무슨 일이 있었나
2026년 10월 5일, 덴마크 정부는 국가 역사상 최대 규모의 데이터 유출 중 하나를 공개했습니다. 권한 없는 자들이 **중앙인물등록부(CPR)**에 등록된 약 880만 명의 이름, 주소, CPR 번호(덴마크 개인식별번호)를 확보했습니다. 이 수치에는 생존자, 사망자, 국외 이주자가 포함되며, 등록부 전체는 약 1,100만 건입니다.
핵심은 고전적 의미에서 시스템을 해킹한 사람은 없다는 점입니다. 공격자들은 CPR 조회 권한이 있는 덴마크 소기업의 합법적 접근 권한을 악용했습니다.
수법
- 덴마크 법(CPR법 제38조)에 따르면 정당한 이익이 있는 기업은 이미 개별적으로 식별한 사람의 데이터를 조회할 수 있습니다. 식별에는 CPR 번호 하나면 충분합니다.
- 9월 약 10일 동안 그 기업 계정은 CPR 번호를 대량으로 시험하며 1,400만 건 이상의 조회를 시도했습니다. 약 880만 건이 기록을 반환했습니다.
- 개별 조회는 모두 권한 범위 안이었습니다. 문제는 양이었습니다. 하루 100만 건 이상으로, 어떤 사업상 필요도 훨씬 넘어섰습니다.
- 이름·주소 보호를 신청한 사람은 해당 정보가 노출되지 않았습니다.
발견 경위: 청구서
기업은 조회마다 요금을 냅니다. 6일 기자회견에서 당국은 10월 2일(금) 저녁 CPR 당국이 그 기업에 청구하려다 막대한 금액을 보고 이상을 알아챘다고 밝혔습니다. 즉 보안 모니터링은 악용을 잡지 못했고, 잡은 것은 청구 부서였습니다.
대응
- 기업의 접근은 차단됐으며 기업명은 공개되지 않았습니다.
- Datatilsynet(데이터보호청)에 신고됐고 경찰이 해외 당국과 함께 수사 중입니다. 6일 기준 신원이 확인되거나 기소된 사람은 없습니다.
- 크리스티나 에겔룬 장관은 CPR의 전면적 보안 점검을 지시했습니다. 새 CPR 번호 발급 여부는 아직 판단하기 이르다고 했습니다.
- 의료 등 국가 디지털 로그인 MitID를 쓰는 시스템은 영향을 받지 않았습니다.
- 민방위청은 CPR 번호가 더 이상 그것만으로 신원 확인에 쓰일 수 없다고 밝혔습니다. 공공기관은 전화 상담에 추가 확인 질문을 도입했습니다.
지금의 위험
이름, 주소, 식별번호를 손에 쥔 사기범은 전화와 이메일에서 매우 그럴듯하게 들릴 수 있습니다. 정부는 상대가 이름, 주소, CPR 번호를 알고 있더라도 비밀번호나 기밀 정보를 절대 알려주지 말라고 경고했습니다.
모든 기업을 위한 교훈
- 합법적 접근도 공격 표면입니다. 파트너 계정과 유료 API에는 사용량 한도와 알림이 필요합니다.
- 침입뿐 아니라 사용 이상을 감시하세요. 하루 100만 건 조회는 첫날 경보가 울려야 합니다.
- 공개될 수 있는 식별자를 신원 증명으로 쓰지 마세요. 번호는 비밀번호가 아닙니다. 주민등록번호도 마찬가지입니다.
- 제3자 데이터 접근 계약을 검토하세요: 목적, 예상 사용량, 감사.
출처
- 덴마크 연구·교육·디지털화부(2026.10.5): https://fudm.dk/aktuelt/pressemeddelelser/2026/oktober/omfattende-uautoriseret-adgang-til-borgeres-cpr-oplysninger/
- The Hacker News: https://thehackernews.com/2026/10/denmark-says-attackers-accessed-cpr.html
- The Next Web: https://thenextweb.com/news/denmark-cpr-breach-8-8-million-records
- CSIS Security Group: https://www.csis.com/csis-tech-blog/the-hub/cpr-breach-denmark
파트너와 API가 회사 데이터에 어떻게 접근하는지 점검하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com