대상: 덴마크에 살고 있거나 살았던 사람과 그 가족, 그리고 외부 기업이 API나 조회 화면을 통해 주민 또는 고객 데이터를 조회하도록 허용한 기관. 이 글은 덴마크 정부의 공식 발표를 바탕으로 작성되었으며 공격 기법은 다루지 않습니다.
진행 중: 정부가 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 12일 기준아직 알려지지 않음
- 조회 권한이 악용된 방법 (공식 발표)
- 배후
- 개인이 피해 여부를 확인하는 방법
- CPR 번호 변경 필요 여부
- CPR 보안 점검 결과
정부는 10월 5일 발표에서 수사가 진행되면서 수치와 세부 내용이 바뀔 수 있다고 밝혔습니다. 10월 9일 이후 보도된 비밀번호와 접근 기간은 정부 발표에서 확인되지 않았으므로, 이 글은 이를 언론 보도로 따로 표시합니다.
주민(및 전 거주자)이 오늘 해야 할 일
피해 대상이라고 가정하고 준비하십시오
연구·교육·디지털화부에 따르면, 약 1,100만 명의 등록자 중 약 880만 명이 영향을 받았으며, 해외 이주자와 사망자도 포함됩니다. 10월 6일 기준으로 개인이 직접 확인하는 방법은 발표되지 않았습니다.
과거에 덴마크에서 공부하거나 일했고 CPR 번호를 부여받은 적이 있다면 피해 대상일 수 있습니다. 또한 사망한 가족의 이름을 사용하는 메시지에도 주의하십시오.
MitID 정보나 일회용 코드를 절대 공유하지 마십시오
정부 보안 사이트 sikkerdigital.dk는 MitID 정보, 일회용 코드, 비밀번호, 카드 정보를 절대 공유하지 말라고 안내합니다.
연구·교육·디지털화부 역시 상대방이 이름, 주소, CPR 번호를 알고 있는 것처럼 보여도 전화나 이메일로 비밀번호나 이와 유사한 정보를 주지 말라고 당부합니다. 바로 그 세 가지 정보가 유출되었으므로, 이를 아는 사람이 있다고 해서 신원이 증명된 것은 아닙니다.
문자나 이메일의 링크를 누르지 말고, 공식 사이트에 직접 접속하십시오
sikkerdigital.dk는 예상하지 못한 문자나 이메일에 링크가 있으면 클릭하지 말고, 공식 웹사이트에 직접 접속하거나 발신 기관의 대표 번호로 전화해 확인하라고 조언합니다.
누군가 전화를 걸어오면 끊고, 공식 사이트에서 찾은 번호로 다시 거십시오. 메시지가 재촉할수록 의심해야 합니다 (식별 방법: 피싱이란).
악용이 의심되면 신용경고를 설정하십시오
sikkerdigital.dk에 따르면, CPR 번호가 사기에 사용되고 있다는 구체적인 의심이 있으면 borger.dk에서 신용경고(kreditadvarsel)를 설정할 수 있습니다. 이는 CPR에 기록되는 표시로, 본인 명의의 대출이나 신용 거래를 어렵게 만듭니다.
borger.dk에 따르면 만 15세 이상이어야 합니다. 표시는 CPR에 즉시 등록되지만, 기업 시스템에 반영되기까지 며칠이 걸릴 수 있습니다. 또한 본인도 대출이 어려워지므로, 신용 신청 전에 해제할 수 있습니다. 온라인으로 처리할 수 없다면 지자체의 시민 서비스 창구에서 예약 후 도움을 받을 수 있습니다.
도움이 필요하면 사이버 핫라인에 연락하십시오
덴마크의 디지털 보안 사이버 핫라인 번호는 +45 33 37 00 37입니다. 연구·교육·디지털화부와 sikkerdigital.dk에 따르면, 당분간 오전 8시부터 자정까지 운영됩니다.
여러 서비스에서 비밀번호를 재사용하고 있다면 이번 기회에 분리하십시오 (확인 방법: 비밀번호 유출 여부 확인하기, 관리 방법: 비밀번호 관리자 선택하기).
무슨 일이 있었나 (덴마크 정부 발표 기준)
2026년 10월 5일, 덴마크 연구·교육·디지털화부는 "Omfattende uautoriseret adgang til borgeres CPR-oplysninger"(시민 CPR 정보에 대한 광범위한 무단 접근)라는 제목의 발표문을 게시했습니다. 같은 내용이 CPR 공식 웹사이트에도 게시되어 있습니다. 아래 내용은 모두 연구·교육·디지털화부 발표를 바탕으로 합니다.
2026년 9월 중
CPR 시스템에서 비정상적인 활동이 있었습니다 (발표문의 요약 상자).10월 2일(금) 저녁
CPR 관리 기관이 해당 활동을 인지했습니다.10월 3~4일(주말)
관리 기관은 권한 없는 사람들이 약 880만 명의 이름, 주소, CPR 번호를 얻었다는 사실을 파악했습니다.10월 5일
연구·교육·디지털화부가 사건을 발표했고, sikkerdigital.dk는 주민을 위한 안내를 게시했습니다. 장관은 국회 위원회에 보고했다고 밝혔습니다.10월 6일
sikkerdigital.dk는 시민의 연락을 받는 기업과 기관을 위해 신원 확인을 점검하라는 안내를 게시했습니다.10월 9일(금)
CPR 관리 기관은 조회 권한을 가진 1,039개 기업에 보안 규칙을 강화하는 서한을 보냈습니다(DR 보도). 같은 날 언론은 권한이 악용된 기업에서 비밀번호 "123456"이 사용되었다고 보도했으나, 정부는 확인하지 않았습니다.10월 10일(토)
장관은 두 국회 위원회에 메모를 보냈습니다(DR 보도).
- 대상
- 생존자, 해외 이주자, 사망자를 포함한 약 880만 명의 등록자
- 항목
- 민간 기업이 조회할 수 있도록 허용된 범위 안의 이름, 주소, CPR 번호 등
- 포함되지 않음
- 이름 및 주소 보호(navne- og adressebeskyttelse) 대상자의 이름과 주소
- 방법
- 권한 없는 사람들이 덴마크 민간 기업의 합법적 접근 권한을 악용해 CPR 데이터를 조회했습니다
- 기업명
- 발표문에 공개되지 않음
- 대응
- 기업의 접근이 중단되었고, 덴마크 개인정보보호청에 통보되었으며, 경찰이 관계 기관과 수사 중입니다. 유사 사건 방지 조치가 시작되었고 CPR에 대한 전면적인 보안 점검이 진행 중입니다
- 미확인 사항
- 수사는 초기 단계이며 배후는 알려지지 않았습니다. 연구·교육·디지털화부 스스로도 추가 파악에 따라 세부 내용이 바뀔 수 있다고 경고합니다
- 도움
- sikkerdigital.dk, 사이버 핫라인 +45 33 37 00 37 (당분간 오전 8시–자정)
보도되었으나 부처 발표에는 없는 내용
아래 내용은 언론에서 보도되었지만 10월 5일 연구·교육·디지털화부 발표에는 나오지 않습니다. 이 글은 이를 확인된 사실로 다루지 않으며, 정부가 세부 내용을 발표하면 업데이트하겠습니다.
- 비밀번호 "123456": 통신사 Ritzau가 배포하고 DR이 보도한 덴마크 일간지 Politiken의 취재에 따르면, 권한이 악용된 기업의 계정 최소 3개가 이 비밀번호를 사용했고 그중 하나는 관리자 계정이었습니다.
- 접근 가능 기간: 공영방송 DR에 따르면 조회 권한은 21일 17시간 동안 유지되었습니다. 그러나 CPR 관리 기관의 개인정보보호청 보고에 따르면, 그 기간 내내 사용된 것은 아닙니다.
- 조회 방식: 보안 뉴스 사이트 The Hacker News는 덴마크 통신사와 개인정보보호청을 인용해, 매우 많은 수의 자동화된 조회였다고 보도합니다.
조회 권한을 가진 1,039개 기업에 보낸 서한 (DR 보도)
DR에 따르면, 10월 10일 두 국회 위원회에 보낸 장관의 메모에는 10월 9일 CPR 관리 기관이 조회 권한을 가진 1,039개 기업에 보안 규칙을 강화하는 서한을 보냈다고 적혀 있습니다. 주요 내용은 다음과 같습니다.
- 권한을 가진 기업은 보안 담당자를 두어야 합니다
- 직원의 등록부 데이터 접근 권한을 지속적으로 검토해야 합니다
- 월별 CPR 조회 건수를 확인하여 권한이 악용되지 않았는지 점검해야 합니다
DR은 또한 장관이 시스템 주변의 보안이 충분하지 않았다고 인정했으며, 보안 점검을 요청했다고 보도했습니다. 이 사이트는 덴마크 국회 웹사이트에서 메모 원문을 확인하지 못했으므로, 여기서는 DR의 보도로 소개합니다.
민간 기업은 왜 CPR을 조회할 수 있나
연구·교육·디지털화부 발표에는 민간 기업의 접근 권한에 대한 요약 상자가 포함되어 있습니다. CPR법 제38조에 따라, 정당한 이익이 있는 민간 기업은 CPR 번호, 생년월일과 이름, 또는 이름과 주소를 사용해 이미 한 명씩 식별한 사람에 대한 CPR 데이터를 받을 수 있습니다.
또한 기업은 EU 일반 개인정보 보호법(GDPR)과 덴마크 개인정보보호법에 따라 데이터를 받을 자격이 있어야 합니다. CPR법 제38조 제2항은 이러한 기업이 일반적으로 접근할 수 있는 데이터를 규정합니다.
즉, 사용된 것은 뒷문이 아니라 기업에 허용된 합법적인 출입 경로였습니다. 침입자를 막는 방어 체계는 유효한 자격 증명을 가진 조회를 막지 못합니다.
조회 권한을 가진 민간 기업 계정
권한 없는 사람들이 사용
↓→
CPR 조회 서비스
유효한 권한이므로 로그인 성공
↓→
약 880만 명에 대한 조회 결과
민간 기업이 조회할 수 있는 항목
알아챌 수 있는 지점: 로그인 시점이 아니라 권한의 사용 방식
클라이언트별 조회량, 평소와의 차이, 미확인 번호 비율, 고객 규모 대비 조회량
조회 API를 제공하는 기관이 점검해야 할 것
이 섹션은 계약을 맺은 기업이 API나 조회 화면을 통해 주민, 고객 또는 신용 데이터를 조회하도록 허용하는 기관을 위한 것입니다. 원인이 공개되지 않았으므로, 이런 방식으로 만들어진 모든 서비스에 적용되는 사항을 다룹니다.
일반적인 한도 설계(누구를 기준으로 셀지, 무엇을 셀지, 한도에 도달했을 때 무엇을 할지)는 요청 한도와 남용 통제에서 다룹니다. AI 에이전트 등에서 나오는 비정상적으로 빠른 활동의 신호는 DIVD 사례에서 다룹니다. 여기서는 합법적인 클라이언트의 접근에 특화된 내용을 추가합니다.
각 클라이언트에 신고된 고객 규모에 맞는 한도를 설정하십시오
덴마크 규정상 기업은 이미 한 명씩 식별한 사람만 조회할 수 있습니다. 따라서 클라이언트가 한 달 동안 조회하는 사람 수는 고객 수를 크게 넘지 않아야 합니다.
우선 계약 시 신고된 고객 수를 바탕으로 클라이언트별 일일 및 월간 조회 한도를 설정하십시오. 한도의 80%에 도달하면 계정 담당자에게 알리고, 한도에 도달하면 조회를 중단하고 클라이언트에게 사유를 물으십시오.
평소와의 차이와 미확인 번호 비율을 매일 살펴보십시오
원래 규모가 큰 클라이언트에서는 절대 조회량만으로 이상을 발견하기 어렵습니다. 각 클라이언트의 최근 30일 평균 일일 조회량을 기준선으로 삼고, 이를 여러 배 초과한 날에 경보를 설정하십시오.
또 다른 신호는 일치하는 결과가 없는 조회의 비율입니다. 자사 고객을 조회하는 클라이언트라면 거의 모두 찾아야 합니다. 미확인 비율이 갑자기 올라간 클라이언트는 고객이 아닌 사람을 조회하고 있을 수 있으므로 즉시 확인하십시오.
관리자 계정과 공유 계정에 추측하기 쉬운 비밀번호를 두지 마십시오
이번 사건에서는 조회 권한을 가진 기업의 계정 최소 3개(관리자 계정 포함)가 비밀번호 "123456"을 사용한 것으로 알려졌습니다(정부 확인 없음). 조회 권한이 있는 계정 하나가 탈취되면 많은 사람의 데이터에 접근할 수 있습니다.
우선 각 클라이언트에 관리자 계정과 여러 사람이 공유하는 계정 목록을 요청하고, 각 계정에 다단계 인증이 켜져 있는지 확인하십시오. 자사에서도 매달 로그인 성공과 실패 기록, 계정별 조회 건수를 검토하고, 평소보다 많은 계정을 표시하십시오. CPR 관리 기관이 1,039개 기업에 요청한 월별 조회 건수 점검도 같은 원리입니다.
클라이언트 계정 보안을 클라이언트에게만 맡기지 마십시오
합법적인 접근 권한이 다른 사람에 의해 사용되는 경우, 아이디와 비밀번호를 확인하는 것만으로는 도움이 되지 않습니다. 계약 조건으로 다단계 인증, 출발지 IP 주소 제한, 조회 계정 API 키의 정기적인 교체를 요구하십시오(배경: 인증과 권한 부여의 차이, 2단계 인증 선택하기).
또한 1년에 한 번, 규모에 비해 지나치게 넓은 권한을 가진 클라이언트나 더 이상 사용하지 않는 권한이 있는지 검토하십시오.
누가 누구를 언제 조회했는지 기록하고, 즉시 접근을 차단할 수 있어야 합니다
모든 조회에 대해 클라이언트, 사용자, 시간, 조회 대상자를 기록하십시오. 합리적인 최소 보관 기간은 12개월입니다(카드 업계 표준인 PCI DSS가 감사 로그에 요구하는 기간). 이러한 기록이 없으면 어떤 데이터가 유출되었는지 답할 수 없습니다.
이번 사건에서 CPR 관리 기관은 해당 기업의 접근을 중단했습니다. 각 클라이언트에 대해, 다른 클라이언트에 영향을 주지 않고 즉시 접근을 차단할 수 있는 절차와 담당자를 미리 정하십시오.
주민의 연락을 받는 기업과 기관을 위한 신원 확인 점검
10월 6일, sikkerdigital.dk는 시민의 연락을 받는 기업과 기관에 대해, 상대방을 확인하는 데 이름, 주소, CPR 번호만 사용하고 있다면 그것이 여전히 충분한지 다시 검토하라고 요청했습니다. 안내된 방법은 아래와 같습니다.
이번 사건 이후 더 이상 신원 증명이 아님
- CPR 번호
- 이름
- 주소
- 생년월일
sikkerdigital.dk가 안내한 확인 방법
- 본인이 자가 서비스에 로그인하도록 요청 (예: MitID 사용)
- 이미 등록된 전화번호나 이메일로 일회용 코드 발송
- 이미 등록된 번호로 다시 전화
- 고객 번호나 최근 청구서 번호처럼 관계에 특화된 정보 확인
이 사이트는 개인정보 열람, 연락처 변경, 신규 구독, 신용 구매, 새 SIM 카드, 비밀번호 재설정, 결제 정보 변경 등의 요청에는 강력한 본인 확인을 사용해야 하며, CPR 번호, 이름, 주소 또는 생년월일만으로는 충분하지 않다고 말합니다. 또한 재정 또는 보안에 영향을 주는 변경에는 수동 확인이나 대기 기간을 두는 것을 제안합니다.
일본 독자를 위한 안내: 마이넘버와의 차이, 그래도 적용되는 교훈
일본 디지털청에 따르면, 일본의 마이넘버는 사회보장, 세금, 재해 대응 등 법률 또는 조례에 정해진 절차에 사용되며, 다른 목적으로 제공하는 것은 원칙적으로 제한됩니다. 디지털청은 번호만으로는 절차를 완료할 수 없다고도 밝히고 있습니다(디지털청 마이넘버 FAQ, 일본어).
제도는 다르지만 교훈은 그대로 적용됩니다. 많은 사람이 알 수 있는 번호나 주소를 신원 확인용 비밀번호로 사용하지 마십시오. 이름, 주소, 생년월일만으로 전화 상담 요청을 받는 기업은 등록된 번호로 다시 거는 절차나 관계에 특화된 질문을 추가해야 합니다.
출처 (공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 권한이 악용된 기업의 이름, 사건의 배후, 공개되지 않은 기법은 다루지 않습니다. 언론 보도를 바탕으로 한 내용은 본문에서 그렇게 표시했습니다.
- 덴마크 연구·교육·디지털화부, "Omfattende uautoriseret adgang til borgeres CPR-oplysninger" (2026년 10월 5일, 덴마크어; 부처 사이트 이전으로 10월 12일 URL 갱신) — fudm.dk
- CPR (Det Centrale Personregister), 동일한 발표문 (덴마크어) — cpr.dk
- sikkerdigital.dk, 시민을 위한 안내 (2026년 10월 5일, 덴마크어) — sikkerdigital.dk
- sikkerdigital.dk, 기업 및 기관을 위한 시민 확인 안내 (2026년 10월 6일, 덴마크어) — sikkerdigital.dk
- borger.dk, "Kreditadvarsel" (덴마크어) — borger.dk
- 일본 디지털청, 마이넘버 FAQ (Q1-4, Q1-7; 일본어) — digital.go.jp
- The Hacker News (2026년 10월, 뉴스 보도; 기간과 방법에 대한 내용은 부처 발표에서 확인되지 않음) — thehackernews.com
- DR, "1039 virksomheder har fået indskærpet sikkerhed efter CPR-læk" (Ritzau; 덴마크어. 토요일 10월 10일 장관 메모, 금요일 10월 9일 1,039개 기업 서한, 접근 기간, 비밀번호 "123456" 및 최소 3개 계정(그중 관리자 계정 1개)에 대한 Politiken 취재 내용 포함) — dr.dk
- Ingeniøren, "Millioner af CPR-numre var beskyttet med adgangskoden 123456" (2026년 10월 9일; 덴마크어. 익명의 해커가 Politiken에 매우 단순한 비밀번호가 사용되었다고 말한 내용을 전함; 계정 수나 관리자 계정은 언급하지 않음) — ing.dk
업데이트 기록
2026-10-12: 부처 발표 URL을 새 위치(fudm.dk)로 갱신. 보도된 비밀번호 "123456"과 접근 기간(정부 확인 없음), DR이 보도한 장관 메모(1,039개 기업 서한, 보안이 충분하지 않았다는 인정)를 추가. 조회 API를 제공하는 기관을 위해 관리자 계정 및 공유 계정 점검 항목을 추가.
2026-10-06: 10월 5일 연구·교육·디지털화부 발표와 10월 5~6일 sikkerdigital.dk 안내를 바탕으로 한 첫 번째 버전. 부처는 수사가 계속 진행 중이며 세부 내용이 바뀔 수 있다고 밝혔습니다. 새로운 사실이 발표되면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 조회 한도 설계하기: 요청 한도와 남용 통제
- 2026년 정부 관련 사고: 2026년 정부 데이터 유출과 시민이 할 수 있는 일
- 신분증 신청 포털 유출: France Titres(ANTS) 데이터 유출
- 사칭에 대비하기: 피싱이란 / 일회용 비밀번호란
- 2026년 다른 사고: 데이터 유출 및 사이버 공격 목록