덴마크 중앙주민등록부(CPR, Det Centrale Personregister)가 심각한 보안 사고를 확인했다고 밝혔다. CPR 시스템에서 정보를 조회할 수 있는 한 덴마크 기업의 합법적 접근 권한이 악용되면서, 권한 없는 제3자가 등록된 약 880만 명의 이름, 주소, CPR 번호 등 개인정보에 접근한 것으로 드러났다. CPR 번호는 덴마크에서 세금·의료·금융·행정 전반에 쓰이는 핵심 식별자로, 한국의 주민등록번호에 해당하는 정보다.
이번 사고에서 주목해야 할 점은 시스템 자체가 기술적으로 '해킹'당했다기보다, 정당하게 부여된 조회 권한이 오남용됐다는 데 있다. 많은 공공·금융 시스템은 외부 기업이나 협력사에 데이터 조회 권한을 위임하는 구조로 운영된다. 신원 확인, 주소 검증, 본인 인증 같은 업무를 위해 기업이 중앙 등록부를 조회할 수 있도록 허용하는 방식이다. 문제는 이렇게 부여된 권한이 설계된 목적 범위를 넘어 대량 조회로 전용될 때, 외부 침입 탐지 체계로는 이를 '정상 트래픽'과 구분하기 어렵다는 점이다.
합법적 권한이 가장 취약한 지점이 되는 이유
방화벽과 인증 체계를 아무리 강화해도, 애초에 인증을 통과한 정당한 계정이 악용되면 전통적인 경계 방어는 무력해진다. 이번 사고는 공급망과 위임 권한 관리의 전형적인 약점을 보여준다. 권한을 받은 기업 내부에서 자격 증명이 탈취됐는지, 내부자가 개입했는지, 혹은 권한 범위 설정 자체가 느슨했는지는 CPR이 전문가·당국과 함께 경위를 조사 중이라 아직 공개되지 않았다. 다만 분명한 것은, 접근의 '적법성' 여부가 아니라 접근 '패턴'을 감시하지 못했다는 공통된 교훈이다.
정상적인 신원 확인 업무라면 한 기업이 짧은 기간에 수백만 건을 순차 조회할 이유가 없다. 이런 비정상적 조회 볼륨과 패턴을 실시간으로 포착하는 이상행위 탐지, 조회 건수 상한(rate limiting), 목적 외 대량 조회 차단 같은 통제가 작동했다면 피해 규모를 크게 줄일 수 있었을 가능성이 있다. 권한을 '부여할 때'의 심사에만 집중하고 '사용될 때'의 행태 감시를 소홀히 하는 구조는 한국의 공공 데이터 연계 시스템이나 마이데이터·오픈뱅킹 환경에서도 동일하게 발견되는 취약점이다.
피해 범위와 남은 의문
CPR의 점검 결과, 이름·주소 보호(navne- og adressebeskyttelse)를 신청해 둔 사람들의 이름과 주소는 이번 무단 접근에 포함되지 않은 것으로 확인됐다. 보호 신청이 일정한 방어선 역할을 했다는 의미이지만, CPR 번호 자체는 이런 보호 대상과 무관하게 노출됐을 가능성이 있어 안심하기는 이르다. 영구적으로 바뀌지 않는 식별번호가 대량으로 유출될 경우, 사칭·명의도용·표적 피싱에 장기간 악용될 수 있기 때문이다. 유출 규모 880만 명은 덴마크 전체 인구(약 600만 명)를 웃도는 수치로, 현재 거주자뿐 아니라 과거 등록 이력을 포함한 광범위한 범위가 영향을 받았음을 시사한다.
CPR 행정당국은 해당 기업의 접근 권한을 즉시 차단하고, 전문가 및 관계 당국과 함께 사고 경위를 추적하고 있다. 또한 정보보호감독기관(Datatilsynet)에 신고했으며, 사건은 경찰이 관련 기관과 공조해 수사 중이다. 추가 정보는 연구·교육·디지털화부 홈페이지를 통해 공개되고 있다. 현재까지 공식 발표에는 악용 주체의 정체, 침해 경로, 데이터의 외부 유통 여부 등 핵심 사실이 담겨 있지 않아, 실제 2차 피해 규모를 가늠하기에는 정보가 제한적이다.
국내 실무자 입장에서 이번 사례가 던지는 메시지는 분명하다. 외부에 데이터 조회 권한을 위임하는 모든 연계 시스템은 '누가 접근할 수 있는가'만큼이나 '어떻게 사용되고 있는가'를 상시 감시해야 한다는 점이다. 권한의 최소화, 조회 목적과 건수에 대한 로깅과 감사, 비정상 패턴에 대한 자동 차단, 그리고 위임받은 협력사의 자격 증명 관리까지 포함한 종단 간 통제 없이는, 적법하게 열어 둔 문이 가장 큰 구멍이 될 수 있다.