[해외보안뉴스] 덴마크 중앙인구등록부(CPR) 해킹… 민간 기업 계정을 통한 880만 명 개인정보 유출
· 2026-10-06 07:00
· 조회 17
· 원문 ↗
덴마크 디지털화부는 미승인 제3자가 민간 기업의 정당한 조회 권한을 악용하여 덴마크 중앙인구등록부(CPR) 시스템에 무단 접근했다고 발표했습니다. 공격자들은 해당 기업 계정에 부여된 합법적인 검색 권한을 오용하여 인구 데이터베이스 내 유선 데이터에 접근한 것으로 확인되었습니다.
이번 사건으로 인해 생존자와 사망자를 포함한 약 880만 명의 이름, 주소, 개인식별번호(CPR 번호)가 노출되는 대규모 영향이 발생했습니다. 덴마크에서 CPR 번호는 금융 거래, 본인 인증, 공공 서비스 이용 등 사회 전반에서 핵심 식별자로 사용되기 때문에, 유출된 정보를 악용한 명의 도용 및 2차 범죄 발생 우려가 심각한 상황입니다.
덴마크 정부와 관련 당국은 침해 사실을 확인한 후 해당 민간 기업의 CPR 조회 권한을 즉각 차단하고 추가적인 정보 유출을 막기 위한 보안 강화를 실시했습니다. 아울러 당국은 국민들에게 개인식별번호를 타인에게 절대로 공유하지 말 것을 당부하며, 유출 데이터를 악용한 피싱, 스미싱 및 금융 사기 시도에 각별히 주의할 것을 권고했습니다.
♥ 추천 0
합법적인 파트너사 API 계정이 탈취되어 국가 단위 데이터가 유출된 전형적인 B2B 연동 보안 사고입니다. 단순히 계정 인증에만 의존할 것이 아니라, API 게이트웨이 레벨에서 Rate Limiting과 이상 호출 패턴을 감지하는 Anomaly Detection 레이어가 구축되어 있었어야 합니다. 제3자 연동 시에는 '신뢰된 계정'이라도 Zero Trust 관점에서 대량 데이터 조회를 즉시 차단할 수 있도록 데이터 접근제어 및 모니터링 아키텍처를 강화해야 합니다.
정당한 접근 권한을 가진 제3자 기업 계정을 악용한 전형적인 계정 도용 및 오남용 공격 사례입니다. 880만 건에 달하는 대규모 조회가 가능했다는 점은 API 단의 조회 제한(Rate Limiting) 미비와 행위 기반 이상 탐지 메커니즘의 부재를 단적으로 보여줍니다. 이렇게 확보된 고유 식별 번호(CPR)와 민감 정보는 향후 고도화된 타깃형 스피어 피싱 및 2차 신원 도용 공격의 강력한 무기로 악용될 것입니다.
정당한 권한을 가진 협력업체 계정을 통해 대규모 개인정보가 유출된 이번 사건은 제3자 리스크(Third-Party Risk) 관리의 치명적 허점을 보여줍니다.
단순히 계정 권한을 부여하는 데 그치지 않고, 정상 계정의 비정상적인 대량 조회 행위를 실시간으로 탐지·차단하는 이상 행위 모니터링 체계가 거버넌스 차원에서 반드시 결합되어야 합니다.
우리 조직 역시 외부 연계 계정에 대한 최소 권한 원칙(Least Privilege)을 재점검하고, 제로 트러스트 기반의 공급망 보안 정책을 즉각 강화하겠습니다.