[해외보안뉴스] 덴마크 코펜하겐 대학교 테스트 환경 해킹… 52만 5천 명 개인정보 유출
· 2026-10-26 23:00
· 조회 4
· 원문 ↗
덴마크의 명문 코펜하겐 대학교(University of Copenhagen)가 해킹 공격을 받아 약 52만 5,000명에 달하는 개인정보가 유출되는 보안 사고가 발생했습니다. 대학교 측의 공식 발표에 따르면, 해커들은 실제 운영 시스템이 아닌 데이터 보호 조치가 미흡했던 대학교 내부 테스트 환경에 무단 접근하여 보관되어 있던 다량의 개인 데이터를 탈취했습니다.
이번 사고로 유출된 데이터에는 과거 및 현재의 재학생, 교직원뿐만 아니라 연구 프로젝트 참여자들의 정보가 포함된 것으로 확인되었습니다. 노출된 항목에는 이름, 주소, 연락처와 같은 기본 정보는 물론, 덴마크의 고유 개인식별번호인 CPR 번호 등 민감한 데이터가 포함되었습니다. 실제 운용 시스템이 아닌 테스트 환경에 식별 가능한 민감 데이터가 제대로 격리되거나 비식별화되지 않은 채 남아있었던 점이 피해를 키운 주요 원인으로 분석됩니다.
코펜하겐 대학교는 침입 사실을 인지한 직후 해당 테스트 시스템의 접근을 차단하고 관련 보안 취약점을 보완했습니다. 또한 덴마크 데이터 보호청(Datatilsynet)과 경찰 등 관련 기관에 사건을 즉시 신고하였으며, 피해가 우려되는 대상자들에게 개별 통지를 진행하고 있습니다. 학교 측은 영향받은 인원들에게 2차 피해를 예방하기 위해 2단계 인증(2FA)을 강화하고 명의 도용이나 스미싱·피싱 공격에 주의할 것을 당부했습니다.
이번 사건은 개발 및 테스트 환경에 대한 보안 관리의 중요성을 다시 한번 보여줍니다. 많은 조직이 운영 환경에는 강력한 보안을 적용하지만, 테스트 환경은 무심코 방치하는 경우가 많습니다. 데이터 유출 사고를 방지하기 위해 기업과 기관은 테스트 환경에 실제 데이터 사용을 금지하고 가상 데이터를 활용해야 하며, 불필요해진 테스트 시스템은 즉시 폐기하고 지속적인 보안 점검을 수행해야 합니다.
테스트 환경에 실제 운영 데이터를 비식별화(Data Masking) 없이 그대로 복사해 사용한 전형적인 아키텍처 관리 미흡 사례입니다.
CI/CD 파이프라인 구축 시 테스트 DB에는 반드시 가상 데이터(Synthetic Data)를 생성해 주입하거나 자동화된 마스킹 로직을 거치도록 강제해야 합니다.
아무리 운영 서버의 보안망이 견고해도, 접근 제어가 비교적 느슨한 테스트 환경에 실제 개인정보가 남아있다면 시스템 전체의 가장 약한 고리가 될 수밖에 없습니다.
테스트 및 개발 환경은 실운영 환경에 비해 접근 제어나 모니터링이 느슨해 공격자들에게 매우 유용한 초기 침투 경로(Initial Access)로 활용됩니다. 특히 이번 사건처럼 마스킹되지 않은 실제 개인정보를 테스트 서버에 방치하면, 공격자는 운영 망을 직접 타격하지 않고도 최소한의 공수로 고가치의 데이터를 손쉽게 탈취할 수 있습니다. 개발 단계를 포함한 전사적 네트워크 격리와 데이터 난독화 정책이 부재할 때 발생하는 전형적인 악용 사례입니다.
개발 및 테스트 환경은 보안 통제가 소홀해지기 쉬운 대표적인 사각지대이며, 이번 사건은 비운영 시스템의 관리 미흡이 얼마나 치명적인 결과로 이어지는지 잘 보여줍니다.
테스트 목적이라 할지라도 실제 개인정보(PII)의 사용은 엄격히 제한해야 하며, 불가피한 경우 반드시 가명화·익명화 조치와 함께 운영 환경 수준의 접근 제어가 적용되어야 합니다.
우리 조직 또한 개발 및 테스트 시스템 내 정제되지 않은 데이터의 존재 여부와 접근 권한을 즉시 전수 점검하여 유사한 리스크를 선제적으로 차단하겠습니다.