프랑스 국세청인 공공재정총국(DGFIP)이 해커들이 자사 시스템을 침해해 개인과 기업의 민감한 세금 및 재정 정보를 빼낸 사실을 확인했다. 프랑스 국세청 침해 사건은 현재 클롭 랜섬웨어 조직과 연계되어 있으며, 해당 조직은 올해 기업 및 정부 네트워크를 통해 확산된 대규모 캠페인에서 수십 개 기관을 잠재적 피해자로 지목한 바 있다.

프랑스 국세청에서 무슨 일이 있었나

이번 사건에 대한 보도에 따르면, 공격자는 처음에 약 60만 명의 데이터를 훔쳤다고 주장했다. DGFIP는 이후 더 큰 규모인 약 678,000명으로 확인했으며, 소득 내역과 세금 식별 정보를 포함한 세금 관련 기록이 침해 중에 유출됐다. DGFIP는 피해 납세자들에게 통지하고 있으며, 피해 규모를 전체적으로 평가하기 위해 프랑스 사이버보안 당국과 협력하고 있다고 밝혔다.

이번 침해가 주목받는 이유는 단순히 피해자 수 때문만은 아니다. 방법 때문이다. 수사당국은 공격자가 단일한 소프트웨어 취약점을 악용하기보다 승인된 사용자의 자격 증명을 탈취해 접근했다고 보고 있다. 이 사실이 중요한 이유는 클롭의 최근 캠페인에서 반복적으로 나타나는 패턴을 보여주기 때문이다. 공격자가 항상 제로데이 취약점이 필요한 것은 아니며, 탈취했거나 재사용된 자격 증명만으로도 충분히 작업을 수행할 수 있다는 것이다.

이번 침해가 클롭의 광범위한 캠페인에 어떻게 포함되는가

클롭은 올해 추적된 가장 활동적인 랜섬웨어 및 데이터 갈취 조직 중 하나로 부상했으며, DGFIP 사건은 훨씬 더 큰 작전의 일부로 보인다. 보고서에 따르면 클롭은 제조 및 엔지니어링 기업에서 제품 수명 주기 관리에 널리 사용되는 인터넷 노출 엔터프라이즈 소프트웨어인 PTC의 Windchill 및 FlexPLM 플랫폼 등을 활용한 캠페인에서 40개 이상의 조직을 잠재적 피해자로 지목했다. 확인될 경우, 프랑스 세무 침해 사건은 같은 조직과 동일한 근본적 노출에 연계된 일련의 고위급 침해 사건들과 나란히 놓이게 된다.

이는 사이버보안 연구원들이 올해 내내 지적해 온 광범위한 추세와 일치한다. 랜섬웨어 조직들은 일회성 표적 공격보다 공유되거나 인터넷에 노출된 소프트웨어의 대량 악용을 점점 더 선호한다는 것이다. 수십 개 조직이 사용하는 단일 취약 플랫폼은 최소한의 노력으로 최대 피해자를 얻고자 하는 공격자에게 효율적인 진입점이 된다. 금융 부문도 최근 비슷한 압박을 받고 있다. 2026년 7월 업계를 뒤흔든 도이치은행 랜섬웨어 주장에서 볼 수 있듯이, 발판이 마련되면 이러한 갈취 캠페인이 업계 전반에 얼마나 빠르게 확산될 수 있는지 잘 보여준다.

국세청 침해가 다른 침해와 다른 이유

소매업이나 소셜 미디어 침해와 달리, 국세청은 정부가 수집하는 가장 민감한 재정 데이터인 소득 수치, 세금 식별 번호, 개인의 법적·재정적 신원과 직접 연결된 세부 정보를 보유하고 있다. 이 데이터는 비밀번호처럼 만료되지 않는다. 신원 도용, 허위 세금 신고, 또는 수년 동안 표적 피싱에 악용될 수 있기 때문에, 프랑스 당국은 통지와 차단을 긴급 우선순위로 삼고 있다.

이번 사건은 또한 정부 기관이 대규모 공공 기관에서 사용되는 타사 소프트웨어를 어떻게 검증하고 모니터링하는지에 대한 의문도 제기한다. Windchill이나 FlexPLM과 같은 공유 플랫폼이 일반적인 공격 경로가 되면, 그 여파는 한 기관에만 국한되지 않는다. 동일한 인프라에 의존하는 공공 및 민간 모든 조직으로 파급된다.

이것이 당신에게 의미하는 바

프랑스 납세자라면, DGFIP의 공식 통지를 주의 깊게 확인해 귀하의 정보가 유출 데이터에 포함되었는지 확인하라. 세무 당국을 사칭하며 개인 정보나 결제를 요구하는 원치 않는 이메일이나 전화에 대해 회의적인 태도를 유지하라. 침해 통지는 사기꾼이 후속 피싱 캠페인을 벌이는 데 자주 악용되기 때문이다.

더 넓게 보면, 이번 사건은 소프트웨어 패치와 마찬가지로 자격 증명 보안이 중요하다는 점을 상기시킨다. 제공되는 곳에서는 어디서나 다중 요소 인증을 활성화하고, 정부 및 금융 포털에서 비밀번호를 재사용하지 말며, 특히 침해가 확인된 후 몇 달 동안 신용 및 세금 신고에서 이상 활동이 있는지 모니터링하라.

핵심 요점

  • DGFIP 침해에서 약 678,000명의 세금 및 재정 데이터가 유출되었으며, 클롭 랜섬웨어 조직과 연계됐다.
  • 공격자는 새로운 익스플로잇이 아닌 탈취된 사용자 자격 증명을 사용해 접근한 것으로 알려졌다.
  • 이번 침해는 공유 엔터프라이즈 소프트웨어를 통해 수십 개 조직에 영향을 미치는 더 큰 캠페인의 일부일 수 있다.
  • 피해 개인은 공식 통지를 주의 깊게 확인하고 침해를 언급하는 피싱 시도에 경계를 유지해야 한다.

클롭 및 유사 조직이 업계 전반에서 공유 소프트웨어와 탈취된 자격 증명을 계속 표적으로 삼고 있는 가운데, 프랑스 국세청 침해와 같은 확인된 사건에 대한 정보를 유지하는 것은 개인 및 재정 정보가 오용되기 전에 보호하는 가장 간단한 방법 중 하나로 남아 있다.