덴마크 중앙인적등록부 침해로 약 880만 명의 개인정보가 위험에 처했다고 덴마크 당국의 확인을 근거로 한 보도가 전했다. 이 사건은 전형적인 침입으로 시작되지 않았다. 보도에 따르면 신원이 확인되지 않은 인물들이 덴마크의 한 민간 기업이 등록부를 검색할 수 있는 정당한 접근 권한을 악용해, 인가된 경로를 침입 수단으로 전환했다.

이 세부 사항은 머리글의 숫자보다 더 중요하다. 이는 국가 데이터베이스가 핵심부에서는 잘 보호되면서도, 조회를 신뢰받는 조직을 통해 여전히 노출될 수 있음을 보여준다.

중앙인적등록부에 어떻게 접근했는가

보도 출처에 따르면, 이 침해는 신원이 확인되지 않은 인물들이 한 민간 기업의 중앙인적등록부(CPR) 검색에 대한 정당한 접근 권한을 오용한 후에 발생했다. 다른 보도에서는 해당 기업을 익명의 국내 기업으로 묘사한다. 이 글을 쓰는 시점에서, 우리가 검토한 자료에서는 해당 기업과 오용 배후 인물들의 신원이 공개되지 않았다.

핵심은 그 접근이 인가된 것이었다는 점이다. 등록부에 대한 승인된 접근 권한을 보유한 기업들은 정상적인 업무의 일환으로 검색을 실행할 수 있다. 외부인이 그 접근 권한을 손에 넣으면, 자격 증명 탈취, 시스템 침해, 또는 다른 경로를 통해서든, 그 조회는 일상적인 활동처럼 보일 수 있다. 보도 출처는 어떤 방법이 사용되었는지 밝히지 않았으므로, 우리는 추측하지 않을 것이다. 그것이 말하는 바는 등록부 자체에서 발표된 결함이 아니라, 등록부 자체의 접근 권한이 사용되었다는 것이다.

우리는 이 사건의 공급업체 접근 측면을 앞서 다룬 바 있다. 우리의 덴마크 국가 등록부 침해에 대한 이전 보도는 인가된 민간 당사자가 악용되는 동일한 패턴을 설명했다. 초기 보도는 때때로 수치를 반올림하거나 규모를 느슨하게 묘사하므로, 영향을 받은 사람 수로 우리는 최신 보도의 880만 명이라는 수치를 사용한다.

어떤 데이터가 노출되었고 누가 영향을 받는가

이 사건에 대한 보도에 따르면, 노출된 정보에는 이름, 주소, 생년월일, 혼인 상태가 포함된다. 우리가 이용할 수 있는 자료에서는 전체 필드 목록이 제시되지 않았으므로, 독자들은 이를 완전한 목록이 아니라 최소한의 것으로 받아들여야 한다.

규모가 또 다른 머리글이다: 약 880만 명. CPR은 전 인구를 대상으로 하는 등록부이므로, 이런 종류의 침해는 한 서비스의 고객에 국한되지 않는다. 그 안에 기록된 누구든, 접근 권한이 오용된 기업과 거래한 적이 있든 없든, 영향을 받을 수 있다. 우리가 검토한 보도에서 당국은 개인이 자신의 상태를 확인할 수 있는 방법을 공개하지 않았으므로, 독자들은 안내를 위해 덴마크 공식 채널을 주시해야 한다.

이런 종류의 데이터는 유출된 비밀번호나 카드 번호보다 극적이지는 않지만, 오래간다. 비밀번호는 1분 만에 바꿀 수 있다. 생년월일은 바꿀 수 없다.

중앙화된 국가 신분 데이터베이스가 공격자를 끄는 이유

중앙 인구 등록부는 권위적이기 때문에 가치가 있다. 많은 조직이 누군가가 누구이며 어디에 사는지 확인하기 위해 그것에 의존한다. 그로 인해 실제 사람들에 대한 설득력 있는 프로필을 만들려는 누구에게나 풍부한 원천이 된다.

세 가지 요인이 이런 시스템을 끊임없는 표적으로 만든다:

  • 광범위성. 하나의 데이터베이스가 거의 모든 사람을 포괄하므로, 단 한 번의 성공적인 침해로 국가 규모의 데이터를 얻는다.
  • 긴 유효 기간. 이름, 생년월일, 주소는 세션 토큰이나 임시 비밀번호와 달리 수년간 유효하다.
  • 다수의 인가된 사용자. 등록부를 조회하도록 허용된 기업과 기관이 많을수록, 자격 증명이나 시스템이 침해될 수 있는 지점이 더 많아진다.

세 번째 요인이 이 사건의 교훈이다. 등록부는 가장 덜 보호받는 인가 당사자만큼만 안전할 수 있다. 연결된 기업이 더 약한 방어를 갖고 있다면 중앙의 강력한 통제는 별로 도움이 되지 않으며, 그 기업의 접근 권한을 물려받은 공격자는 그 신뢰를 물려받는다.

이것은 또한 통상적인 소비자 조언이 여기서 한계를 갖는 이유를 설명한다. 데이터는 당신의 기기나 네트워크에서 가져간 것이 아니다. 그것은 정부 등록부에 있었고 제3자를 통해 접근되었다.

이것이 당신에게 의미하는 바

당신이 덴마크에 살거나 CPR에 기록되어 있다면, 당신의 기본 신원 세부 정보가 유통되고 있을 수 있다고 가정하라. 그것이 피해가 확실하다는 뜻은 아니지만, 당신의 이름, 주소, 생년월일을 아는 범죄자들이 더 그럴듯하게 들릴 수 있으므로 표적 사기의 가능성을 높인다.

VPN은 이것을 바꾸지 않는다. VPN은 당신의 연결을 암호화하고 방문하는 사이트로부터 당신의 IP 주소를 숨긴다. 그것은 이미 정부 등록부에 보관된 정보를 보호할 수 없고 제3자 기업의 시스템에까지 손을 뻗을 수 없다. 독자들은 이런 침해 후에 그렇지 않다고 암시하는 어떤 마케팅도 경계해야 한다.

실용적인 조치는 피해를 줄일 뿐이더라도 여전히 도움이 된다:

  • 예상치 못한 연락을 의심하라. 당신의 이름, 주소, 생년월일을 인용하는 메시지, 전화, 편지는 정당성의 증거가 아니다. 직접 찾아본 공식 번호나 웹사이트를 통해 확인하라.
  • 피싱을 주시하라. 은행, 공공 기관, 배송 서비스에서 온 것처럼 보이는 더 설득력 있는 메시지를 예상하라.
  • 계정을 모니터링하라. 은행 및 신용 활동을 정기적으로 검토하고 낯선 것이 있으면 즉시 신고하라.
  • 신용 보호를 고려하라. 덴마크 제공업체나 당국을 통해 신용 동결 또는 경보 옵션을 이용할 수 있다면, 그것은 누군가가 당신의 이름으로 계좌를 개설하는 것을 더 어렵게 만들 수 있다.
  • 공식 업데이트를 따르라. 소셜 미디어 요약보다는 이 침해에 특화된 안내를 위해 덴마크 당국의 커뮤니케이션에 의존하라.

핵심 요점

덴마크 중앙인적등록부 침해는 국가 데이터베이스가 자체 시스템만이 아니라 파트너를 통해 노출된다는 것을 상기시킨다. 개인에게 현실적인 대응은 경계심이다: 요청하지 않은 연락을 의심하고, 재정을 모니터링하며, 이용 가능한 신용 보호를 사용하라. 이런 조치는 실용적이지만 제한적이며, 이미 빼낸 데이터의 노출을 되돌릴 수는 없다.

이 사건 배후의 공급업체 접근 세부 사항은 덴마크 국가 등록부 침해에 대한 이전 보고서를 참조하고, 당국이 더 많은 정보를 공개하면 다시 확인하라.