사이트	처음부터 정보 수집이 목적

▲ 표 1. 세탁소 비유로 보는 서버형 변환 사이트의 구조

실제로 일어난 일: 창고 문은 이미 여러 번 열렸다

🗄️ 사례 ① 변환 사이트 저장소에서 문서 89,062개 노출 (2024년 7월)

보안 매체 Cybernews 연구팀은 온라인 PDF 변환 서비스 PDF Pro와 Help PDF의 클라우드 저장소(Amazon S3)가 잠금 없이 열려 있는 것을 발견했습니다. 그 안에는 사용자들이 변환하려고 올린 여권, 운전면허증, 신분증, 계약서, 자격증 등이 들어 있었고, 노출된 파일은 총 89,062개였어요. 연구팀이 운영사에 여러 차례 연락했지만 기사가 나갈 때까지도 노출이 이어졌습니다.

📊 잠금 없이 노출된 사용자 업로드 파일 수

Cybernews 조사 기준 · 2024년 7월

PDF Pro87,818개

 

Help PDF1,244개

 

합계89,062개

 

open-bucket — zsh

$ list s3://free-pdf-uploads/2024-07/
  resume_final_v3.docx          ← 이력서
  passport_scan.jpg             ← 여권 사본
  driver_license_front.png      ← 운전면허증
  lease_contract_signed.pdf     ← 계약서
  ... (89,062 files)
⚠ Access: PUBLIC — 인증 없이 누구나 열람 가능

▲ 이해를 돕기 위한 연출 화면입니다. 파일명은 가상이며 실제 유출 데이터가 아닙니다.

🕵️ 사례 ② FBI "무료 변환 사이트가 악성코드를 심는다" (2025년 3월)

2025년 3월 7일, 미국 FBI 덴버 지부는 무료 온라인 문서 변환 도구를 악용한 사기가 늘고 있다며 공식 경고를 냈습니다. 무서운 점은 이 사이트들이 변환 기능은 멀쩡히 해준다는 거예요. 다만 돌려받은 파일 속에 원격 조종이 가능한 악성코드가 숨어 있어, 신원 도용이나 랜섬웨어 피해로 이어질 수 있다고 했습니다. FBI는 검색 결과 맨 위에 뜨는 유료 광고 링크가 사기 사이트일 수 있다는 점도 함께 짚었어요.

🏢 사례 ③ 유명 업체도 예외는 아니다 — Nitro PDF (2020년 9월)

이름 있는 PDF 서비스라고 안전한 것도 아닙니다. 2020년 9월 Nitro PDF가 해킹을 당해 7천만 개가 넘는 이메일 주소와 이름, 암호화된 비밀번호, 그리고 사용자가 변환한 문서의 제목까지 노출됐어요. 제목만 새도 문제입니다. '김OO_이력서_OO전자_지원.pdf' 같은 파일명은 그 자체로 이름과 지원 회사를 알려주니까요.

핵심 시사점: '어디서' 변환하느냐가 보안의 전부

🔑 착한 사이트도, 나쁜 사이트도 결과는 같을 수 있다

세 사례를 겹쳐 보면 공통점이 하나 보여요. 사이트가 선의였든(설정 실수·해킹) 악의였든(사칭·악성코드), 파일이 내 기기를 떠나 남의 서버에 도착한 순간 위험은 이미 시작됐다는 점입니다. 그러니 "이 사이트 믿을 만해?"보다 먼저 물어야 할 질문은 "내 파일이 내 기기 밖으로 나가는가?"예요.

🛡️ 대안: 브라우저 안에서 끝내는 '로컬 처리'

요즘은 웹사이트에서도 파일을 서버로 보내지 않고 처리할 수 있어요. WebAssembly라는 기술 덕분에, 예전엔 서버에서만 돌던 변환 프로그램을 내 웹 브라우저 안에서 직접 실행할 수 있게 됐거든요. 웹사이트는 '세탁기 설계도'만 보내주고, 빨래는 우리 집에서 하는 방식입니다.

제가 만들고 있는 바쿠다(bakooda.com)도 이 방식으로 동작합니다. 파일을 외부 서버에 업로드하지 않고 브라우저 내부에서 100% 처리하기 때문에, 서버 저장소가 털리거나 설정 실수가 생겨도 애초에 그곳에 내 파일이 없어요. 의심된다면 브라우저 개발자 도구(F12)의 Network 탭을 열어둔 채 변환해 보세요. 파일 업로드 요청이 생기지 않는 것을 직접 확인할 수 있습니다.

비교 항목	❌ 위험한 구형 방식 (서버 업로드 변환)	⭕ 안전한 최신 방식 (브라우저 로컬 처리)
파일 이동	인터넷을 거쳐 남의 서버로 전송	내 기기 밖으로 나가지 않음
보관	서버 저장소에 일정 기간 남음	브라우저 탭을 닫으면 끝
서버 해킹·설정 실수 시	내 이력서가 함께 유출	서버에 내 파일이 없어 영향 없음
삭제 확인	"자동 삭제" 약속을 믿을 수밖에	처음부터 보낸 적이 없음
직접 검증	서버 내부는 볼 수 없음	개발자 도구로 업로드 여부 확인 가능

▲ 표 2. 서버 업로드 방식 vs 브라우저 로컬 처리 방식

지금 바로 할 수 있는 이력서 PDF 안전 수칙 5가지

🚫 1. 민감한 문서는 서버형 변환 사이트에 올리지 않기

이력서, 신분증 사본, 계약서, 통장 사본, 성적증명서는 '서버 업로드형' 변환 사이트 사용을 피하세요.

💾 2. 쓰던 프로그램의 'PDF로 저장' 먼저

워드·한글·구글 문서·맥 페이지스 모두 [다른 이름으로 저장] 또는 [내보내기] → PDF 기능이 있어요. 이게 가장 빠르고 안전합니다.

🔍 3. 웹 도구를 쓴다면 '로컬 처리'를 확인

"파일이 서버에 업로드되지 않습니다", "브라우저에서 처리" 같은 문구가 있는 도구를 고르고, 가능하면 개발자 도구 Network 탭으로 직접 확인해 보세요.

📢 4. 검색 결과 맨 위 '광고' 사이트는 한 번 더 의심

FBI 경고처럼 사기 사이트가 광고 자리를 사서 상단에 노출되기도 해요. 주소창의 도메인이 공식 사이트가 맞는지 꼭 확인하세요.

⚠️ 5. 받은 파일 확장자가 이상하면 절대 열지 않기

PDF를 받았는데 .exe, .js, .zip 같은 파일이 왔다면 바로 삭제하세요. 이미 올렸던 이력서가 걱정된다면 비밀번호를 바꾸고, 출처 모를 문자·전화를 평소보다 조심하는 게 좋아요.

📌 바쁜 분들을 위한 3줄 요약!

1. 무료 변환 사이트에 올린 순간, 이력서는 남의 서버 창고에 보관돼요.

2. 실제로 업로드 문서 89,062개가 노출됐고, FBI도 가짜 변환 사이트를 경고했어요.

3. 이력서는 내 프로그램의 'PDF로 저장'이나 브라우저 로컬 처리로 변환하세요.

참고 자료: Cybernews 조사 보도(BGR, it-daily.net, 2024.07) · FBI Denver 경고 보도(BleepingComputer, Xataka, 2025.03) · Nitro PDF 침해 기록(2020.09)