보안 가이드

코펜하겐 대학교 개인정보 유출(약 525,000명): 이름·CPR 번호·전화번호·이메일 — 해야 할 일

해커가 코펜하겐 대학교(Københavns Universitet)의 테스트 환경에 접근해 이름과 CPR 번호 등 약 525,000명의 데이터를 가져갔습니다. 보도된 내용, 아직 알려지지 않은 점, 오늘 해야 할 일.

게시 2026-10-30 업데이트 2026-10-30 최종 확인 2026-10-30 10분 읽기

이 페이지에서

대상: 코펜하겐 대학교에서 공부하거나 일하고 있거나 했던 사람, 그리고 CPR 번호가 데이터에 포함되었을 수 있는 덴마크의 모든 사람. 이 글은 대학의 성명을 인용한 일관된 보도를 바탕으로 하며 공격 수법은 다루지 않습니다.

이름과 CPR 번호가 있다는 이유로 메시지를 믿지 말고, PIN이나 비밀번호는 절대 알려주지 마세요

코펜하겐 대학교를 인용한 보도에 따르면 이름, CPR 번호, 전화번호, 개인 이메일 주소를 포함한 약 525,000명의 데이터가 취득되었습니다. 이를 가진 사기범은 진짜처럼 보이는 메시지를 쓸 수 있습니다.

이 사건에 관한 메시지나 대학을 사칭한 메시지의 링크를 누르거나 번호로 전화하지 마세요
직접 찾은 웹사이트나 전화번호로 확인하세요
CPR 번호, 비밀번호, PIN을 요구하는 메시지는 그렇게 확인하기 전까지 가짜로 보세요
대학 ID 카드가 있다면 새로 받은 PIN만 사용하세요
한동안 모르는 전화와 문자를 경계하세요. 전화번호는 바꾸기 어렵습니다

출처에 대하여: 대학 자체 페이지를 열 수 없었습니다

이 사건에 대한 대학의 뉴스 페이지(영어, 덴마크어)는 2026년 10월 30일 이 사이트에서 시도했을 때 연결을 거부해 읽을 수 없었습니다. 아래 내용은 모두 대학의 10월 23일 성명과 10월 25일 업데이트를 인용하며 주요 사항에서 일치하는 네 매체에서 나온 것입니다. 보도가 다른 곳은 그렇게 밝히고 결론을 내리지 않습니다. 대학 페이지를 다시 확인하고 이 글을 거기에 맞추겠습니다.

진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다

2026년 10월 30일 기준

아직 알려지지 않음

정확한 범위와 약 525,000명이 누구인지
약 20,000건의 ID 카드 PIN 사례가 525,000명에 포함되는지
공격자가 어떻게 침입했는지
10월 26일 시스템 장애가 무엇이었는지(새 공격인지 최초 공격과 연결된 것인지)
대학 자체 페이지에서의 확인

보도에 따르면 대학은 정확한 범위를 아직 분석 중이며 더 알게 되면 말하겠다고 합니다. 대학 자체 페이지는 10월 30일 이 사이트에서 읽을 수 없었습니다.

오늘 해야 할 일

이름과 CPR 번호를 안다는 이유로 메시지를 믿지 마세요

보도에 따르면 성명, CPR 번호, 업무용 및 개인 전화번호, 개인 이메일 주소가 취득되었습니다. 따라서 이것들이 맞는 메시지라고 해서 진짜라는 증거는 아닙니다.

"계정", "환급", "신원 확인", "보안 점검"에 관해 이 사건이나 대학을 언급하는 메시지를 받으면 그 링크를 누르거나 번호로 전화하지 마세요. 해당 기관의 공식 웹사이트를 직접 열어 거기서 연락하세요(피싱이란? 참고).

요청이 와도 CPR 번호, 비밀번호, PIN은 알려주지 마세요

보도에 따르면 대학은 요청하지 않은 메시지를 경계하고 요청을 독립적으로 확인하라고 조언했습니다(대학의 조언에 관한 BleepingComputer의 설명).

CPR 번호 일부를 이미 아는 전화나 발신자는 설득력 있게 들릴 수 있습니다. 나머지를 확인해 달라고 하면 전화를 끊거나 메시지를 닫고 직접 찾은 번호나 사이트를 이용하세요.

대학 ID 카드가 있다면 새로 받은 PIN만 사용하세요

10월 25일 업데이트에서 대학은 약 20,000명의 교직원과 학생의 ID 카드 PIN 코드가 유출되었으며 영향을 받은 모든 사람에게 새 코드를 발급했다고 밝혔습니다. 보도에 따르면 10월 23일 저녁부터 일부 캠퍼스 장소의 물리적 출입이 제한되었다가 새 PIN이 마련되면서 다시 열렸습니다.

예전 PIN을 어디에도 다시 쓰지 마세요. 같은 숫자를 휴대전화, 은행 카드 등 다른 잠금에 쓰고 있다면 그것들도 바꾸세요.

한동안 모르는 전화와 문자를 의심하세요

이메일 주소는 새로 만들 수 있지만 전화번호는 바꾸기 쉽지 않습니다. 유출된 번호는 대학과 관계없는 것까지 포함해 오랫동안 사기 전화와 문자를 받을 수 있습니다.

휴대전화의 스팸 전화·문자 필터를 켜면 들어오는 양이 줄어듭니다(배경: 스마트폰 보안 기초).

중요한 계정에는 다중 인증을 사용하세요

이메일 주소와 전화번호가 있으면 사기범이 "비밀번호 찾기" 경로로 계정 탈취를 시도할 수 있습니다. 주 이메일과 돈이나 신원 데이터를 담은 계정에 다중 인증을 켜세요.

자세한 내용은 대학 자체 뉴스 페이지에서 확인하세요

대학은 더 알게 되면 말하겠다고 했습니다. 메시지의 링크가 아니라 뉴스 페이지를 직접 읽으세요. 대학이 연락해 오면 그 메시지가 공식 사이트에서 확인되는지 점검하세요.

무슨 일이 있었나요 (대학을 인용한 보도 기준)

아래 날짜는 보도에서 가져왔습니다. 한 매체만 세부 사항을 전한 경우 그 매체를 밝혔습니다.

2026년 10월 20일 화요일
침입이 감지되었고 대학은 공격을 통제했다고 밝힙니다(날짜는 Infosecurity Magazine과 Help Net Security 기준. TV2 Kosmopol과 BleepingComputer는 "화요일"이라고 함).
10월 23일 금요일(저녁)
대학이 해커가 테스트 환경 중 하나에 접근해 약 525,000명의 데이터를 취득했다고 발표합니다. 보도에 따르면 그날 저녁 일부 중요 캠퍼스 장소의 물리적 출입을 제한했습니다.
10월 25일 일요일
업데이트: 약 20,000명의 교직원과 학생의 ID 카드 PIN 코드가 유출되었습니다. 영향을 받은 모든 사람에게 새 코드가 발급되었습니다. 대학은 PIN이 변경될 때까지 기다렸다가 알렸다고 밝혔습니다.
10월 26일 월요일
대학이 예방 차원에서 여러 행정 시스템을 중단했습니다(보도는 그중 Workzone과 Nimbus를 거명). Infosecurity Magazine은 이를 새로운 공격으로 보도합니다. 아래 참고를 보세요.
10월 27일 화요일
Help Net Security에 따르면 대학은 새 공격처럼 보인 활동이 최초 공격과 연결된 것이며 새로운 공격이 아니라고 밝혔습니다. 일부 시스템은 여전히 장애가 있었습니다.

약 525,000

데이터가 취득된 사람(첫 발표의 수치)

약 20,000

ID 카드 PIN이 유출된 교직원과 학생(10월 25일 업데이트)

테스트 환경

대학이 해커가 들어왔다고 말하는 곳

신고됨

덴마크 데이터보호청에 통보

보도된 내용(대학 인용)

기관: 코펜하겐 대학교(Københavns Universitet)
대상: 약 525,000명의 데이터. 확인한 보도는 이 수치를 집단별로 나누지 않음
취득된 항목: 성명, CPR 번호, 업무용 전화번호, 개인 전화번호, 개인 이메일 주소
그 밖에 유출: 약 20,000명의 교직원과 학생의 ID 카드 PIN 코드(10월 25일 업데이트). 새 코드 발급
장소: 대학의 테스트 환경 중 하나
일상 업무: 대학은 공격자가 일상 업무를 지원하는 시스템에 도달했다는 징후는 없다고 밝힘(10월 23일 성명, 보도 기준)
대응: 공격을 통제하고 접근을 차단. 정확한 범위 분석 진행 중. 일부 캠퍼스 장소의 물리적 출입을 제한했다가 새 PIN이 발급되면서 재개
당국: GDPR에 따라 덴마크 데이터보호청(Datatilsynet)에 신고. 기타 관련 당국에도 계속 알림
원인: 보도되지 않음. 확인한 보도에서는 어떤 그룹도 책임을 주장하지 않음

보도가 엇갈리는 곳과 이 사이트의 결론

ID 카드 PIN과 525,000명. BleepingComputer는 10월 25일 업데이트가 525,000이라는 수치에 "PIN 코드가 노출된 교직원과 학생 20,000명을 추가했다"고 쓰며, 이 수치를 개인정보가 담긴 테스트 환경의 525,000명과 연결합니다. Help Net Security와 Infosecurity Magazine은 525,000을 첫 발표의 수치로 제시하고 PIN은 별도의 업데이트로 설명합니다. 약 20,000명이 525,000명에 포함되는지는 어느 보도도 명확히 밝히지 않습니다. 이 글은 이를 알려지지 않은 것으로 다룹니다.

10월 26일의 중단. Infosecurity Magazine은 월요일에 새로운 공격이 있었다고 보도했습니다. Help Net Security는 대학이 화요일에 그 활동은 최초 공격과 연결된 것이며 새로운 공격이 아니라고 말했다고 보도했습니다. 결론을 내리지 않고 대학의 성명을 따르겠습니다.

TV2 Kosmopol은 발표 전날 오르후스 대학교에서도 침입 시도가 있었다고 보도하는데, 이는 별개의 사건이며 이 글은 다루지 않습니다.

확인된 것과 확인되지 않은 것

2026년 10월 30일 기준입니다. 대학이 더 많이 발표하면 이 표를 업데이트합니다.

항목	보도된 내용	상태
해커가 테스트 환경에 접근	대학이 밝힘, 네 매체 모두 보도	확인(대학, 보도 기준)
감지	10월 20일 화요일(두 매체가 날짜를 제시)	확인(보도 기준)
데이터가 취득된 사람	약 525,000명, 첫 발표의 수치	확인(대학, 보도 기준). 정확한 범위는 분석 중
성명, CPR 번호	취득됨	확인(대학, 보도 기준)
업무용 및 개인 전화번호, 개인 이메일 주소	취득됨	확인(대학, 보도 기준)
약 20,000명의 교직원과 학생의 ID 카드 PIN 코드	유출, 새 코드 발급(10월 25일)	확인(대학, 보도 기준)
20,000명이 525,000명에 포함되는지	밝히지 않음	조사 중
525,000명이 누구인지(학생, 교직원, 전 구성원, 기타)	보도에서 나누지 않음	밝히지 않음
비밀번호, 은행 정보, 성적, 의료 데이터	취득된 데이터 목록에 없음	밝히지 않음
일상 업무를 지원하는 시스템	도달했다는 징후 없음(10월 23일 성명)	조사 중
10월 26일 중단: 새 공격인지 최초 공격과 연결인지	보도가 엇갈림	조사 중
해커가 어떻게 침입했는지	보도되지 않음	조사 중
배후	확인한 보도에 책임 주장 없음	밝히지 않음
데이터 악용이 관찰되었는지	보도되지 않음	밝히지 않음
개별 확인 방법	확인한 보도에 설명 없음	밝히지 않음

이 항목들을 조합하면 무엇에 쓰일 수 있나요

이름, CPR 번호, 전화번호 두 개, 개인 이메일 주소가 함께 있으면 대학, 은행, 공공기관, 택배사에서 온 것처럼 보이는 메시지를 쓰기에 충분합니다. 가장 심각하게 받아들여야 할 항목은 CPR 번호입니다. 덴마크에서 CPR 번호는 식별자로 널리 쓰이고 자유롭게 바꿀 수 없어, 사기범에게 오랫동안 쓸모가 있을 수 있습니다. 덴마크의 더 넓은 배경은 별개의 사건인 2026년 덴마크 CPR 등록부 악용을 보세요.

이름 + CPR 번호 + 이메일

↓→

이름과 CPR 번호를 인용한 그럴듯한 메시지

이름을 쓴 가짜 전화와 문자

→ 누르지 말고, 직접 찾은 사이트로 발신자에게 연락

↓→

이름 + 전화번호

→ CPR 번호, 비밀번호, PIN은 절대 알려주지 말고 스팸 필터 사용

보도된 항목의 조합과 그에 맞는 대처

읽는 법: 맞는 CPR 번호는 아무것도 증명하지 않습니다

덴마크의 많은 서비스는 CPR 번호를 확인하라고 요청합니다. 유출 뒤에는 전화한 사람이 당신의 CPR 번호를 정확히 읊는다고 해서 신원이 증명되지 않습니다. 전화를 끊고 직접 찾은 번호로 다시 거세요.

개인정보를 다루는 시스템을 운영하는 사람을 위해

보도에 따르면 침입은 테스트 환경에서 일어났지만 취득된 데이터에는 실제 사람의 CPR 번호가 있었습니다. 이 섹션은 이로부터 나오는 일반적인 사항을 다루며, 보도되지 않은 이번 사건의 원인은 다루지 않습니다.

운영 환경 밖에 있는 실제 개인정보를 목록으로 만드세요

테스트, 스테이징, 개발용 복사본에는 편해서 실제 기록이 들어 있는 경우가 많습니다. 운영 환경이 아닌 시스템 중 실제 개인정보를 가진 것을 파악하고, 그런 것은 운영 환경과 같은 통제(접근 제한, 로그, 모니터링)로 다루세요.

테스트 환경에서는 합성 또는 마스킹한 데이터를 우선하세요

테스트에 현실적인 형태가 필요하면 가짜 기록을 생성하거나 복사하기 전에 이름과 국가 신분 번호를 마스킹하세요. 그러면 테스트 환경이 침해되어도 노출되는 것이 훨씬 줄어듭니다.

자격 정보 재설정을 얼마나 빨리 할 수 있는지 계획하세요

이번에는 대학이 새 PIN을 발급하는 동안 물리적 출입을 제한했습니다. 시스템이 접근에 짧은 코드를 쓴다면 모두의 코드를 어떻게 교체하는지, 시간이 얼마나 걸리는지를 미리 정해 두세요.

출처 (공개 기록)

대학 자체 페이지는 2026년 10월 30일 이 사이트에서 열 수 없었습니다(연결 거부). 위 사실은 대학의 성명을 인용한 다음 보도에서 나온 것입니다. 공개되지 않은 수법과 원인은 추측하지 않습니다.

코펜하겐 대학교, 사이버 공격에 관한 뉴스 페이지(영어, 10월 30일 이 사이트에서 읽을 수 없음) — news.ku.dk
코펜하겐 대학교, 뉴스 페이지(덴마크어, 업데이트 표시됨, 10월 30일 이 사이트에서 읽을 수 없음) — nyheder.ku.dk
BleepingComputer, "University of Copenhagen data breach exposes data of 525,000 people"(2026년 10월 26일) — bleepingcomputer.com
Infosecurity Magazine, 유출에 관한 기사(2026년 10월 27일) — infosecurity-magazine.com
Help Net Security, 유출에 관한 기사(확인한 사본에 날짜 없음) — helpnetsecurity.com
TV2 Kosmopol, 뉴스 보도(덴마크어, 확인한 사본에 날짜 없음) — tv2kosmopol.dk

업데이트 기록

2026-10-30: 첫 버전. 대학의 10월 23일과 10월 25일 성명을 인용한 뉴스 보도 네 건을 바탕으로 합니다. 그날 대학 자체 페이지는 이 사이트에서 읽을 수 없었습니다. 확인할 수 있게 되거나 대학이 더 발표하면 이 글을 업데이트합니다.

다음으로 읽을 글

후속 사기: 피싱이란? / 스마트폰 보안 기초
계정 보호: 다중 인증 가이드
CPR 번호가 얽힌 덴마크의 다른 사건: 덴마크 CPR 등록부 악용(약 880만 명)
2026년 기타 사건: 데이터 유출과 사이버 공격 목록

FAQ

Q코펜하겐 대학교 유출에서 무엇이 취득되었나요?

대학의 성명을 인용한 보도에 따르면 약 525,000명의 데이터, 즉 성명, CPR 번호(덴마크의 주민등록번호), 업무용 및 개인 전화번호, 개인 이메일 주소입니다. 대학은 정확한 범위를 아직 분석 중입니다. 이와 별도로, 대학은 10월 25일 업데이트에서 약 20,000명의 교직원과 학생의 ID 카드 PIN 코드가 유출되었다고 밝혔습니다.

Q나도 영향을 받았나요?

보도에는 약 525,000명이 누구인지 나와 있지 않으며, 확인한 보도 중 개별 확인 방법을 설명한 것은 없습니다. 대학과 관계가 있거나 있었다면 대학의 연락을 주의하고 대학의 뉴스 페이지를 직접 읽으세요. 그러기 위해 메시지의 링크를 쓰지는 마세요.

Q비밀번호나 은행 정보도 취득되었나요?

확인한 보도 중 취득된 데이터에 비밀번호나 은행 정보를 든 것은 없습니다. 이는 대학이 영향을 받지 않았다고 말한 것과는 다르므로, 이 사이트는 이를 밝히지 않음으로 기록합니다. 예외는 약 20,000명의 ID 카드 PIN 코드로, 대학은 이것이 유출되었고 교체되었다고 밝혔습니다.

Q해커는 어떻게 침입했나요?

보도에 따르면 해커는 대학의 테스트 환경 중 하나에 접근했습니다. 어떻게 들어왔는지는 보도되지 않았고, 확인한 보도에서는 어떤 그룹도 책임을 주장하지 않았습니다. 이 글은 추측하지 않습니다.

Q내 이름과 CPR 번호를 쓴 연락이 오면 어떻게 하나요?

올바른 이름과 CPR 번호가 있다고 해서 진짜로 믿지 마세요. 그것들은 취득된 것으로 보도된 항목입니다. 메시지의 링크를 누르거나 번호로 전화하지 마세요. 해당 기관의 공식 웹사이트처럼 직접 찾은 경로로 발신자에게 연락하세요. 요청이 와도 비밀번호, PIN, CPR 번호 전체는 절대 알려주지 마세요.

Q대학의 이후 시스템 중단은 두 번째 공격이었나요?

보도가 엇갈립니다. 한 매체는 대학이 10월 26일 월요일에 새로운 공격을 받았고 예방 차원에서 여러 행정 시스템을 중단했다고 말했다고 보도했습니다. 다른 매체는 대학이 다음 날 이 활동은 최초 공격과 연결된 것이며 새로운 공격이 아니라고 말했다고 보도했습니다. 이 글은 결론을 내리지 않고 대학 자체의 성명을 따르겠습니다.