덴마크 고등교육·과학·디지털부와 CPR 관리청이 10월 5일(현지시간) 중앙인구등록부(CPR)에 등록된 약 880만 명의 이름·주소·CPR 번호가 무단으로 조회됐다고 발표했다.
공격자는 등록부 시스템을 뚫지 않았다. 한 덴마크 민간 기업에 법적으로 주어진 CPR 검색 권한을 악용해, 허용된 범위의 정보를 대량으로 긁어 갔다. "정상 권한으로 일어난 대량 조회"를 어떻게 막느냐는, API를 외부에 열어 둔 모든 서비스가 같이 받아 든 숙제다.
- CPR 관리청이 10월 2일 금요일 저녁 비정상 활동을 인지했고, 주말 동안 규모를 파악해 10월 5일 공개했다. 노출 규모는 약 880만 명분이다.
- 해킹이 아니라 민간 기업의 합법적 조회 권한이 악용됐다. 9월 중 열흘 동안 1,400만 건이 넘는 조회 시도가 있었고, 이상 징후는 조회 건당 과금되는 청구서 금액에서 드러났다고 보도됐다.
- 당국은 CPR 번호만으로 본인을 확인하는 관행을 멈추라고 권고했다. 국가 전자인증 MitID를 쓰는 시스템은 영향을 받지 않았다.
PART 01무슨 일이 있었나
CPR은 덴마크의 주민등록 체계다. 10자리 CPR 번호는 세금·의료·은행 업무에 두루 쓰이는 개인 식별자로, 한국의 주민등록번호와 역할이 거의 같다. CPR 관리청은 10월 5일 공지에서 "심각한 보안 사고"가 확인됐다고 밝히며, 한 덴마크 기업이 가진 합법적 CPR 조회 권한이 악용돼 권한 밖의 접근이 이뤄졌다고 설명했다.
Help Net Security가 정리한 경과를 보면, 비정상 활동은 9월에 일어났고 관리청은 10월 2일 금요일 저녁에 이를 처음 알아챘다. 3~4일 주말 동안 무단 접근의 범위를 파악했고, 4일 일요일에 덴마크 데이터보호청(Datatilsynet)에 신고했다. 공식 발표는 5일 월요일이었다. 문제의 기업은 조회 권한이 끊겼고, 경찰이 다른 관계 기관과 함께 수사 중이다. 당국은 현 단계에서 누가 배후인지 말할 수 없다고 밝혔다.
노출된 정보는 이름·주소·CPR 번호 등이다. 이름·주소 보호를 신청해 둔 사람들의 이름과 주소는 이번 무단 접근에 포함되지 않았다는 것이 부처의 검토 결과다.
데이터보호청은 별도 사건으로 무슨 일이 있었는지, 어떻게 가능했는지, 해당 개인정보 처리의 책임이 누구에게 있는지를 들여다보겠다고 밝혔다. 책임 소재가 등록부를 운영하는 정부 쪽인지, 권한을 받은 기업 쪽인지가 앞으로의 쟁점이 될 가능성이 크다. 권한을 내준 쪽이 사용 범위를 감시할 의무가 있었는지, 권한을 받은 쪽이 계정 관리를 소홀히 했는지에 따라 이야기가 완전히 달라지기 때문이다.
PART 02숫자로 본 사고
덴마크 인구는 약 600만 명인데 노출 규모가 880만 명인 이유는 CPR에 사망자와 해외로 이주한 시민의 기록까지 남아 있기 때문이다. Help Net Security는 등록부 전체가 약 1,100만 건이라고 전했으니, 전체의 80% 안팎이 한 번에 빠져나간 셈이다.
발각 경위도 눈에 띈다. The Next Web 보도에 따르면 기업은 CPR 조회 건마다 비용을 내는데, 금요일 저녁 청구된 "아주, 아주 큰 금액"이 9월의 비정상적 대량 조회를 드러냈다. 같은 보도는 이 기업이 CPR법 38조에 따라 미리 개별 특정한 사람들에 한해 조회할 수 있는 권한을 가진 소규모 업체였고, 국가특별범죄수사국이 토요일 저녁 회사에서 증거를 확보했다고 전했다. 회사 이름은 공개되지 않았다.
PART 03왜 "해킹이 아닌 유출"이 더 무서운가
이번 사고는 방화벽을 넘거나 취약점을 쓴 침입이 아니다. 당국 발표대로라면 공격자는 민간 기업이 조회할 수 있도록 허용된 정보 범위 안에서 움직였다. 시스템 입장에서는 인증을 통과한 정상 고객이 조회를 많이 한 것뿐이다. 권한이 "누구를" 조회할 수 있는지를 미리 특정하도록 설계돼 있었는데도, 실제 호출이 그 범위를 지키는지는 실시간으로 검사되지 않았다는 이야기가 된다.
크리스티나 에겔룬(Christina Egelund) 장관은 "매우 심각한 사고"라고 규정하고 의회 상임위원회에 보고했으며, CPR 시스템에 대한 철저한 보안 점검을 지시했다. 새 CPR 번호를 일괄 재발급할지에 대해서는 아직 말하기 이르다는 입장이다. 사회안전청 쪽 관계자는 CPR 번호만으로는 무언가를 승인하거나 구매하거나 민감한 정보를 받을 수 없다며, 기업과 기관이 CPR 번호 하나를 신원 증명으로 받아 주는 관행을 멈춰야 한다고 했다. 의료처럼 MitID 로그인을 쓰는 시스템은 영향이 없었다.
PART 04API를 외부에 열어 둔 서비스가 점검할 것
공공 등록부만의 문제가 아니다. 파트너사에 조회 API를 열어 준 SaaS, 고객사 단위로 키를 발급하는 B2B 서비스라면 구조가 똑같다. 키가 유효하고 요청 형식이 맞으면 통과시키는 구조에서는, 키를 가진 쪽이 나쁜 마음을 먹거나 키를 도둑맞는 순간 "정상 트래픽처럼 보이는 유출"이 생긴다. 이번에는 다행히 과금 청구서가 경보 역할을 했지만, 무료 API였다면 훨씬 늦게 발견됐을 것이다.
자주 묻는 질문
덴마크 CPR 유출은 해킹 사고인가요?
당국 발표에 따르면 시스템 침투가 아니라 민간 기업에 법적으로 주어진 CPR 조회 권한이 악용된 사고다. 공격자는 기업이 조회할 수 있도록 허용된 정보 범위 안에서 대량 조회를 했다. 누가 권한을 악용했는지는 경찰이 수사 중이다.
어떤 정보가 얼마나 노출됐나요?
약 880만 명의 이름·주소·CPR 번호 등이다. 거주자뿐 아니라 사망자와 해외 이주자 기록까지 포함돼 덴마크 인구(약 600만 명)보다 숫자가 크다. 이름·주소 보호를 신청한 사람의 이름과 주소는 포함되지 않았다.
CPR 번호를 새로 발급하나요?
에겔룬 장관은 새 번호 발급 여부를 판단하기에는 아직 이르다고 밝혔다. 대신 당국은 기업과 기관이 CPR 번호만으로 신원을 확인하는 관행을 멈추라고 권고했다. MitID로 로그인하는 시스템은 영향을 받지 않았다.
어떻게 발견됐나요?
CPR 관리청은 10월 2일 저녁 비정상 활동을 인지했다. The Next Web은 조회 건당 과금되는 구조 때문에 금요일 저녁 청구된 매우 큰 금액이 9월의 대량 조회를 드러냈다고 보도했다. 9월 열흘 동안 1,400만 건이 넘는 조회 시도가 있었다고 한다.
댓글 0