'123456' password was all a hacker reportedly needed to expose over 8 million people's personal data
비밀번호 '123456'으로 덴마크 CPR 데이터 880만 명분 노출
덴마크 개인식별번호 등록부(CPR) 침해 사건에서 공격자가 민간 기업 계정의 비밀번호 '123456'을 이용했다고 주장했습니다. 이름과 주소, ID 번호 등 880만 명의 정보가 노출됐으며, 과도한 조회량을 보여준 청구서가 발견된 뒤에야 사건을 파악했습니다.
- 주제
에디터 노트
이번 사건에서 직접 드러난 문제는 약한 비밀번호와 함께 접근 권한이 연결된 계정의 관리입니다. 기사에 따르면 공격자는 Pays ApS 계정을 사용했고 같은 비밀번호를 쓴 계정 중에는 관리자 계정도 있었습니다. 반면 Reddit 댓글은 CPR 사이트 자체가 인증을 요구하지 않았으며 기업은 사전 승인됐다고 지적합니다. 이 설명은 비밀번호 하나로 외부의 공개 사이트를 뚫었다는 식의 요약과 접근 경로가 다름을 보여줍니다. 댓글에서 언급한 벌금액과 규정 위반 여부는 확인된 결과가 아니라 이용자 의견입니다. 조회량을 12일 뒤 청구서로 감지한 경위는 접근 제어와 별개로 탐지 체계도 사건 대응의 쟁점임을 드러냅니다.
AI 요약
덴마크 중앙 개인등록부(CPR)에서 생존자와 사망자를 포함한 880만 명의 이름, 주소, ID 번호가 노출됐습니다. CPR 관리기관은 9월에 발생한 침해를 이달 초 알렸으며, 공격자는 CPR에 접근 권한이 있던 민간 기업의 계정을 이용했다고 확인됐습니다.
계정 접근과 탐지 경위
공격 책임을 주장한 인물은 비밀번호가 '123456'인 계정으로 CPR에 들어갔다고 밝혔습니다. 덴마크 신문 Politiken 보도에 따르면 Pays ApS는 같은 비밀번호를 쓰는 계정을 세 개 보유했고, 그중 하나는 관리자 계정이었습니다. Pays ApS는 기업 고객 정보를 확인하는 등의 업무를 위해 CPR 접근 권한을 받았습니다.
공격자는 9월 10일 Pays ApS 계정에 접근한 뒤 9월 20일까지 CPR을 자동으로 1,400만 회 조회했다고 주장했습니다. 당국은 10월 2일 통상 수준보다 높게 청구된 조회 비용을 직원이 발견한 뒤에야 침해를 파악했습니다. 공격자는 가져간 데이터를 유출하거나 판매할 의도가 없다고 주장했습니다.
Reddit 반응
- @u/DemocracyFan22 — 틀렸습니다. 사이트는 인증을 전혀 요구하지 않았습니다.
- @u/kjireland — 사이트 자체는 인증을 요구하지 않았지만 접근하는 기업들은 사전 승인을 받았습니다.
- @u/Nut_Butter_Fun — 시스템이 그런 비밀번호를 허용하고 무차별 대입 공격도 허용해야 합니다. 문제는 비밀번호 자체가 아니라 이런 결함입니다.
- @u/XYMYX — 123456이 그저 첫 번째로 입력한 비밀번호면 어떡하죠?
- @u/jomb — 복잡한 비밀번호를 강제하지 않고 다른 인증 방식도 제공하지 않는 앱이 아직 있다는 게 놀랍습니다.
- @u/69Turd69Ferguson69 — GDPR 관련 쟁점도 있나요?
- @u/kjireland — 네, NIS2도 있습니다. 형편없는 보안 때문에 회사가 3천만 유로의 벌금을 받을 수 있습니다. 정부 기관도 조회량이 평소보다 많은 청구서가 나오고 12일이나 지난 뒤에야 알아챘으니 책임을 피하기 어려워 보입니다.
- @u/kaishinoske1 — 기업 시스템이 대문자, 소문자, 숫자를 포함한 30자 넘는 비밀번호를 요구한다고 불평하는 사람들이 있습니다. 그런 제한이 없으면 이렇게 어리석은 비밀번호를 고르는 사람들이 있기 때문입니다.
- @u/Humulus5883 — 비밀번호는 시대에 뒤떨어졌습니다. 접근 방식을 개선해야 합니다. 관련 시도가 진행 중인 것 같기는 합니다.
원문: PC Gamer / 번역·요약: Trawling