취약한 관리자 비밀번호가 약 880만 개의 국가 식별번호와 관련된 정보를 노출시킨 덴마크 대규모 데이터 유출 사고와 연관되어 있다. 보도에 따르면, 퓌넨 섬에 위치한 IT 기업 Pays의 최소 세 개 계정이 "123456"이라는 비밀번호를 사용했으며, 여기에는 관리자 계정도 포함되어 있었다. 덴마크 CPR 데이터 유출 비밀번호 사건은 개인 데이터에 대한 가장 큰 위험이 종종 가장 단순한 실수에서 비롯된다는 것을 여실히 보여준다. ## Pays에서 무슨 일이 있었나 이번 유출은 덴마크 전역에서 사용되는 국가 식별번호인 CPR 번호와 관련된 데이터를 포함한다. 이 노출은 퓌넨에 본사를 둔 IT 기업 Pays와 그곳의 계정들이 "123456"을 비밀번호로 사용했다는 보도와 연결되어 있다. 그중 하나의 계정은 관리자 권한을 보유하고 있었는데, 이는 일반적으로 표준 사용자 계정보다 광범위한 접근 권한을 의미한다. 여기의 세부 사항은 보도에서 나온 것이며, 해당 비밀번호는 "보도에 따르면" 사용된 것으로 설명된다. 접근이 어떻게 이루어졌는지에 대한 해커의 별도 주장은 이전 기사인 [해커, '123456'으로 덴마크 880만 건 기록 레지스트리 열었다고 주장](/en/hacker-claims-123456-opened-denmark-s-8-8m-record-registry)에서 다루고 있다. 해당 주장에 대한 전체 논쟁을 원하는 독자는 그 기사부터 시작하는 것이 좋다. 주목할 점은 취약점이 어디에 있었는지이다. 데이터가 노출된 것은 개인들이 자신의 계정에서 비밀번호를 재사용했기 때문이 아니다. 이는 제3자 IT 제공업체와 연결된 것으로, 시민들은 자신의 신원 데이터를 보호하는 보안 관행을 통제하거나 파악할 수 없었다. ## 왜 "123456"은 여전히 문을 열어주는가 "123456"과 같은 비밀번호를 일회성 망신으로 치부하기 쉽다. 그러나 실제로는 조직과 사람들의 행동 방식 때문에 계속 존재한다. 기본 자격 증명이 배포 중에 설정되고 절대 변경되지 않는다. 공유 또는 서비스 계정이 급하게 생성된다. 비밀번호 규칙이 시행되지 않거나, 일반 직원에게만 시행되고 관리자에게는 시행되지 않는다. 공격자들은 이것을 알고 있다. 가장 흔한 비밀번호를 추측하는 것은 이용 가능한 가장 저렴한 기법 중 하나이며, 이는 공격자가 하나가 작동할 때까지 체계적으로 조합을 시도하는 [무차별 대입 공격](/en/glossary/brute-force)과 밀접한 관련이 있다. "123456"처럼 예측 가능한 비밀번호라면 공격자는 많은 컴퓨팅 파워조차 필요로 하지 않는다. 흔한 비밀번호의 짧은 목록만으로도 충분할 수 있다. 관리자 계정은 판돈을 높인다. 침해된 관리자 로그인은 데이터, 설정 및 다른 계정에 대한 접근을 허용할 수 있으므로, 그곳의 취약한 자격 증명은 훨씬 큰 결과를 초래할 수 있다. 조직이 적용할 수 있는 기본 통제는 다음과 같다: - 생성 시 흔하거나 이전에 유출된 비밀번호 차단 - 다중 인증 요구, 특히 관리자 계정에 대해 - 로그인 시도 제한 및 비정상적 접근에 대한 경고 - 사용하지 않거나 공유된 계정 검토 및 제거 ## CPR 번호 노출이 신원 도용에 의미하는 것 CPR 번호는 비밀번호와 같지 않다. 쉽게 재설정할 수 없으며, 대부분의 사람들에게 평생 동일하게 유지된다. 그래서 880만 개에 달하는 번호와 관련된 데이터의 노출이 그토록 중대한 것이다. 유출 후에 그 식별자를 단순히 교체할 수 없기 때문이다. 국가 ID 번호 자체만으로는 은행 계좌의 열쇠가 아니다. 위험은 조합에 있다. 공격자가 식별 세부 정보를 다른 정보와 결합하면, 사칭, 실제 세부 정보를 사용하기에 설득력 있게 들리는 피싱, 또는 계정 복구 질문에 답하려는 시도를 할 수 있다. 사기꾼들은 종종 자신이 누구인지 아는 것처럼 보이는 메시지에 의존한다. 실질적인 대응은 공포가 아니라 경계심이다. 비밀번호나 기밀 정보를 요구하는 예상치 못한 전화, 이메일 또는 문자를 의심하라, 발신자가 개인 정보를 알고 있는 것처럼 보이더라도. 합법적인 조직은 일반적으로 이런 방식으로 자격 증명을 넘겨달라고 요청하지 않는다. ## 자신의 계정을 보호하는 방법 공급업체의 비밀번호 정책을 고칠 수는 없지만, 자신의 계정이 다음 취약 고리가 되지 않도록 할 수는 있다. 다음 단계부터 시작하라: 1. **모든 계정에 고유한 비밀번호를 사용하라.** 한 서비스가 침해되면, 재사용은 공격자가 다른 곳에서 같은 로그인을 시도할 수 있게 한다. 2. **비밀번호 관리자를 도입하라.** 길고 무작위적인 비밀번호를 생성하고 저장해 주므로 기억할 필요가 없다. 3. **2단계 인증을 켜라.** 비밀번호가 추측되거나 유출되더라도, 두 번째 요소가 로그인을 막을 수 있다. 4. **"123456" 스타일의 비밀번호를 확인하라.** 단순하거나 짧거나 패턴에 기반한 비밀번호는 모두 교체하라, 이메일, 은행 및 업무 계정부터 시작해서. 5. **요청하지 않은 요청은 의심하라.** 이미 신뢰하는 공식 채널을 통해 조직에 연락하여 확인하라. ## 이것이 당신에게 의미하는 것 덴마크에 거주한다면, 주요 요점은 개인 정보를 사용해 신뢰할 만하게 보이려는 피싱 및 사칭 시도에 주의하는 것이다. CPR 번호는 변경하기 어렵기 때문에, 일회성 해결보다 지속적인 주의가 더 중요하다. 다른 곳에 있더라도 교훈은 여전히 적용된다. 당신의 데이터는 그것을 보유한 모든 회사에서 가장 취약한 계정만큼만 안전하다. 조직, 특히 다른 사람들을 위해 민감한 기록을 처리하는 IT 제공업체에게 메시지는 더욱 간단하다. 강력한 비밀번호를 시행하고, 관리자 계정에 다중 인증을 요구하며, 자격 증명을 정기적으로 감사하라. ## 핵심 요점 덴마크 CPR 데이터 유출 비밀번호 사건은 제3자 제공업체의 사소한 자격 증명 하나가 국가 전체의 신원 데이터를 위험에 빠뜨릴 수 있음을 보여준다. 오늘 몇 분을 내어 자신의 로그인을 점검하라. 각 비밀번호를 고유하게 만들고, 비밀번호 관리자를 사용하며, 2단계 인증을 활성화하라. 더 많은 맥락을 원한다면, [레지스트리에 대한 해커의 주장](/en/hacker-claims-123456-opened-denmark-s-8-8m-record-registry)에 대한 우리의 보도와 [무차별 대입 공격](/en/glossary/brute-force)에 대한 용어집 항목을 읽어보라.