영국 법률 지원 기관(LAA)은 2025년 4월 시스템을 대상으로 발생한 사이버 공격으로 1978년까지 거슬러 올라가는 기록이 도난당했다고 확인했다. 이는 지급 데이터와 최근 이용자 정보에 초점을 맞췄던 초기 추정치보다 훨씬 광범위한 범위다.
영국 법무부 산하 기관인 LAA는 잉글랜드와 웨일스에서 국선 변호와 법률 지원금 서비스를 운영한다. 직원은 약 1,250명이며 변호사, 법률회사, 비영리단체를 포함해 약 2,000곳의 서비스 제공업체와 거래한다.
도난당한 데이터의 범위
이 기관은 2025년 5월 초 해킹 사실을 공개하면서 법률 지원 서비스 제공업체의 지급 정보가 위험에 노출됐을 가능성을 경고했다. 2주 후에는 이 사건에 더 많은 민감 정보가 포함됐으며, 대부분 2010년 이후의 데이터라고 확인했다.
기관에 따르면 영향을 받은 데이터에는 연락처, 생년월일, 국가 신분증 번호, 범죄 기록, 고용 상태와 함께 분담금·채무·지급액이 포함됐다. 서비스 제공업체 데이터에는 계약, 사무실 위치, 금융 정보, 연락처, LAA Online Portal의 인증 정보도 포함됐으며, 이름과 이메일 주소도 들어 있었다.
이후 시스템에서 반출된 데이터를 분석한 결과, 약 25만 건의 기록이 2007년 이전 자료인 것으로 나타났다. 이 기록의 압도적 다수는 1990년대와 2000년대에 해당하며, 1990년 이전 자료는 극히 일부였다. 확인된 가장 오래된 기록은 1978년 자료였다.
실질적으로 무엇을 의미하는가?
오래된 기록이 존재한다고 해서 2007년 이전에 법률 지원을 신청했거나 받았거나 사법제도와 접촉한 모든 사람이 해킹의 영향을 받았다는 뜻은 아니다. 기관은 아직 모든 역사적 기록을 도난당한 데이터 내 특정 인물과 연결하지 못했다. 그러나 이처럼 넓은 기간이 포함되면서 사건의 민감도는 높아졌다. 신원 확인 정보와 금융 정보, 사건 및 범죄 기록 관련 정보가 함께 포함되기 때문이다.
영국 법무부는 현재 도난당한 것으로 추정되는 개인정보가 공개됐다는 증거는 없다고 밝혔다. 또한 정부가 공격에 앞서 기관의 디지털 시스템을 안정화하고 현대화하기 위해 2,000만 파운드를 배정했으며, 디지털 서비스 현대화와 복원력 및 사이버 보안 강화를 위한 신규 투자는 2억 파운드를 넘어섰다고 설명했다.
공공 부문을 겨냥한 공격의 broader context
이번 기관 해킹은 영국 기관들을 겨냥한 일련의 공격 가운데 발생했다. 공격 대상에는 Co-op, Harrods, Marks & Spencer 체인이 포함됐으며, 공격은 DragonForce 랜섬웨어 작전과 관련된 것으로 추정됐다. 이에 영국 국가사이버보안센터(NCSC)는 영국 내 기관들이 방어 체계를 강화할 수 있도록 지침을 발표했다.
영국은 또한 1월에 2억1,000만 파운드 이상의 지원을 받는 새로운 사이버 보안 전략을 발표했다. 한편 영국 주택 옴부즈맨은 이번 주 제3자 보안 사고가 자사의 사건 관리 시스템에 영향을 미친 사실을 조사하고 있다고 밝혔다. 이러한 상황은 오래된 시스템과 역사적 데이터를 보호하는 일이 단순한 기술 현대화 문제가 아니라 공공 부문 위험 관리의 핵심 요소임을 보여준다.