프랑스 국세청 DGFiP가 계정 탈취로 68만 명분 세무정보를 유출했다. 공격자 ZeroBytes가 데이터를 판매 주장했다.
2026년 8월 12일, 해킹포럼 PwnForums에 프랑스 국세청 데이터베이스가 올라왔다. 게시자는 자신을 "ZeroBytes"라 불렀다. 이틀 뒤 프랑스 재정경제부가 이를 사실로 인정했다. 국세청(DGFiP, Direction Générale des Finances Publiques) 정당 계정 2개가 도용돼, 개인·사업자 68만 명분의 세무 정보가 이미 빠져나간 뒤였다.
탈취된 계정은 DGFiP 직원 계정 1개와, 시스템 접근 권한을 가진 제3자 계정 1개다. 국세청 시스템 자체가 뚫린 게 아니라, 정상 로그인 경로로 위장한 우회 접근이었다는 뜻이다.
침입과 공개 사이엔 두 달 가까운 간격이 있었다. 공격자가 데이터를 손에 넣은 시점과 그 사실이 세상에 알려진 시점이 다르다는 게, 이 사고를 오래 발견하지 못한 이유다.
DGFiP는 접근 경로를 6월 말 차단했다고 밝혔지만, 그 시점엔 이미 데이터 열람·추출이 끝난 뒤였다. ZeroBytes는 여기에 더해 토지등기 플랫폼(SPDC)에서 200만 명 이상과 관련된 25만 2,149건의 레코드도 추가로 확보했다고 주장했다. 다만 이 숫자는 공격자 본인의 주장일 뿐, DGFiP가 공식 확인한 수치는 아니다.
유출된 정보는 참조소득(revenu fiscal de référence), 가족수당계수, 원천징수율 같은 세무 데이터와 사업자명·SIREN 등록번호, 부동산 주소·규모 같은 지적(地籍) 데이터다. 영향받은 인원은 개인·사업자를 합쳐 68만 명이다.
재정경제부는 사용자 ID와 비밀번호는 유출되지 않았고, 납세자가 직접 쓰는 온라인 계정(impots.gouv.fr)도 침해되지 않았다고 선을 그었다. DGFiP는 즉시 CNIL(프랑스 개인정보보호기관)에 신고했고, ANSSI(국가사이버보안청)가 조사와 영향평가를 지원하고 있다.
이번 사고에서 눈에 띄는 건 침입 자체보다 발견까지 걸린 시간이다. 정당한 계정으로 로그인했기 때문에, 단순 인증 실패 로그만으로는 이상 징후를 잡기 어려웠을 가능성이 크다. DGFiP가 6월 말 접근을 차단하고도 유출 사실은 8월에야 알려진 것도 이 때문이다 — 계정을 막은 것과 "무엇이 이미 빠져나갔는지"를 파악하는 건 별개의 작업이고, 후자는 조회 로그를 소급 분석해야만 드러난다.
| 기법 ID | 기법명 | 이 사고에서의 흔적 |
|---|---|---|
| T1078 | Valid Accounts | 탈취한 정당 계정 2개로 정상 로그인 경로 이용 |
| T1213 | Data from Information Repositories | 내부 검색도구로 세무·지적 데이터 대량 조회 |
이런 유형은 계정 자체보다 행위 패턴에서 흔적이 남는다. 평소 업무 범위를 벗어난 대량 조회, 짧은 시간에 반복되는 검색도구 호출, 평소와 다른 시간대·위치에서의 접속이 대표적인 신호다. 내부 검색·조회 도구도 이런 이상 사용 패턴을 감시하지 않으면, 로그인 기록은 정상으로 남은 채 데이터만 빠져나갈 수 있다.
이 사고는 방화벽이나 취약점 패치만으로는 막기 어려운 유형이다. 공격자가 새로 뚫은 게 아니라, 이미 있는 정상 계정을 훔쳐 정상 경로로 걸어 들어갔기 때문이다.
한국에서도 비슷한 위험이 실제로 경고된 적 있다. 2026년 6월 티빙에서 회원 1,300만 명의 CI(연계정보)가 유출되자, 국가정보원은 경찰청 등 공공기관에 "유출된 CI값으로 비밀번호 찾기 절차를 우회해 타인 계정을 탈취할 수 있다"는 보안조치를 권고했다. 시스템 자체를 뚫는 대신 정당한 인증 절차를 역이용해 계정을 가로챈다는 점에서 DGFiP 사고와 같은 패턴이다. 국세청 홈택스처럼 대량의 세무 정보를 다루는 시스템일수록, 직원·협력업체 계정 하나의 탈취가 곧 대량 유출로 이어질 수 있다는 뜻이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.