프랑스 세무당국 해킹, 16세 '카스케트' ZeroBytes 혐의

프랑스 세무당국(DGFiP) 해킹 사건 수사에서 두 번째 용의자가 정식 수사 대상(mise en examen)이 됐습니다. 온라인에서 '카스케트(Casquette)'로 불리는 16세 소년으로, 공격 당시에는 15세였습니다. 소년은 사법 감독 아래 놓였습니다.

소년은 국가가 운영하는 개인정보 처리 시스템에서 조직적으로 데이터를 부정하게 빼낸 혐의를 받습니다. 해커 집단 ZeroBytes의 일원으로 지목됐으며, 이 집단은 스스로를 2인조라고 소개합니다. 이들은 올여름 최소 67만 8,000명의 납세자 데이터를 훔쳤다고 주장했습니다.

변호인 "매우 취약한 수사"

소년의 변호인 레다 길라시 변호사는 혐의를 강하게 부인했습니다. 의뢰인은 무죄로 추정된다며, 이번 절차가 "특히 취약해" 며칠 안에 이의를 제기하겠다고 밝혔습니다.

ZeroBytes의 다른 공격

파리 검찰은 ZeroBytes가 구직 지원 기관 France Travail, 프랑스 핸드볼 연맹, Intermarché, SFR 등도 공격한 것으로 보고 있습니다. 집단은 크레테유 교육청 공격과 Zéro Logement Vacant 플랫폼 해킹도 자신들의 소행이라고 주장합니다.

이번 사건에서 정식 수사 대상이 된 것은 두 번째입니다. 지난달에는 18세 '샤누아(ChatNoir)'가 수사 대상이 돼 구속됐습니다. 카스케트는 9월 초에도 체포됐다가 풀려난 적이 있으며, 당시 사건은 ZeroBytes의 전신으로 알려진 Epsilon 관련 과거 해킹이었습니다.

침투 방식

해커들은 DGFiP 직원 수십 명의 계정 정보를 이용했으며, 스파이웨어로 탈취됐을 가능성이 큽니다. 프랑스 사이버보안청 ANSSI는 이중 인증 부재 같은 알려진 "약점"이 악용됐다고 밝혔습니다. 개인과 사업자를 합쳐 최소 67만 8,000명의 데이터가 유출됐습니다. 개인정보 감독기관 CNIL도 세무당국에 대한 점검을 예고했습니다.