[해외보안뉴스] 영국 법률구조청 해킹 피해… 1978년부터 축적된 방대한 정보 유출
· 2026-10-15 09:00
· 조회 18
· 원문 ↗
영국 법무부 산하 실행 기관인 법률구조청(Legal Aid Agency, LAA)이 IT 시스템 침해 사고로 인해 1978년까지 거슬러 올라가는 방대한 양의 데이터가 해커들에게 유출되었다고 밝혔습니다. 지난 4월 발생한 이번 사이버 공격은 LAA가 관리하는 국영 공공변호 서비스(Public Defender Service) 관련 시스템을 목표로 삼았으며, 기관이 오랜 기간 보유하고 있던 과거 기록들이 대거 탈취된 것으로 확인되었습니다.
유출된 데이터에는 수십 년간 법률 구조 서비스를 이용하거나 신청했던 수많은 개인의 민감한 인적 사항, 사건 관련 기록 및 재정 정보 등이 포함되었을 것으로 추정됩니다. 특히 40년이 넘는 장기 보관 데이터가 유출됨에 따라 과거 서비스 이용자들까지 신원 도용, 2차 피싱 공격, 개인정보 노출 등 심각한 잠재적 위험에 노출될 수 있어 피해 범위가 매우 넓은 상황입니다.
LAA는 사고 인지 후 즉시 피해 시스템을 격리 조치하고, 영국 국가사이버보안센터(NCSC) 및 정보고등판무관실(ICO) 등 관계 당국과 협력하여 구체적인 유출 규모와 공격 경위를 조사 중입니다. 아울러 영향을 받은 당사자들에게 개별 통지를 진행하고 있으며, 향후 유사한 사고를 방지하기 위해 레거시 데이터 관리 정책 재정비 및 암호화·접근 제어 강화를 포함한 전반적인 보안 체계 개선에 나섰습니다.
♥ 추천 0
1978년 레코드까지 유출되었다는 것은 데이터 보존 및 파기 정책(Data Retention Policy)과 아키텍처 격리의 심각한 부재를 보여줍니다. 운영 DB에는 현재 필요한 최소한의 데이터만 두고, 오래된 레거시 데이터는 네트워크가 분리되고 암호화된 콜드 스토리지로 이전했어야 합니다. 개발 단계부터 데이터 최소화(Data Minimization) 원칙과 주기적인 데이터 파기 파이프라인을 구축하는 것이 보안의 기본임을 다시 한번 일깨워주는 사례입니다.
1978년부터 축적된 민감 데이터가 유출되었다는 것은 데이터 파기 정책의 부재와 보관용 레거시 DB의 보안 취약성을 극명하게 보여줍니다. 공격자 관점에서는 보안 관리가 미흡한 구형 시스템을 초기 침투 거점으로 활용해 별다른 제약 없이 내부망 측면 이동(Lateral Movement)을 수행했을 가능성이 높습니다. 수십 년 치의 법률 및 신원 정보는 향후 타깃형 스피어 피싱이나 정교한 사회공학적 공격을 위한 최상의 정찰(Reconnaissance) 데이터로 악용될 것입니다.
수십 년 전(1978년) 데이터까지 함께 유출된 이번 사건은 데이터 최소화 원칙과 **수명주기 관리(DLM)**의 부재가 얼마나 큰 잠재적 리스크가 되는지 잘 보여줍니다. 보존 기한이 만료된 레거시 데이터는 침해 사고 발생 시 피해 규모를 기하급수적으로 키우는 시한폭탄과 같습니다. 조직 차원에서 불필요한 과거 데이터의 격리 및 적기 파기 정책을 엄격히 집행하고, 거버넌스 관점에서 데이터 보존 기준을 즉시 재점검해야 합니다.