프랑스 국세청(DGFiP) 해킹, 세금·재산정보 67만8000명분 유출…MFA도 뚫렸다

[핵심요약] 프랑스 국세청(DGFiP)이 해킹당해 개인·기업 67만8000명분의 세금·재산 정보가 유출됐어요. 공격자는 직원과 협력사 계정을 탈취해 다단계인증(MFA)까지 우회했고, 두 달 가까이 유출 사실조차 몰랐어요.

2026년 8월 12일, 프랑스 경제재무부 산하 공공재정총국(DGFiP) 시스템에서 나온 것으로 보이는 데이터베이스가 해킹 포럼 PwnForums에 매물로 올라왔어요. ‘ZeroBytes’라는 닉네임을 쓰는 공격자가 올린 게시글 하나로, 프랑스 정부는 개인과 기업 67만8000명분의 세금·재산 정보가 이미 유출돼 있었다는 사실을 뒤늦게 알게 됐어요. 실제 침입은 그보다 훨씬 이른 6월 말에 있었고, DGFiP는 시스템 접근 자체는 며칠 만에 막았지만 정작 데이터가 밖으로 빠져나갔는지는 전혀 모르고 있었던 거예요. 프랑스 국가사이버보안청(ANSSI)과 개인정보보호기구 CNIL이 조사에 들어갔고, 파리 검찰 사이버범죄수사팀도 별도로 수사를 시작했어요.

무슨 일이 있었나

당국 발표에 따르면 공격자는 DGFiP 내부 직원 한 명과 시스템 접근 권한을 가진 외부 협력자 계정을 동시에 탈취해 침투했어요. 두 계정을 함께 활용해 다단계인증(MFA) 절차까지 우회했다는 점이 이번 사고의 핵심이에요. 6월 말부터 약 7주 동안 시스템을 들여다볼 수 있었고, 세금 기준소득·가족지수·원천징수세율 같은 개인 세금 정보와 기업 등록번호(SIREN), 사업장 주소, 부동산 소재지·면적 같은 지적(地籍) 정보까지 끌어갔어요. 다행히 계정 비밀번호나 금융 정보는 손상되지 않았다고 당국은 밝혔어요. 공격자는 한발 더 나아가 프랑스 중앙 부동산등기 플랫폼(SPDC)도 뚫었다고 주장하며, 최대 2000만 명 규모 데이터에 접근해 그중 25만2149건을 실제로 빼갔다고 밝혔어요. 프랑스 정부기관이 이렇게 뚫린 게 처음도 아니에요. 올해 1월엔 고용청(France Travail)에서 4300만 건, 2월엔 국가 은행계좌 등기소에서 120만 건이 유출됐어요.

왜 중요한가

이 사고가 특히 위험한 건 MFA를 뚫었다는 점 때문이에요. 다단계인증은 계정 탈취 방어의 마지막 보루로 여겨지지만, 공격자는 내부 직원 계정만이 아니라 협력사·대행 계정까지 함께 손에 넣어 인증 절차 자체를 무력화했어요. 더 뼈아픈 대목은 탐지 시점이에요. DGFiP는 침입 흔적을 막았지만 데이터가 실제로 빠져나갔는지는 몰랐고, 결국 해킹 포럼에 매물로 올라온 뒤에야 유출 사실을 확인했어요. ‘침입을 막았다’와 ‘유출을 막았다’는 전혀 다른 이야기라는 걸 보여준 사례예요. 게다가 세금·재산 정보는 신원도용이나 세무 사칭 사기에 바로 악용될 수 있어, 피해가 조용히 몇 달 뒤에 터질 가능성도 있어요.

비슷한 조직이 대비하려면

MFA는 여전히 기본값으로 켜둬야 하는 장치지만, 여러 계정이 동시에 뚫리는 상황까지 막아주진 못해요. 로그인 성공 여부만 볼 게 아니라, 평소와 다른 시간대·위치 접속이나 짧은 시간의 대량 데이터 조회 같은 로그인 이후 행동까지 살피는 이상행동 탐지 체계가 함께 있어야 정상적으로 인증을 통과한 공격도 잡아낼 수 있어요.

또 하나는 협력사·외주 계정 관리예요. 내부 직원 계정은 엄격히 관리하면서도 외부 업체 계정은 상대적으로 느슨하게 방치되는 경우가 많은데, 이번 공격도 결국 내부 계정과 외부 협력자 계정을 함께 확보해 MFA를 넘었어요. 정기적으로 불필요한 권한을 회수하고 휴면 계정은 아예 없애는 게 기본이에요.

마지막으로, 침입을 막았다고 끝난 게 아니라 데이터가 실제로 빠져나갔는지 재검증하는 절차가 필요해요. 다크웹이나 해킹포럼에 우리 조직 이름이 매물로 올라오는지 주기적으로 모니터링해두면, 이번처럼 두 달 가까이 유출 사실을 모르고 지나가는 최악의 상황은 피할 수 있어요.

이런 증상이 보이면 이미 위험한 상태예요

• 외부 협력사·대행 계정의 접속 로그에 평소와 다른 시간대나 위치 접속 기록이 보여요
• MFA를 정상 통과한 로그인인데도 짧은 시간에 대량 데이터를 조회·다운로드한 이력이 있어요
• 퇴사자 계정이나 오래 안 쓴 협력사 계정이 아직 살아있고 권한도 그대로예요
• 다크웹·해킹포럼에 우리 조직 이름이나 도메인이 언급되는지 확인해본 적이 없어요
• 침입 흔적을 막은 뒤에 데이터 유출 여부를 다시 검증하는 절차가 따로 없어요

Q. MFA를 켜놨는데도 이렇게 뚫릴 수 있나요?

네, 이번 사고가 정확히 그런 경우예요. 공격자가 계정 하나가 아니라 내부 직원과 외부 협력자 계정을 동시에 확보하면 MFA 절차 자체를 우회할 수 있어요. MFA는 필수지만 그것만으로 안심할 순 없다는 걸 보여준 사례예요.

Q. 중견기업도 이런 정부기관급 공격의 대상이 될 수 있나요?

규모보다 ‘어떤 데이터를 갖고 있느냐’가 더 중요해요. 세금·재무·개인정보를 다루는 곳이라면 조직 규모와 무관하게 노려질 수 있고, 오히려 정부기관보다 보안 인력이 적은 중견기업이 더 쉬운 표적이 될 수 있어요.

이번 사고는 다단계인증을 도입했다는 사실만으로 안심할 수 없다는 걸 보여줬어요. 침입을 막는 것과 유출을 막는 것은 다른 문제이고, 내부 계정만큼이나 협력사 계정 관리도 중요하다는 교훈을 남겼어요. 프랑스 정부기관이 반년 새 세 번째로 대형 유출을 겪었다는 점도, 이런 사고가 남의 일로 끝나지 않을 수 있다는 걸 보여줘요.

이런 사고를 막으려면 결국 정상적인 로그인 절차를 통과한 공격자라도 손댈 수 없는 마지막 방어선이 필요해요. 관리자 계정과 MFA가 함께 뚫려도 백업 데이터까지는 접근할 수 없는 물리적으로 분리된 이중 데이터 다이오드 구조를 갖춘 디포트리스가 그 역할을 해줘요.