2인 규모의 소기업에 쥐여진 전국 주민등록 열쇠
2026년 9월 10일부터 한 해커가 “123456”이라는 단순한 비밀번호 하나로 덴마크 중앙 인구 데이터베이스에 침입했다. 이후 21일 17시간 동안 공격자는 시스템에서 약 880만 건의 주민 기록을 무단으로 긁어모았다. 덴마크의 총인구가 약 600만 명 수준임을 감안하면, 이번 유출은 현재 거주 중인 거의 모든 시민뿐만 아니라 해외 이주자와 이미 사망한 인물까지 망라했다.
사건이 알려지자 개인정보 도용을 우려한 100만 명에 가까운 덴마크 시민들이 신용평가기관에 신용 경보를 앞다투어 신청했다. 대중의 시선은 순식간에 “123456”이라는 황당한 비밀번호에 쏠렸고, 관계자들의 어처구니없는 실수를 조롱하는 반응이 잇따랐다. 그러나 이러한 비난 속에서 정작 훨씬 본질적인 문제가 가려졌다. 해당 계정 자체가 애초에 전국 주민 기록을 무제한으로 열람할 수 있는 권한을 가져서는 안 되었다는 사실이다.
해커의 침투 거점으로 악용된 곳은 오덴세에 위치한 민간 소프트웨어 개발사 Pays ApS였다. 덴마크 중앙 기업 등록부(CVR) 데이터에 따르면 2026년 7월 기준 이 회사의 등록 직원은 단 2명에 불과했다. 이처럼 작은 영세 기업이 덴마크 중앙 인구 등록 시스템(Det Centrale Personregister, 이하 CPR)에 직접 연결되는 조회 권한을 합법적으로 보유하고 있었다.
덴마크는 1968년 모든 거주자에게 평생 유일한 식별 번호를 부여하기 위해 CPR 시스템을 구축했다. 현지 제도상 민간 기업이나 업계 협회라도 고객 주소 확인 등 정당한 업무상 필요성을 입증하면 당국에 조회 권한을 신청할 수 있다. 이러한 제도적 설계는 공공 데이터베이스를 민간 시장에 개방하면서도, 정작 안전망은 외부 소규모 하청 업체의 보안 자율성에만 의존하는 구조를 낳았다.
그림: 덴마크 중앙 인구 등록 시스템 데이터가 비정상적으로 유출되어 생존 시민과 사망자 모두에게 영향을 미쳤다. 출처: SecurityWeek
21일 동안 이어진 대량 데이터 추출에도 무반응이었던 인터페이스
덴마크 일간지 폴리티켄(Politiken)이 확인한 유출 자격 증명에 따르면, 해당 회사의 내부 계정 중 최소 3개가 비밀번호로 “123456”을 사용하고 있었으며, 그중에는 최고 권한을 가진 관리자 계정도 포함되어 있었다. 오르후스 대학교 전기·컴퓨터공학과 옌스 뮈룹 페데르센(Jens Myrup Pedersen) 교수는 이에 대해 문을 활짝 열어둔 것과 다름없다고 지적했다. 널리 공개된 단순 비밀번호 사전만 대입해도 누구나 수초 만에 침입할 수 있는 수준이었으며, 전문 보안 관점에서 이보다 더 열악한 환경을 떠올리기 어렵고 침해는 시간문제였다고 꼬집었다.
침투 과정에는 고도화된 제로데이 취약점 공격이 전혀 필요하지 않았다. 해커는 과거 제3자 데이터 유출 사건을 통해 퇴사자의 로그인 정보를 먼저 확보한 뒤, 이를 발판 삼아 보안이 허술한 관리자 계정을 찾아냈다. 백엔드 시스템에 접속한 공격자는 두 개의 자동화 스크립트를 작성해 체계적으로 데이터를 대량 다운로드한 후 해외 서버로 전송했다.
데이터 추출 작업은 21일 17시간 동안 중단 없이 이어졌지만, 그동안 어떠한 보안 방어 체계도 작동하지 않았다. 익명의 해커는 언론을 통해 데이터를 단순 저장 목적으로 확보했을 뿐 판매하거나 유포할 계획은 없다고 밝혔다. 국가 차원의 민감한 개인정보를 보관하는 핵심 인터페이스였음에도 불구하고, 3주 동안 이어진 고빈도 대량 호출에 대해 이상 트래픽 경보도, 호출 횟수 제한(Rate Limiting) 차단도 전혀 이뤄지지 않았다.
이러한 침묵은 시스템의 행위 기반 감사 기능이 완전히 마비되어 있었음을 드러냈다. 호출 빈도 제한과 이상 징후 감지 체계가 결여된 API는 모든 보안을 계정 정보의 비밀 유지에만 도박하듯 걸게 된다. 일단 정상적인 인증 정보가 외부로 새어 나가면, 백엔드는 일상적인 조회와 악의적인 대규모 탈취를 구분할 능력을 완전히 상실한다.
취약한 비밀번호보다 더 치명적인 특권의 무분별한 남용
대중의 여론은 우스꽝스러운 비밀번호를 탓하며 이번 사태를 단순한 보안 의식 부재로 치부하기 쉽다. 관리자가 16자리의 강력한 비밀번호를 설정했다면 이번 공격은 막아냈을지도 모른다. 그러나 강력한 비밀번호는 대입 공격의 진입 장벽을 높여줄 뿐이며, 계정이 행사할 수 있는 권한에 한계가 설정되어 있지 않다면 위험은 시스템 깊숙한 곳에 고스란히 남는다.
Pays ApS가 당초 CPR 데이터베이스에 접근을 허가받은 목적은 고객과 회원의 주소 변경 여부를 확인하는 단순 업무였다. 그러나 실제 배정된 인터페이스 권한에서 시스템은 이 소규모 소프트웨어 업체에 거의 전체 데이터베이스를 넘나드는 검색 기능을 열어주었다. 두 명으로 구성된 소규모 팀이 수백만 시민의 민감한 사생활 정보를 조회할 수 있도록 방치한 권한 설계는 최소 권한의 원칙을 정면으로 위배한 처사였다.
CPR 번호는 덴마크 사회에서 절대적인 기반을 차지한다. 병원 진료, 은행 계좌 개설, 임대차 계약 체결, 시청 민원 행정 등 모든 공공 및 민간 서비스를 연결하는 유일한 열쇠다. 바로 이러한 범용성 때문에 100만 명에 이르는 시민들이 유출 데이터의 암시장 유통을 두려워하며 서둘러 신용 동결을 신청했던 것이다.
그림: 덴마크 sundhedskort 건강보험 카드 실물. 카드 앞면 상단에 평생 고유 식별 번호인 CPR 번호가 인쇄되어 있다. 출처: Wikimedia Commons
다중 인증(MFA) 도입이 번번이 지연된 현실적 이유
사고를 유발한 최고 관리자 계정은 단순한 취약 비밀번호를 썼을 뿐만 아니라 2차 인증(2FA)조차 활성화하지 않았다. 주류 기술 업계의 시각에서 국가 핵심 데이터 자산과 연결된 관리자 통로에 다중 인증을 적용하지 않은 것은 상상하기 힘든 과실이다. 아이디와 평문 비밀번호만 확보하면 외부 침입자가 아무런 제약 없이 드나들 수 있는 구조였기 때문이다.
이 사실이 밝혀지자 기술 커뮤니티에서는 열띤 토론이 벌어졌다. 수많은 엔지니어는 왜 규제 당국이 CPR 시스템에 접속하는 모든 외부 기관에 다중 인증을 강제하지 않았는지 의문을 표했다. 반면 공공 행정 현장의 현실적인 어려움을 지적하는 목소리도 나왔다. 덴마크에서도 스마트폰에 익숙하지 않은 고령층이나 취약 계층이 적지 않으며, 일상적인 민원 업무 상당수가 도서관의 공용 컴퓨터를 통해 이뤄진다는 현실이다.
스마트폰 애플리케이션이나 하드웨어 토큰 기반의 인증 방식을 전면 도입할 경우, 현장 사용자 교육 비용과 행정적 마찰이 상당할 수밖에 없다. 이에 따라 많은 실무 부서와 연계 기관들이 직원의 재교육 부담을 핑계로 보안 업그레이드 조치를 지속해서 유예해왔다. 취약 계층을 포용한다는 명분이 실무 현장에서 왜곡되면서, 결과적으로 외부 민간 연동 인터페이스의 보안 기준을 타협하는 빌미가 된 셈이다.
권한 부여 후 사후 검증이 전무했던 보안 통제의 공백
Pays ApS의 이사이자 소유주인 소피 라우르센(Sophie Laursen)은 덴마크 방송사 TV 2와의 인터뷰에서 자사가 사이버 공격을 받았으며 회사가 정당하게 보유했던 CPR 조회 권한이 해커에 의해 남용되었음을 인정했다. 그녀는 사건 발생 사실을 확인하면서도 악용된 권한 자체가 회사가 합법적으로 승인받은 조회 자격이었음을 강조했다. 실제로 이번 침해 사고가 발생하기 전 보안 감사에서 이미 개선 권고안이 전달되었으나, 실제 운영 현장에는 제대로 반영되지 않은 상태였다.
접근 권한 관리는 신청, 심사, 실시간 모니터링, 회수까지 이어지는 완전한 생애주기로 다뤄져야 한다. 국가 기관이 민간 기업에 고권한 인터페이스를 발급한 뒤 주기적인 권한 재검토를 생략한다면, 해당 권한은 영구적인 백도어로 변질된다. 퇴사자의 인증 정보가 여전히 유효하게 남아 있고, 감사받지 않은 관리자 권한이 단순한 비밀번호 아래 장기간 방치되는 등, 권한을 넘겨준 순간부터 전체 통제 사슬이 끊어져 버린 것이다.
이번 사고의 교훈을 단순히 “비밀번호를 123456으로 설정하지 말라”는 수준으로 축소한다면 구조적인 제도 결함을 놓치게 된다. 국가 인구 데이터베이스의 안전을 외주 소기업의 자율적인 보안 의식에만 맡겨두고 인터페이스 호출에 대한 통제를 방치한다면, 비밀번호를 아무리 복잡하게 바꾼다 한들 침해 시점을 잠시 늦추는 데 그칠 뿐이다. 특권 인터페이스의 접근 경계를 엄격히 제한하고 동적인 권한 재검토 책임을 확립하는 것이야말로 시민의 사생활을 지키는 가장 확실한 방어선이다.
참고 링크:
- The Copenhagen Post 보도
- Politiken 탐사 보도
- TV 2 뉴스 보도
- SecurityWeek 보도
- HN 토론 (item?id=50031269)
