해커들, 채팅 통제 반발을 개인정보 유출 캠페인으로 전환

유럽연합의 최근 채팅 통제 투표 이후 며칠 동안, 프랑스 선출직 공무원, 정부 기관 및 공공 기관을 겨냥한 사이버 범죄 활동이 급증했습니다. 여러 위협 행위자들이 이제 개인정보 유출, 과거 유출 아카이브의 재공표, 그리고 공인들의 개인 데이터를 신규로 유포하는 행위를 결합한 조직적 공격의 주체라고 주장하고 있습니다. 이 캠페인을 추적 중인 보안 연구원들은 이를 보복 행위로 규정하며, 공격자들 스스로 브뤼셀에서 진행 중인 채팅 통제 법안에 대한 대응이라고 명시적으로 밝혔다고 전했습니다.

이는 단일 침해 사건이나 명료한 타임라인으로 정리되는 사안이 아닙니다. 서로 다른 행위자들이 오래된 데이터를 재활용하고, 새로운 유출을 엮어내며, 정치적 순간을 이용해 가시성을 극대화하는 산발적이고 기회주의적인 활동의 물결입니다. 오래된 자료와 새로운 자료가 뒤섞여 피해자들과 기관들은 무엇이, 언제 노출되었는지 정확히 파악하기가 더욱 어려워집니다.

채팅 통제 투표가 왜 발화점이 되었나

채팅 통제는 최근 기억에 남는 가장 논쟁적인 EU 기술 정책 중 하나입니다. 아동 성 학대 자료를 탐지하기 위해 개인 디지털 통신을 검사하도록 요구하는 이 제안은 개인정보 보호 옹호자들, 암호화 전문가들, 그리고 점차 사이버 범죄 지하세계 일부로부터 지속적인 반대를 불러왔습니다. 과거 이 법안을 고려 중인 EU 의원들을 상대로 분열적 공격의 위협을 지렛대로 사용하는 전술이 있었는데, LunarisSec이 EU의 채팅 통제 암호화 계획을 위협한 사례에서도 기록된 바 있습니다. 이번 프랑스 공무원에 대한 보복 캠페인도 유사한 논리를 따르는 듯합니다. 즉, 감시 법안에 대한 정치적 반대를 이 법안을 추진하는 데 책임이 있다고 여겨지는 사람들에 대한 직접적이고 개인적인 결과로 돌리는 것입니다.

입법 공방은 공격자들에게 공격할 순간을 충분히 제공했습니다. 채팅 통제는 여러 형태로 거듭 등장했으며, 유럽의회가 재도입을 승인한 버전을 포함해 2026년 7월 8일 EU가 채팅 통제를 재활성한 경위에 관한 보도에서 다루었습니다. 의회 투표든 이사회의 책략이든 절차적 단계마다 이슈를, 그리고 그 주변의 분노를 지속적으로 주목받게 하는 방아쇠가 되었습니다.

개인정보 보호법이 개인정보 침해를 부채질하는 아이러니

이 이야기의 중심에는 쓰라린 아이러니가 있습니다. 채팅 통제는 아동 안전 대책으로 제시되었지만, 비평가들은 그것이 암호화를 약화시키고 일반 사용자의 개인 통신 내용을 광범위한 검사와 잠재적인 오용에 노출시킬 것이라고 오래전부터 주장해왔습니다. 이제 이 법에 대한 반발 자체가 개인정보 재앙을 낳고 있습니다. 해당 법안과 연관되었다는 바로 그 이유로 공무원들의 개인 데이터, 기관 기록들, 그리고 보관된 유출 자료들이 재공표되고 증폭되고 있는 것입니다.

이러한 역학이 완전히 새로운 것은 아닙니다. EU 이사회가 암호화에 관한 정상적인 의회 절차를 우회한 것으로 알려진 채팅 통제에 대한 자체 접근 방식은 이미 법이 어떻게 충분한 공개 검토 없이 형성되고 있는지에 대한 우려를 불러일으켰습니다. 법안이 비공개로 협상된 후 대중의 반대 속에서 강행될 때, 이와 같은 보복 캠페인이 발붙일 수 있는 적대적인 환경이 바로 조성됩니다. 그 사이에 낀 사람들, 즉 개인정보가 유출되는 공무원들과 동일한 유출 데이터베이스에 정보가 담긴 시민들은 자신이 거의 직접 통제할 수 없었던 정책 싸움의 대가를 떠안게 됩니다.

이것이 여러분에게 의미하는 바

프랑스 공무원이나 공직자가 아니라면 이 캠페인이 자신과 무관하다고 생각하기 쉽습니다. 하지만 이러한 작전은 의도한 표적보다 훨씬 많은 사람들을 휩쓸어 버리는 경우가 많습니다. 재공표된 아카이브와 기관 데이터 유출물에는 주요 표적과 함께 기록이 저장되어 있었던 평범한 직원, 계약업체, 시민들의 정보가 자주 포함됩니다. 프랑스 정부 서비스를 이용하거나 공공 부문에서 일하거나, 과거 프랑스 기관과 연관된 유출 사건에 본인의 데이터가 포함된 적이 있다면, 이번 최신 유출에서도 그 정보 중 일부가 재등장할 수 있다고 가정하는 편이 좋습니다.

더 넓게 보면, 이번 사건은 채팅 통제 논쟁이 순전히 이론적인 것만은 아님을 상기시켜 줍니다. 이 법 자체가 여러분의 메시지를 검사하게 되든 말든, 그것을 둘러싼 정치적 싸움은 이미 실질적인 데이터 노출을 낳고 있으며, 그 노출은 표적이 된 데이터베이스에 정보가 있는 누구에게나 영향을 미칠 수 있습니다. 채팅 통제 1.0과 2021년부터 시행 중인 e프라이버시 면책 조항에서 설명된 것처럼 이전 버전의 규칙이 기존 면책 규정과 어떻게 상호작용했는지를 포함하여 근본적인 법적 메커니즘을 이해하면, 정책이 실제로 어디로 향하고 있으며 왜 계속 논란을 낳는지 따라가는 데 도움이 될 수 있습니다.

실용적인 조치 제안

영향을 받은 기관들이 결국 어떤 데이터가 노출되었는지 확인할 수 있으므로, 이용하는 프랑스 정부 기관이나 서비스에서 발송하는 알림을 주시하십시오. 특히 프랑스 행정 기관과 거래한 적이 있다면, 이메일이나 개인정보가 알려진 유출 데이터베이스에 있는지 확인하는 것을 고려하십시오. 공격자들은 종종 유출 사건에 대한 관심을 이용해 후속 피싱 캠페인을 진행하므로, 이번 유출을 언급하는 출처가 불분명한 메시지에 주의하십시오. 그리고 EU 기술 정책이나 디지털 권리 옹호와 관련된 역할을 맡고 있다면, 이번 보복 캠페인이 계속 전개되는 동안 본인의 개인정보를 더욱 신중하게 다루십시오. 채팅 통제 싸움은 끝나지 않았으며, 이 사건이 보여주듯 그 결과는 이미 브뤼셀의 협상 테이블 너머로 확장되고 있습니다.