프랑스 정부기관 데이터 유출 확인 — 공공기관 보안의 구조적 약점을 다시 보다

무슨 일이 있었나

프랑스의 한 정부기관에서 해킹으로 인한 데이터 유출이 공식 확인됐어요. 공격자는 이미 다크웹 포럼에 내부 데이터 샘플을 올려놓고 "관심 있는 사람 사라"는 식으로 판매를 시작한 상태고요. 기관 측은 처음엔 "조사 중"이라고만 하다가, 유출된 자료가 실제 내부 문서와 일치한다는 게 확인되면서 결국 침해 사실을 인정했어요. 이 패턴, 최근 몇 년간 지겹게 반복되는 흐름이죠. 해커가 먼저 공개하고, 기관은 뒤늦게 "네, 사실입니다"라고 말하는 순서요.

공공기관 침해는 일반 기업 사고와 결이 좀 달라요. 민간 기업이 털리면 고객 데이터가 문제의 중심이지만, 정부기관은 신원 정보, 행정 문서, 내부 소통 내역, 때로는 다른 기관과 연결된 시스템 자격증명까지 섞여 있을 수 있거든요. 한 군데가 뚫리면 그걸 발판으로 다른 기관까지 이어지는 '수평 이동(lateral movement)'이 가능해지기 때문에, 단일 사고처럼 보여도 파급이 훨씬 큽니다.

이런 사고는 어떻게 벌어지나

보도된 내용과 최근 비슷한 사건들의 패턴을 종합하면, 대체로 공격 경로는 몇 가지로 좁혀져요. 첫째는 피싱으로 직원 계정 탈취 — 메일로 가짜 로그인 페이지 링크 보내서 비밀번호 빼내는 고전적 수법인데, 아직도 가장 잘 먹혀요. 둘째는 외부 공개 서비스의 취약점 — VPN 장비, 파일 공유 서버, 웹 포털 같은 곳에 패치 안 된 취약점이 있는 경우죠. 작년부터 Fortinet, Citrix, Ivanti 같은 VPN 솔루션에서 터진 critical 급 CVE가 줄줄이 악용됐어요. 셋째는 외주 벤더 경유 — 본 기관은 보안이 괜찮아도, 연결된 외주 개발사나 유지보수 업체가 털리면 거기서 넘어옵니다.

그리고 요즘엔 해커가 바로 돈을 요구하지 않고 데이터 경매를 올리는 게 트렌드예요. 이게 뭐냐면, 과거엔 "복호화 키 줄테니 비트코인 내라"는 랜섬웨어 방식이 많았는데, 백업 잘 해놓고 버티는 피해자가 늘면서 이제는 "돈 안 내면 이 데이터 팔아버린다"는 이중 갈취(double extortion) 모델로 이동했어요. 이번 프랑스 건도 이 패턴에 가깝습니다. 판매 게시글에 샘플을 올려 진위를 증명하고, 기관에 압박을 가하는 거죠.

비슷한 사례들과 업계 흐름

유럽에서는 최근 몇 년간 공공 부문 침해가 계속 이어지고 있어요. 독일, 이탈리아, 네덜란드 모두 자치단체나 연방 기관이 랜섬웨어에 당한 사례가 있고, 미국도 주정부·카운티·학군이 주요 표적이 됐죠. 공공기관이 자꾸 뚫리는 이유는 돈이 없어서가 아니라 시스템이 너무 오래됐고 통합이 안 돼 있기 때문이에요. 수십 년 된 레거시 시스템에 신규 시스템이 얹히고, 부서마다 다른 보안 정책을 쓰고, 인력은 민간으로 다 빠져나가는 구조거든요.

유럽연합은 NIS2 지침으로 공공·핵심 인프라 보안 요건을 강화하는 중이고, 미국은 CISA 주도로 "Secure by Design" 원칙을 계속 밀고 있어요. 한국도 개인정보보호법 개정과 함께 공공 클라우드 보안인증(CSAP)이 강화되는 흐름이고요. 하지만 규제만으로 해결되는 문제는 아니에요. 실제로 사고 나는 지점은 대부분 기본기 — 패치 관리, MFA(다중 인증) 적용, 권한 최소화 같은 거거든요.

한국 개발자·보안 담당자 입장에서

내가 속한 조직이 정부 프로젝트를 직접 하지 않더라도 이 뉴스에서 챙길 포인트가 있어요. 첫째, 공개 자산 관리(Attack Surface Management). 우리 회사가 외부에 노출하고 있는 IP, 도메인, 포트가 뭐뭐 있는지 정확히 알고 있는 조직이 생각보다 적어요. Shodan이나 Censys 같은 툴로 주기적으로 외부 관점에서 스캔해보는 게 기본 중의 기본이에요.

둘째, MFA는 옵션이 아니라 필수예요. 특히 관리자 계정, 원격 접속, VPN에는 무조건 걸어야 해요. 비밀번호만 쓰는 건 2026년에 와서는 사실상 방어선이 없다고 봐야 합니다. 셋째, 침해 가정 훈련(assumed breach). "우리는 안 뚫릴 거야"가 아니라 "이미 누군가 내부에 들어왔다면?"을 가정하고 로그 수집, 이상 탐지, 계정 분리를 설계해두는 접근이에요. EDR(엔드포인트 탐지·대응) 솔루션을 깔아두고 SIEM으로 로그를 중앙에서 보는 체계가 여기 속해요.

마지막으로 외주 관리. 우리 회사 시스템에 접근 권한이 있는 외부 업체가 몇 곳인지, 그들이 쓰는 계정은 어떤 권한을 가지고 있는지 한 번쯤 정리해보세요. 공급망 공격이 점점 늘어나는 시대에는 이 항목이 가장 중요한 체크포인트 중 하나예요.

정리

한줄 요약하면, 공공기관 침해는 이제 예외 사건이 아니라 일상적인 위협이고, 방어의 핵심은 화려한 기술보다 패치·MFA·가시성 같은 기본기에 있다는 거예요.

여러분 조직에서는 외부 공격면 관리나 침해 가정 훈련을 얼마나 진지하게 하고 계세요? 실제로 사고 터진 후 제일 아쉬웠던 기본기 하나만 꼽는다면 뭐였는지 공유해주세요.