프랑스 국세청(DGFIP) 직원들의 로그인 정보가 정보탈취형 악성코드(infostealer)에 의해 도용되면서, 공격자가 6~7월에 걸쳐 개인 약 35만 명과 기업 약 25만 곳의 세무 데이터를 빼갔습니다. 이 사실은 피해 발생 후 무려 7주가 지난 8월 12일, 공격자가 온라인 포럼에 직접 자랑하면서야 드러났습니다. 프랑스 사이버보안청(ANSSI) 조사 결과, 공격 자체는 고도의 기술이 필요한 것이 아니었고 허술한 로그인 보안, 제대로 분리되지 않은 내부망, 감시 체계의 빈틈이 겹쳐 벌어진 일이었습니다. 특히 경보가 여러 차례 울렸는데도 담당팀이 비밀번호만 초기화하고 공격자의 로그인 세션 자체는 끊지 않아 피해가 계속 커졌습니다. ANSSI는 다중인증(MFA) 도입, 비밀번호 재설정 시 모든 세션 강제 종료, 업무 앱 전체에 대한 통합 로그 감시(SIEM) 등을 권고했습니다.
프랑스 국세청 직원 계정이 도용되어 개인 약 35만 명, 기업 약 25만 곳의 세무 관련 데이터가 6~7월 사이 유출됐으며, 공격자가 8월 12일 온라인에 이를 공개할 때까지 7주간 탐지되지 않았다.
유출 데이터에는 세금 ID, 연락처, 가족 상황, 소득·원천징수율, 국세청과의 메시지 목록 등이 포함되며, 일부(개인 250명 미만, 기업 2,076곳 미만)는 메시지 본문까지 노출됐을 수 있다. 별도 경로로는 토지대장 관련 정보가 약 43만5천 가구 규모로 유출됐다.
정보탈취형 악성코드로 훔친 직원 비밀번호가 비밀번호만 요구하는 포털(PIGP, ADER)에 그대로 통했고, 정부 내부망(RIE)이 제대로 분리되지 않아 교육부 시스템을 거쳐 침투가 가능했다. 국세청 보안관제팀(SOC)은 계정 도용 경보에 비밀번호만 초기화했을 뿐 이미 열려 있던 세션은 끊지 않아 유출이 계속됐고, ADER는 아예 모니터링 대상이 아니었다.
국세청은 8월 중순부터 직원의 ADER·PIGP 접속을 차단했고, 문제가 된 토지측량사무소 계정과 APEX 포털도 잠갔다. 이후 전 업무 애플리케이션 모니터링 확대, 강력한 인증 도입, 데이터 접근량 제한 등을 담은 대응 계획을 수립했으며, E-Contact에는 다중인증이 추가될 예정이다.
비밀번호 재설정만으로는 이미 열려 있는 로그인 세션을 차단하지 못한다. 계정 도용이 의심되면 비밀번호 변경과 동시에 모든 활성 세션을 강제 종료해야 하며, 이메일로 보내는 일회용 코드는 그 이메일 계정 자체가 같은 비밀번호로 뚫릴 수 있어 충분한 다중인증이 아니다.
본문
공격자는 6월과 7월에 프랑스 국세청 직원들의 도용된 비밀번호를 이용해 수십만 명의 납세자와 기업의 세무 데이터를 빼갔습니다.
국세청도, 프랑스 국가 사이버보안기관인 ANSSI도 데이터가 유출되는 것을 알아채지 못했습니다. ANSSI가 화요일 공개한 보고서(프랑스어)에 따르면, 이 공격은 고도의 기술을 요하는 것이 아니었으며 허술한 로그인 보호, 제대로 분리되지 않은 네트워크, 감시 체계의 빈틈 때문에 성공했다고 밝혔습니다.
국세청(DGFIP)은 프랑스 세무 웹사이트인 impots.gouv.fr을 운영합니다. 유출된 데이터는 납세자가 국세청에 메시지를 보낼 때 쓰는 도구인 E-Contact에서 나온 것입니다.
DGFIP에 따르면 유출된 데이터는 개인 35만 명이 조금 넘고, 기업은 25만 곳이 조금 넘는 규모입니다. 납세자 본인의 온라인 계정과 비밀번호는 침해되지 않았습니다.
개인의 경우, 열람되거나 복사되었을 수 있는 데이터에는 세금 ID, 연락처, 가족 상황, 참조 과세소득 및 원천징수율, 그리고 DGFIP와 주고받은 메시지 목록이 포함됩니다. 250명 미만의 경우 메시지 내용 자체도 유출되었을 수 있습니다.
기업의 경우, 회사명, SIREN 등록번호, 주소, 메시지의 기본 정보가 포함됩니다. 2,076개 미만의 기업에 대해서는 메시지 내용까지 노출되었을 수 있습니다.
이 데이터 절취 사실은 8월 12일, 공격자가 한 온라인 포럼에 이를 자랑하면서 알려졌습니다. 첫 데이터가 탈취된 지 7주가 지난 시점이었습니다. 세바스티앵 르코르뉘 총리는 이후 ANSSI에 심층 감사를 요청했습니다. 8월에 DGFIP를 관장하는 부처는 다른 설명을 내놓았습니다.
당시 부처 측은 "공격의 정교함 때문에"(프랑스어 원문 번역) DGFIP의 접근 점검이 이 절취를 발견하지 못했다고 밝혔습니다.
공격자는 어떻게 침입했나
보고서에 따르면 공격자는 두 개의 별도 경로를 사용했습니다. 첫 번째 경로는 5월 초의 의심스러운 로그인으로 시작해 E-Contact로 이어졌습니다.
첫 번째 경로는 3개월에 걸쳐 도용된 DGFIP 직원의 비밀번호 수십 개에 의존했습니다. 이 비밀번호들은 DGFIP가 관리하지 않는 컴퓨터, 즉 대부분 직원 개인 기기에서 저장된 로그인 정보를 조용히 빼가는 악성코드인 정보탈취형 악성코드(infostealer)에 의해 탈취되었을 가능성이 높습니다.
공격자가 이용한 두 개의 포털인 PIGP와 ADER는 비밀번호만 요구했기 때문에, 도용된 비밀번호가 바로 통했습니다. PIGP는 DGFIP 직원들이 이메일과 인사(HR) 서비스에 사용하는 웹 포털입니다. ADER는 프랑스 정부 부처들을 연결하는 네트워크인 RIE를 통해 특정 DGFIP 애플리케이션에 대한 접근을 제공합니다.
공격자는 RIE에 연결된 교육부의 침해된 시스템을 통해 RIE에 도달했습니다. 민감한 DGFIP 애플리케이션들이 RIE의 나머지 부분과 분리되어 있지 않아, 별다른 필요가 없어 보이는 네트워크 구역에서도 접근이 가능했습니다. 조사관들은 또한 공격자가 다른 정부 기관으로 침투를 시도한 다수의 흔적도 발견했습니다.
공격자가 사용한 계정들은 특별한 권한이 없었음에도 방대한 양의 데이터에 접근할 수 있었습니다. ANSSI는 이번 보고서에서 사용자 권한이 어떻게 관리되었는지는 조사하지 않았습니다.
두 번째 경로는 토지대장 데이터로 이어졌습니다. 이 경로는 공증인이나 토지측량사 같은 파트너를 위한 포털인 APEX를 거쳤는데, 이 포털은 비밀번호와 이메일로 전송되는 일회용 코드를 요구했습니다.
DGFIP의 조사에 따르면 한 민간 업체의 토지측량사 컴퓨터가 침해되었을 가능성이 있으며, 이를 통해 공격자가 해당 일회용 코드를 우회할 수 있었습니다. 이 데이터는 7월 27일부터 8월 8일 사이에 탈취되었습니다. Public Sénat이 보도한 9월 4일자 상원 재정위원회 메모에 따르면, 이는 거의 43만5천 가구에 관한 것입니다.
왜 아무도 유출을 알아채지 못했나
ANSSI에 따르면 DGFIP는 이미 직원 계정 도용에 대한 기존 대응 절차를 가지고 있었습니다. 보안관제센터(SOC)는 공격을 감시하는 팀입니다. SOC가 침해된 계정을 탐지하거나 위협 인텔리전스 제공업체가 계정을 신고하면, 비밀번호를 초기화하는 방식이었습니다.
이 절차는 공격자의 활동 일부를 포착했지만 절취 자체는 잡아내지 못했습니다. 6월 7일, 도용된 계정을 이용한 검색이 경보를 울렸고 당일 비밀번호가 초기화되었지만, SOC는 공격자가 PIGP에서 ADER로 이동했다는 사실을 놓쳤습니다.
6월 23일, 제공업체가 공격자가 사용 중이던 또 다른 계정을 신고했고, 이 계정으로 이루어진 검색은 파리 시간 오후 8시 50분에 SOC 티켓을 열었습니다. 다음 날 새벽 4시 26분, 공격자는 페이지 단위로 데이터를 복사하는 자동화된 스크래핑 도구를 이용해 ADER를 통해 E-Contact에서 데이터를 빼내기 시작했습니다.
SOC는 오전 10시 40분에 해당 계정의 비밀번호를 초기화하는 방식으로 티켓을 처리했습니다. 이 초기화는 PIGP상의 경보는 해결했지만 ADER에서 공격자가 열어둔 세션은 종료시키지 못했습니다. 데이터 유출은 6월 25일 새벽 2시 31분까지 거의 16시간 더 계속되었습니다.
7월에도 SOC는 다시 공격자의 검색 활동을 포착했지만 절취 자체는 알아채지 못했습니다. 공격자는 7월 22일 또 다른 도용 계정으로 자동화된 데이터 추출을 재개했습니다. SOC는 다음 날 해당 계정의 의심스러운 검색을 발견했고 7월 24일 계정을 초기화했습니다.
DGFIP의 SOC는 ADER를 전혀 모니터링하지 않고 있었습니다. 야간 로그인, VPN 접속, 인도발 접속, 악성으로 알려진 주소로부터의 접속 등 여러 경고 신호를 연결하는 시스템도 없었습니다. 데이터 전송량도 경보를 울리지 않았는데, 6월 22일부터 25일 사이 오간 11GB 규모의 데이터도 마찬가지였습니다.
각 사용자가 보낸 요청 수도 점검되지 않았는데, 스크래핑은 페이지당 요청 하나를 필요로 합니다. 이런 신호들은 개별적으로는 보통 많은 오탐(false alarm)을 일으키지만, 함께 보면 경보를 울릴 수 있었을 것이라고 ANSSI는 밝혔습니다.
ANSSI 자체의 모니터링도 이 유출을 놓쳤습니다. ANSSI의 탐지 센서는 RIE와 인터넷의 진입·출구 지점에만 있으며, 이 기관은 애플리케이션 로그에 접근 권한이 없습니다.
공격자가 실제 직원 계정을 사용했기 때문에 ANSSI의 네트워크 모니터링은 이 활동을 포착하지 못했습니다. 그럼에도 전체 요청 수는 경보를 울렸어야 했다고 이 기관은 말합니다.
6월 9일, 교육부 보안팀은 모든 부처 보안팀에 자기 네트워크에서 발생한 사고를 알리고, 침해 지표(IoC) 17개를 공유하며 해당 부처 주소로부터의 접속을 주시해달라고 요청했습니다. 공격자는 이미 그중 한 주소를 사용한 상태였고, 6월 말에 다시 사용했습니다. ANSSI는 이러한 지표를 분석하고 공유하는 데 걸리는 시간을 최소화했어야 한다고 밝혔습니다.
8월 6일, ANSSI는 과거 센서 데이터를 검색해 찾아낸 의심스러운 주소 두 개를 DGFIP에 전달했습니다. DGFIP는 이 주소들을 차단하고 계정 다섯 개를 초기화했지만, 두 기관 모두 8월 12일 공격자가 유출을 직접 주장할 때까지 이번 절취 사실을 알아내지 못했습니다.
무엇이 바뀌었고 ANSSI는 무엇을 권고하나
보고서 작성 시점 기준, DGFIP 직원 계정은 8월 13일부터 ADER에서, 8월 18일부터 PIGP에서 차단된 상태였습니다. DGFIP는 두 포털 모두 직원들에게 다시 열어줄 계획이 없습니다.
APEX는 잠겼고 해당 측량사 계정은 8월 14일에 비활성화되었으며, 해당 업체의 다른 계정들도 나흘 뒤 비활성화되었습니다. 이러한 접근 차단 조치는 일부 DGFIP 서비스와 파트너 기관에 상당한 지장을 초래했습니다.
DGFIP의 모든 업무 애플리케이션으로 모니터링을 확대하고, 강력한 인증을 도입하며, 접근 가능한 데이터양에 제한을 두는 실행 계획이 수립되었습니다. ANSSI는 이미 계획된 더 포괄적인 감사만이 악용될 수 있는 모든 취약점을 밝혀낼 것이라고 밝혔습니다.
상원 메모에 따르면, 2단계 로그인이 없었던 E-Contact에는 이제 2단계 로그인이 추가될 예정이며, 비정상적인 양의 데이터 열람이나 복사를 탐지하는 도구도 배치될 예정입니다. 이 메모가 작성된 시점에 직원들은 더 이상 개인 기기로 DGFIP 도구에 접근할 수 없게 되었습니다.
DGFIP에 대한 ANSSI의 권고 사항은 다음과 같습니다:
- 비밀번호를 재설정할 때마다 모든 애플리케이션과 포털에서 활성 세션을 전부 무효화할 것.
- 계정이 침해된 것으로 신고되면, 침해 추정 시점부터 해당 계정이 무엇을 했는지 점검할 것.
- 모든 애플리케이션에 다중인증(MFA)을 적용하되, 비밀번호가 도용되더라도 계정을 지켜줄 수 있는 두 번째 인증 수단을 사용할 것. 같은 비밀번호로 이메일함도 열리는 경우, 이메일로 보내는 일회용 코드만으로는 충분하지 않다. 하드웨어 토큰이나 인증 앱을, 가급적 별도의 기기에서 사용하는 것이 바람직하다.
- 모든 업무 애플리케이션을 보안 로그를 수집하는 시스템인 SIEM으로 모니터링할 것. 일정 기간 동안 접근한 기록, 요청 수, 교환된 데이터양에 대해 할당량을 설정할 것.
- 개인 기기가 업무 자원에 접근하지 못하도록 할 것.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
