프랑스 국세청 해킹으로 67만8437명 세무정보 유출, 두 달 만에 드러났다

프랑스 국세청 플랫폼이 해킹당해 개인과 기업 68만 명 이상의 세무 정보가 유출된 것으로 나타났다. 파리 검찰청은 지난 토요일(현지시각) 이번 사건에 대한 형사 수사에 착수했다. 프랑스 재정총국(DGFiP)은 이번 공격이 과거에 겪은 어떤 사이버공격보다 정교했다고 밝혔다. 유출 규모를 추적하는 플랫폼 프렌치브리치스(FrenchBreaches)는 피해자 수를 67만8437명으로 잠정 집계했다. 유출된 정보에는 과세소득과 원천징수세율 등 민감한 재무 정보가 포함돼 신원도용과 표적범죄로 이어질 수 있다는 우려가 나온다.

유출된 정보는 무엇인가

DGFiP 국장 아멜리 베르디에(Amélie Verdier)는 개인 납세자의 경우 이름, 가족지수(household quotient·가구 구성에 따라 세금을 산정하는 지수), 참조 과세소득, 원천징수세율 등이 유출됐다고 밝혔다. 기업 정보는 상대적으로 덜 민감한 것으로 분류됐다. SIREN 등록번호, 사업장 주소, 대표자 인적사항 등이다.

DGFiP는 유출된 데이터로는 국세청 홈페이지(impots.gouv.fr)의 개인 보안계정에 접근할 수 없다고 강조했다. 다만 소득 규모나 세율, 가족 상황 같은 정보는 피싱 이메일이나 전화 사기의 신뢰도를 높이는 재료가 될 수 있다. 공격자가 이 정보를 이용해 비밀번호나 계좌번호를 캐내려는 후속 시도를 벌일 가능성이 있다는 뜻이다. 당국은 다음 주 초부터 피해자들에게 개별 통지를 시작해 구체적으로 어떤 정보가 노출됐는지 알리고, 신원도용 위험에 대비하라고 안내할 계획이다.

6월 말 침입, 두 달 뒤에야 드러난 전말

해커는 6월 말(현지시각) 프랑스 국세청 시스템에 침입해 데이터를 빼낸 것으로 파악됐다. 그러나 유출 가능성이 외부에 알려진 것은 8월 14일 금요일(현지시각)이었다. 두 달 가까이 침해 사실이 드러나지 않았던 셈이다.

이후 파리 검찰청 사이버범죄수사부가 사건을 넘겨받아 프랑스 반사이버범죄국(OFAC)과 함께 수사를 진행 중이다. 수사 대상 혐의는 국가가 운영하는 자동화된 개인정보처리시스템에서 데이터를 부정하게 추출한 행위, 국가정보시스템 무단접근, 5년 이상 징역형에 해당하는 범죄를 준비하기 위한 범죄단체 가입 등이다. 공공회계장관 다비드 아미엘(David Amiel)은 DGFiP에 월요일부터 피해자 통지를 시작하고 보안절차 강화 방안을 제출하라고 요청했다. 공격자의 침입 경로와 신원, 탈취된 데이터의 판매·악용 여부는 아직 확인되지 않았다.

반복되는 정부기관 해킹, 이번이 세 번째

이번 사건은 최근 몇 달 사이 프랑스 정부기관을 겨냥한 세 번째 주요 침해 사고다. 6월 말에는 프랑스 국립통계경제연구소(INSEE)가 공격을 받아 전현직 직원 1만2800명의 개인정보가 유출됐다. 4월에는 국가신원문서보안국(ANTS)이 대규모 공격을 받았는데, 이 사건은 15세 청소년이 용의자로 지목됐다. 짧은 기간에 국가기관 세 곳이 잇따라 뚫린 셈이다.

프랑스 정부는 이 같은 일련의 공격 이후 국가 디지털서비스 현대화와 사이버보안 강화를 위해 2억 유로를 배정했다. 세 차례 공격이 이어지면서 정부 시스템의 보안 수준 자체에 대한 의문도 커지고 있다.

부유층 표적 범죄로 번질 수 있다는 경고

이번 유출이 우려를 키우는 이유는 데이터에 담긴 소득 정보 때문이다. 암호화폐 전문매체 크립토노미스트(Cryptonomist)에 따르면 유출 대상 중 소득 10만 유로 이상인 사람이 2만7000명에 육박했다. 100만 유로를 넘는 사람은 386명, 1000만 유로를 초과하는 사람은 8명이었다. 이 매체는 탈취된 데이터베이스가 다크웹 마켓에서 수천 유로에 판매되고 있으며, ‘제로바이트(ZeroBytes)’라는 별명을 쓰는 공격자가 자신의 소행이라고 주장했다고 전했다.

크립토노미스트는 이런 소득 데이터가 부유층을 노린 강도·납치 범죄로 이어질 수 있다고 경고했다. 블록체인 분석업체 체이널리시스(Chainalysis)에 따르면 올해 상반기 프랑스에서 발생한 폭력적 암호화폐 강탈 사건, 이른바 렌치 어택은 30건이었고 피해액은 3000만 달러(약 425억 원, 1달러 1,415원 기준)를 넘었다. 이는 2025년 한 해 전체 피해액 5800만 달러 기록을 넘어설 수 있는 속도라고 이 매체는 전했다. 비트코인 보안연구자 제이슨 로프(Jameson Lopp)는 자신의 X(옛 트위터) 계정에 “렌치 어택 최다 발생국에 사는 비트코인 이용자들에게 또 다른 나쁜 소식”이라고 적었다. 유출 데이터가 암호화폐 보유자를 직접 특정하지는 않지만, 프랑스 내 부유층을 물색하려는 이들에게 새로운 출발점을 제공했다는 것이 이 매체의 분석이다.