루마니아 국가 토지대장이 통째로 지워진 날: 디지털 국가의 단일 장애점

한 나라의 토지 소유권 기록 전체가 사라질 수 있다는 것은 특정 기관의 관리 실패인가, 종이 대장을 버린 디지털 국가가 안고 있는 구조적 단일 장애점인가.

도입 — 소유권을 증명할 수 없게 된 나라

2026 년 7 월 14 일, 루마니아 국가 지적·부동산공시청 (ANCPI, Agenția Națională de Cadastru și Publicitate Imobiliară) 의 전산망에서 데이터가 지워지기 시작했다. 공격자는 탈취한 유효 자격 증명으로 내부에 들어와 시스템을 훑은 뒤, 금전 요구가 거절되자 프로덕션 환경 전체를 삭제했다. 표적은 e-Terra — 루마니아 전국의 지적도와 부동산 등기 기록을 담은 단일 플랫폼이었다. 공식 애플리케이션, 웹사이트, 이메일 서버가 동시에 멈췄다. 공증인은 거래를 등기할 수 없었고, 시민은 자기 땅의 소유권을 증명할 서류를 뗄 수 없었다. 한 나라의 부동산 시장 전체가 하루아침에 정지했다.

이 사건이 Hacker News 첫 페이지에 오른 2026 년 7 월 20 일 (KST), 게시물은 554 점과 312 개의 댓글을 모았다. 댓글 다수는 하나의 질문으로 수렴했다. 국가의 토지대장 전체가 어떻게 삭제 가능한 상태로 방치될 수 있었는가. 백업은 없었는가. 그러나 이 질문을 ANCPI 라는 한 기관의 무능으로만 돌리면 사건의 절반만 보게 된다. 종이 대장을 완전히 버리고 단일 디지털 시스템에 소유권 증명을 통째로 위임한 국가라면, 그 시스템은 정의상 단일 장애점 (single point of failure) 이 된다. 이 글은 먼저 무슨 일이 일어났는지 사실을 확정하고, 전자정부의 단일 장애점·백업/재해복구·기록의 진본성이라는 세 축으로 그 구조를 해부한 뒤, 종이를 버린 국가가 다시 배워야 할 회복탄력성의 실무적 함의를 정리한다.

현상 — e-Terra 가 멈춘 일주일

사실관계부터 확정한다. 침입 경로는 정교한 제로데이가 아니었다. 공격자는 유효한 자격 증명 (valid credentials) 으로 로그인했다. 보안 프레임워크의 용어로는 MITRE ATT&CK 의 T1078 (Valid Accounts) 에 해당하는, 정상 계정을 도용한 진입이다. 이후 계정과 시스템을 정찰하며 내부 구조를 지도화했고 (T1087·T1082 계열), 직원 자격 증명과 내부 문서, 그리고 e-Terra 의 소스 코드로 알려진 자료를 탈취했다. 7 월 15 일에는 이 데이터가 해킹 포럼에 판매 매물로 올라왔다. 금전 요구가 관철되지 않자, 공격자는 프로덕션 시스템과 백업을 파괴했다. 이 파괴 단계가 각각 T1485 (Data Destruction) 와 T1490 (Inhibit System Recovery) 다. 암호화 후 몸값을 요구하는 통상적 랜섬웨어가 아니라, 협박 실패 뒤에 그냥 지워 버린 와이퍼 (wiper) 성격의 공격이었다.

공격자의 정체도 상당 부분 밝혀졌다. 자칭 ByteToBreach 라는 행위자로, 이스라엘 보안 기업 Kela 는 이 페르소나를 알제리 오랑 (Oran) 을 거점으로 활동하는 자카리아 마흐드주브 (Zakaria Mahdjoub) 로 지목했다. 정부·은행·항공사 데이터를 훔쳐 파는 초기 접근 브로커 (initial access broker) 로 알려진 인물이다. 루마니아 국가사이버보안국 (DNSC) 의 단 침페안 (Dan Cimpean) 국장은 이 공격을 “금전적 동기”에 의한 것이며 “그다지 복잡한 공격이 아니었다”고 규정했다. 알려진 소프트웨어 취약점과 유출된 자격 증명을 이용한, 국가 배후 세력이 아닌 재정형 범죄라는 진단이다. 다시 말해, 최첨단 사이버전이 국가 기록을 무너뜨린 것이 아니라, 흔한 자격 증명 탈취가 그 일을 해냈다.

피해의 폭이 사건의 무게를 결정한다. e-Terra 는 루마니아 부동산 거래의 사실상 유일한 관문이다. 공증인·변호사·지적 전문가·ANCPI 직원이 모두 이 플랫폼 위에서 일한다. 시스템이 내려가자 신규 부동산 거래 등록, 진행 중이던 신청 처리, 주택 매매와 저당권 설정에 필수인 등기부 등본 (land registry extract) 발급이 모두 불가능해졌다. 종이 백업 체계가 사실상 부재한, 완전히 디지털화된 시스템이었기 때문이다. 하필 시점도 나빴다. 신축 주택에 대한 부가가치세가 9% 에서 21% 로 인상되기 몇 주 전이었고, 인상 전에 거래를 마치려던 매수자들의 계획이 시스템 마비로 줄줄이 밀렸다. 소유권 증명이라는 국가 기능의 정지가 곧바로 시장의 정지로 번진 것이다.

여기서 사건의 결정적 반전이 등장한다. 공격자는 백업까지 지웠다고 주장했다. 그러나 ANCPI 는 그가 닿지 못한 오프라인 사본을 보유하고 있었다. 기관의 공식 발표에 따르면 ANCPI 는 “백업 사본을 저장하기 위한 여러 지정 장소를 두고 있었으며, 이는 이중화와 사이버 보안 사고 시 데이터 복원 가능성을 보장하는 조치”였다. 오프라인 사본이 없었다면 이 사건은 국가 토지 소유권 기록의 영구적 소실이라는, 근대 이후 유례를 찾기 어려운 파국으로 기록됐을 것이다. 실제로 ANCPI 는 이를 “기관 역사상 가장 심각한 기술적 사고”라 부르면서도, 소유 관계·지적 경계·저당권을 담은 핵심 지적 데이터베이스 자체는 훼손되지 않았다고 밝혔다. “전체가 지워졌다”는 초기 보도와 “핵심 DB 는 지켜졌다”는 기관 발표 사이에는 아직 간극이 있고, 정확한 복원 범위는 검증이 진행 중임을 명시해 둔다. 복구 방침은 강경하다. ANCPI 는 네트워크를 처음부터 다시 구축하고 (rebuild from scratch), 애플리케이션을 루마니아 정부 클라우드로 이관하며, 식별된 모든 취약점을 제거한 뒤에야 서비스를 단계적으로 되살리겠다고 밝혔다.

심층 — 단일 장애점, 오프라인 백업, 그리고 기록의 진본성

이 사건은 세 겹의 구조적 문제를 동시에 드러낸다. 첫째는 전자정부의 단일 장애점이다. 종이 대장 시대의 토지 기록은 물리적으로 분산돼 있었다. 지역 등기소마다 원장이 있었고, 화재나 홍수로 한 곳이 소실돼도 나라 전체의 소유권이 한꺼번에 증발하지는 않았다. 분산은 비효율의 대가였지만 동시에 회복탄력성의 원천이었다. 디지털화는 이 구조를 뒤집는다. 전국의 기록을 단일 플랫폼 e-Terra 로 통합하면 검색·발급·거래가 극적으로 빨라진다. 그러나 그 통합이 곧 집중이다. 하나의 인증 경계 뒤에 나라 전체의 소유권 증명이 놓이는 순간, 그 경계를 뚫은 단 하나의 자격 증명이 나라 전체의 기능을 정지시킬 수 있다. 이것이 트레이드오프의 핵심이다. 효율을 위한 중앙집중과 재난 대비를 위한 분산은 서로를 갉아먹는다. 이번 사건은 그 균형추가 효율 쪽으로 극단까지 밀렸을 때 무슨 일이 벌어지는지 보여 준 실물 사례다.

둘째는 백업과 재해복구의 정의 문제다. HN 스레드가 가장 격렬하게 파고든 지점이 여기다. 한 참여자는 공격자가 닿을 수 있는 백업은 애초에 백업이 아니며, 오프라인 사본이 있었으니 다행이지만 이런 중요도의 시스템이라면 그런 사본을 정규 일정으로 유지했어야 한다는 취지로 지적한다. 다른 참여자는 오프라인이 아닌 백업은 백업이라 부를 수 없다고, 실수나 부주의, 이해 부족만으로도 너무 쉽게 파괴되기 때문이라는 취지로 지적한다. 이 두 지적은 백업의 본질을 정확히 겨눈다. 백업의 가치는 사본의 존재 자체가 아니라 공격자의 도달 범위 밖에 있느냐에 달려 있다. 프로덕션과 같은 인증 도메인, 같은 네트워크에 온라인으로 붙어 있는 사본은, 프로덕션을 지운 그 계정으로 함께 지워진다. 그래서 재해복구 설계의 정석은 3-2-1 원칙 (사본 3 벌, 매체 2 종, 원격지 1 벌) 위에 오프라인·불변 (immutable)·에어갭 (air-gap) 을 더하는 것이다. ANCPI 를 파국에서 구한 것은 바로 이 마지막 한 겹, 공격자가 닿지 못한 오프라인 사본이었다. 역설적이게도 이 사건은 백업 실패의 사례가 아니라 백업이 아슬아슬하게 성공한 사례다. 다만 그 성공이 설계된 다중 방어의 결과였는지, 운 좋게 한 벌이 남은 것이었는지는 결과의 무게가 전혀 다르다.

셋째, 가장 근본적인 층위는 기록의 진본성 (authenticity) 이다. 토지대장은 단순한 데이터가 아니라 국가가 보증하는 진실이다. “이 땅은 이 사람의 것”이라는 법적 사실이 오직 그 데이터베이스에만 존재할 때, 데이터베이스의 무결성은 곧 재산권의 무결성이 된다. 여기서 복원의 어려운 문제가 드러난다. 오프라인 백업으로 되살린 기록이 삭제 직전의 마지막 상태와 정확히 일치한다고 어떻게 보증하는가. 백업 시점과 삭제 시점 사이에 접수된 거래는 어떻게 되는가. 공격자가 삭제만 한 것이 아니라 조용히 몇몇 레코드를 변조했다면, 그 위조를 어떻게 탐지하는가. 소스 코드까지 유출된 상황에서 시스템의 신뢰 기반은 어디까지 남아 있는가. HN 의 한 참여자는 이런 상황에서 완전한 복구는 불가능하지만, 작은 마을이라면 최소한 누구나 자기 이웃이 누구인지는 안다는 취지로, 과거 홍수로 기록이 소실된 지역의 복구 경험을 언급한다. 그러나 이는 곧 진본성이 데이터 밖의 사회적 사실 — 점유, 기억, 증언 — 로 보완되어야 함을 뜻하고, 국가 단위에서는 그 보완이 성립하지 않는다. 디지털 기록이 유일한 진실의 원천일 때, 그 원천이 오염되면 진실을 재구성할 외부 앵커가 사라진다. 이것이 종이 대장을 버린 대가의 가장 깊은 층위다.

전망 — 종이를 버린 국가가 다시 배워야 할 회복탄력성

실무적 시사점은 세 방향으로 정리된다. 첫째, 재해복구는 사본의 수가 아니라 도달 범위로 설계해야 한다. 이번 사건에서 프로덕션과 온라인 백업은 같은 계정 권한 아래 함께 무너졌고, 나라를 구한 것은 그 권한 밖의 오프라인 한 벌이었다. 따라서 국가 기간 시스템의 백업은 최소한 한 벌 이상을 프로덕션과 다른 인증 도메인·다른 네트워크에 두고, 쓰기 후 변경 불가 (WORM) 나 불변 스토리지로 보관하며, 복원 리허설을 정규 일정으로 돌려야 한다. 복원해 본 적 없는 백업은 존재 여부가 불확실한 백업과 같다. HN 의 한 참여자는 인프라 전체를 코드로 정의하고 오프라인 백업을 갖추면 복구 시간을 시간 단위로 줄일 수 있다는 취지로 지적한다. 이는 곧 데이터뿐 아니라 시스템 자체의 재현 가능성 — Infrastructure as Code — 이 재해복구의 일부라는 관점이다. 네트워크를 처음부터 다시 구축하는 데 일주일 넘게 걸린 ANCPI 의 상황은 이 관점의 부재를 방증한다.

둘째, 접근 통제의 무게중심을 경계 방어에서 계정·권한 관리로 옮겨야 한다. 이번 침입은 방화벽을 뚫은 것이 아니라 정문 열쇠로 들어왔다. 유효 자격 증명 앞에서 경계 방어는 무력하다. 그래서 필요한 것은 특권 계정에 대한 다중 인증 (MFA) 의무화, 최소 권한 원칙, 계정 활동 로그의 상시 감사, 대량 삭제 같은 이상 행위에 대한 탐지와 자동 차단이다. 특히 단일 계정이 프로덕션과 백업을 동시에 파괴할 수 있었다는 사실은 권한 분리의 실패를 가리킨다. 백업을 지울 수 있는 권한과 프로덕션을 운영하는 권한은 애초에 분리되어야 하며, 백업 삭제는 별도 승인과 물리적 격리를 요구하도록 설계되어야 한다. 침페안 국장의 “복잡하지 않은 공격”이라는 평가는 역설적으로 가장 뼈아픈 대목이다. 정교한 국가 배후 공격이 아니라 흔한 자격 증명 탈취에 국가 기록이 무너졌다면, 방어의 기본기가 부족했다는 뜻이기 때문이다.

셋째, 그리고 가장 논쟁적인 지점은 진본성의 앵커를 데이터 밖에도 두어야 하는가다. 완전 디지털화가 진본성의 유일 원천을 단일 DB 로 만든다면, 그 위험을 완화하는 길은 두 방향이다. 하나는 기록의 무결성을 암호학적으로 보증하는 것이다. 거래마다 서명과 타임스탬프를 남기고, 변경 이력을 추가만 가능한 (append-only) 원장으로 보관하면, 삭제나 변조가 흔적을 남긴다. 다른 하나는 물리적·법적 이중화의 부분적 복원이다. 완전한 종이 회귀는 디지털화의 이점을 버리는 퇴행이지만, 소유권 이전 같은 결정적 사건에 한해 공증 원본이나 분산된 등기 기록을 병행 보관하는 것은 회복탄력성의 마지막 그물이 된다. 다만 여기에도 트레이드오프가 있다. 진본성 보증을 강화할수록 시스템은 복잡해지고 느려지며, 디지털화가 약속한 즉시성과 효율은 일부 반납된다. HN 의 재산권 논쟁이 이 균형을 잘 보여 준다. 한 참여자는 소유권을 증명하지 못한다고 해서 하룻밤 새 남이 내 땅을 훔쳐 가지는 않는다는 취지로 위험을 낮게 봤고, 다른 참여자는 무단 점유와 경계 분쟁, 임대료 미납은 늘 일어나며 소유를 증명할 수 없는 자산은 아무도 사려 하지 않으므로 순자산이 묶여 버린다는 취지로 반박한다. 소유권 기록의 신뢰는 평시에는 보이지 않지만, 무너지는 순간 시장 전체를 얼린다. 이번 루마니아 부동산 시장의 정지가 그 반박을 실물로 증명했다.

이 사건은 루마니아만의 예외가 아니다. 지난 3 년간 폴란드, 슬로바키아, 그리스, 모로코, 러시아, 우크라이나의 토지대장이 유사한 공격을 받았다. 토지 기록은 공격자에게 매력적인 표적이다. 국가 전체가 의존하는 단일 시스템이면서, 그 마비가 즉각적이고 광범위한 압력을 만들어 협상력을 극대화하기 때문이다. 디지털 전자정부를 밀어붙이는 모든 나라가 같은 표적 구조를 갖게 된다는 뜻이다.

결론 — 관리 실패이면서 동시에 구조적 취약점이다

도입에서 던진 질문으로 돌아간다. 한 나라의 토지 소유권 기록 전체가 사라질 수 있다는 것은 특정 기관의 관리 실패인가, 종이 대장을 버린 디지털 국가의 구조적 단일 장애점인가. 답은 양자택일이 아니다. 두 층위가 겹쳐 있다. 유효 자격 증명 하나로 프로덕션과 백업이 함께 무너진 것은 MFA·권한 분리·오프라인 백업이라는 기본기가 빠진 ANCPI 의 관리 실패다. 그러나 그 실패가 나라 전체의 재산권 정지로 곧장 번진 것은, 소유권 증명을 단일 디지털 시스템에 통째로 위임한 구조적 선택의 결과다. 관리를 완벽히 했더라도 단일 장애점이라는 구조 자체는 남는다. 반대로 구조를 분산했더라도 기본기가 없으면 무너진다.

그래서 이 사건의 교훈은 “디지털화가 위험하다”는 반동적 결론이 아니라, 디지털화가 옮겨 놓은 위험의 무게중심을 직시하라는 것이다. 종이 시대의 회복탄력성은 물리적 분산이라는 비효율에서 공짜로 나왔다. 디지털 시대의 회복탄력성은 공짜가 아니다. 오프라인·불변 백업, 권한 분리, 암호학적 진본성 보증을 의식적으로 설계하고 비용을 치러야 얻어진다. 효율을 위해 종이를 버린 국가는, 종이가 우연히 제공하던 그 회복탄력성을 이제 돈과 설계로 다시 사들여야 한다. ANCPI 를 파국에서 구한 오프라인 사본 한 벌은, 그 청구서가 이미 도착했음을 알리는 첫 번째 신호다.

출처: