덴마크서 880만명 정보 털린 이유? "비밀번호가…"

[이데일리 방성훈 기자] 덴마크 정부가 관리하는 약 880만명분의 개인정보가 유출된 사건의 원인이 ‘123456’이라는 허술한 비밀번호였던 것으로 드러났다. 범행에 관여한 것으로 보이는 해커가 현지 일간지에 익명으로 해당 사실을 알리면서다.

덴마크 코펜하겐의 의회 건물인 크리스티안스보르궁 첨탑에 덴마크 국기가 휘날리고 있다.(사진=AFP)

13일 니혼게이자이(닛케이)신문에 따르면 해커는 덴마크 일간 폴리티켄에 874만9957명분의 개인 식별번호와 개인정보를 증거로 넘기며 범행 수법을 털어놨다.

해커는 덴마크의 한 소규모 정보기술(IT) 업체로부터 중앙개인등록부(CPR) 접속 정보를 확보했다. 비밀번호는 ‘123456’이었고 2단계 인증 같은 보안 장치도 전혀 없어 손쉽게 접속할 수 있었다는 설명이다. 해킹에 악용된 IT 업체도 덴마크 TV2방송에 피해 사실을 인정했다.

폴리티켄으로부터 데이터를 넘겨받아 검증한 사이버보안 전문가 에밀 헤어닝은 “증거는 충분하다”며 “데이터가 당국으로부터 입수한 정보와 매우 잘 맞아떨어진다”고 말했다.

해커의 신원은 확인되지 않았다. 해커는 정보를 팔거나 공개할 생각은 없다고 밝혔다.

앞서 덴마크 정부는 지난 5일 관리 중인 약 880만명분의 개인정보가 유출됐다고 발표했다. 개인별 CPR 번호와 이름, 주소 등이 빠져나갔다. 이는 CPR에 등록된 약 1100만명의 80%에 해당한다. 등록부에는 이미 숨졌거나 해외로 이주한 사람도 포함돼 있어, 유출 규모가 덴마크 인구(약 600만명)를 웃돈다.

CPR은 덴마크 디지털 국가 인프라의 근간이 되는 데이터베이스다. CPR 번호는 우리나라의 주민등록번호처럼 정부기관과 은행, 의료기관에서 개인을 식별하는 데 폭넓게 쓰이며 세금과 의료, 연금, 부동산, 선거 정보 등과 연결돼 있다.

메테 프레데릭센 덴마크 총리는 “있어서는 안 될 일”이라고 말했다. 이번 사건은 덴마크 역대 최대 규모 수준의 유출로 꼽힌다. 정부는 국민들에게 사칭 등 사기 피해에 주의해 달라고 당부했다.

정부는 아직 유출 원인에 대한 공식 입장을 내놓지 않았다. 사이버 범죄 등을 다루는 덴마크 국가특별범죄수사국(NSK)은 폴리티켄에 “이 문제를 매우 심각하게 받아들이고 있으며 최우선 과제로 삼고 있다”고 밝혔다.