덴마크 CPR 정보 유출 때 관리자 계정도 ‘123456’ 비밀번호 사용

Pays의 계정 최소 3개가 ‘123456’을 썼고 그중 하나가 관리자 계정이었다는 Politiken의 보도는, 약 880만 개 CPR 번호와 연결된 정보가 노출된 사건에서 민간 접근 권한의 통제까지 따져야 한다는 점을 드러냅니다.

덴마크 CPR 유출을 다룬 다른 보도는 익명의 해커가 ‘123456’으로 약 880만 건에 접근했다고 주장했다는 점과, 유출 정보가 주민 수보다 많다는 점을 각각 전했습니다. 이번 Politiken 보도는 Pays의 관리자 계정까지 약한 비밀번호를 썼다는 세부를 더합니다. 다만 접근 주장과 유출 규모는 계정별 접속 기록과 조회 내역을 통해 따로 검증해야 합니다.

Pays는 CPR 정보를 조회할 합법적 권한이 공격에 악용됐다고 TV 2에 확인했다고 합니다. 해커는 처음에는 덴마크 소규모 회사 전 직원의 유출 비밀번호로 접근했다고 주장합니다. 따라서 Pays 계정의 ‘123456’ 사용이 곧 실제 침입 경로였다고 단정할 수는 없습니다.

익명의 해커는 소규모 회사의 전 직원에게서 유출된 비밀번호로 처음 접근했다고 주장합니다. 해커는 정보를 판매하거나 공개할 계획이 없다고도 말했다고 전해졌지만, 그 말만으로 정보의 복사 범위나 보관 상태가 확인되지는 않습니다. 피해의 크기는 공격자의 의도가 아니라 어떤 데이터가 실제로 조회되고 저장됐는지로 판단해야 합니다.

공공 등록부를 민간 업체가 정당한 목적으로 조회하는 제도 자체가 위험하다고 단정할 수는 없습니다. 그러나 접근 권한을 내준 쪽과 받은 쪽이 조회 범위를 좁히고 이상 행동을 막았는지는 공개해야 합니다. 보도가 사실이라면 관리자 계정의 ‘123456’ 사용은 비밀번호 규칙뿐 아니라 권한과 감시 체계까지 점검해야 할 이유입니다.

후속 발표를 볼 때 침입 경로와 실제 조회량, 관리자 계정의 권한 범위, 이상 조회를 감시하는 장치가 확인됐는지 살펴보십시오.