프랑스 경제재정부는 공공재정총국(DGFiP) 시스템이 해킹돼 67만 8천 명의 개인과 전문가에 관한 데이터에 접근이 이뤄졌다고 밝혔다. 초기 조사 결과 데이터에는 세금 및 부동산 정보가 포함된 것으로 나타났으며, 재무부는 온라인 사용자 계정과 로그인 ID 및 비밀번호는 해킹되지 않았다고 말했다.
당국은 ZeroBytes라는 이름을 사용하는 인물이 공격의 책임을 주장하고 8월 12일 해킹 포럼 PwnForums에서 탈취한 데이터베이스를 판매하려 한 뒤 사건을 발견했다. 접근 범위와 열람 또는 추출된 데이터를 확인하기 위한 심층 조사는 이날부터 시작됐다.
어떤 데이터가 영향을 받았나?
프랑스 재무부에 따르면 접근된 데이터에는 기준 과세소득, 가족 계수, 원천징수세율 등의 정보가 포함됐다. 기업의 경우 데이터에는 회사명과 SIREN 번호가 포함됐다.
주소 및 부동산 면적과 관련된 지적 데이터에도 접근이 이뤄졌다. 공공재정총국은 사건을 확인한 즉시 프랑스 데이터보호기관(CNIL)에 통지했으며, 세무 당국은 민감한 정보 시스템에 대한 접근 경로를 차단하고 프랑스 국가정보시스템보안청(ANSSI)의 지원을 받아 영향을 계속 평가했다.
토지대장에 관한 추가 주장
ZeroBytes는 프랑스 세무당국이 운영하며 중앙 토지대장과 프랑스 내 부동산 소유권 기록에 대한 접근을 제공하는 플랫폼인 Serveur Professionnel de Données Cadastrales (SPDC)에도 접근할 수 있었다고 주장했다.
공격자는 이 플랫폼을 통해 약 2천만 명의 프랑스 시민 데이터에 접근할 수 있었다고 말했지만, 자신의 주장에 따르면 200만 명이 넘는 사람의 데이터와 관련된 기록 252,149건만 추출할 수 있었다. 이 수치와 추가 주장들은 재무부가 공식적으로 확인한 범위인 개인과 전문가 67만 8천 명과는 별개로 남아 있다.
피해자들에게 무엇을 의미하나?
비밀번호나 로그인 정보가 유출되지 않았더라도 세금 및 부동산 데이터는 재정 및 가족 상황, 소유권에 관한 민감한 세부 정보를 드러낼 수 있다. 이에 재무부는 발표 다음 주부터 이메일 또는 서신을 통해 모든 피해자에게 연락해 접근되거나 탈취됐을 가능성이 있는 데이터와 필요한 예방 조치를 알리겠다고 밝혔다.
이번 사건은 최근 몇 달 동안 프랑스 정부 기관을 대상으로 발생한 일련의 해킹 사건에 포함된다. 1월에는 데이터보호기관이 4,300만 명의 개인정보가 탈취된 뒤 국가고용기관 France Travail에 500만 유로의 과징금을 부과했다. 다음 달에는 국가 은행계좌 등록 시스템 FICOBA의 데이터베이스가 시스템에서 탈취된 뒤 120만 개가 넘는 사용자 계정에 영향을 준 또 다른 침해 사건을 재무부가 발표했다. 이후 France Titres도 국가안전문서청(ANTS)에서 1,900만 건의 기록이 포함된 데이터베이스가 도난당한 것으로 주장된 사건과 관련된 침해를 발표했다.