덴마크 데이터 유출로 인해 880만 명이 장난감 비밀번호 ‘123456’을 통해 노출되었습니다. 공격자에게는 제로데이나 몸값이 필요하지 않았습니다. 그는 승인된 공급자의 합법적인 계정을 통해 침입하여 국가 전체의 신원이 기반이 되는 인프라인 덴마크 시민 등록부(CPR)를 탐색하는 데 11일을 보냈습니다.
작업의 핵심
- 전리품은 880만명에게 전달됩니다. 심폐소생술은 사망, 해외 거주자 등 약 1,100만 건의 기록을 보관하고 있다. 손상된 데이터에는 이름, 주소, CPR 번호가 포함됩니다.
- 접근은 합법적이었습니다. 잘못은 공급자에게 있었습니다. Politiken에 따르면 상담 허가를 받은 컴퓨터 회사인 Pays ApS는 동일한 비밀번호를 사용하는 최소 3개의 계정(관리자 계정 1개)을 보유하고 있었습니다.
- 1,400만 개의 쿼리가 있고 조기 경고가 없습니다. 이번 침해 사고는 자동화된 보안 점검이 아닌 비정상적인 활동이 포함된 송장 때문에 밝혀졌습니다.
약한 링크는 레지스트리에 있는 것이 아니라 공급업체 체인에 있습니다.
CPR은 위반되지 않았습니다. 사용되었습니다. 이러한 구별은 의미론적인 것처럼 보이지만 그렇지 않습니다. 왜냐하면 문제를 공공 부문에서 고객의 기록을 검증하기 위해 공공 부문에 연결된 회사의 시장으로 이전하기 때문입니다. Pays를 포함한 여러 회사는 행정부의 허가를 받아 상담할 수 있습니다. 시스템은 시스템에 대한 컨설팅 권한을 가진 최악의 회사만큼만 안전합니다.해당 권한은 레지스트리의 핵심과 동일한 심각도로 감사되지 않습니다.
Pays ApS는 소규모 IT 회사인데, 그 세부 사항은 이름이 나타나는 데 시간이 걸리는 이유를 설명합니다. Copenhagen Post에 따르면 이사인 Sophie Laursen은 이메일을 통해 TV 2에 대한 링크를 확인했습니다. 비밀번호와 관련하여 Politiken은 관리자를 포함하여 최소 3개의 계정이 동일한 키를 공유했다고 주장합니다. 회사도 심폐소생술 당국도 이를 확인하지 않았다. Malwarebytes는 가능한 출처를 제공합니다. 이전 직원과 관련된 이메일이 키 ‘123456’과 함께 이전 유출에 나타났습니다.
Verizon의 2025년 보고서에서는 도난 또는 유출된 자격 증명이 침해로 이어지는 가장 일반적인 경로이며 제3자로부터 발생하는 유출이 놀랄 만큼 증가했다고 이미 언급했습니다. 덴마크 데이터 유출은 새로운 기술을 추가하지 않습니다. 불편한 확인을 추가합니다. 신원 확인은 역설에 기초합니다: 클라이언트를 인증하기 위해 더 많은 데이터를 참조할수록 해당 쿼리를 여는 자격 증명의 가치가 높아집니다.
연대기는 어떤 포렌식 감사보다 더 많은 것을 드러냅니다.
9월 10일에 Pays ApS 자격 증명을 통해 액세스가 이루어졌으며 20일까지 계속되었으며 약 1,400만 건의 자동 검색이 이루어졌습니다. CPR 당국은 부처 직원이 비정상적으로 활동이 많은 회사 송장을 발견한 후 10월 5일 위반 사실을 확인했습니다. 탐지는 12일 늦게 도착했으며 회계 수단을 통해 이루어졌습니다.모니터링 시스템이 아닙니다. 아무도 보지 않았습니다.
민원 기록의 보안은 암호화 방식이 아니라 조회 허가를 받은 회사의 가장 취약한 비밀번호에 의해 결정됩니다.
데이터를 판매하거나 게시할 계획이 없음을 확인하는 공격자가 Politiken에 보낸 진술은 파일에 있는 유일한 안도감입니다. 법안은 변경되지 않습니다. 880만 명에 대한 통지, 강제 감사, 액세스 계약 검토, 디지털 ID 사업에서 갱신 손실로 인한 평판 손상 등이 있습니다. 신탁은 등기소가 판매하는 유일한 자산입니다.그리고 다른 것보다 더 빨리 감가상각됩니다.
스페인에는 문이 3개 있는데 덴마크에는 문이 하나뿐이다.
스페인에는 CPR에 대한 정확한 대응 장치가 부족합니다. 그 기능은 거주지와 거주지를 설정하는 지방자치단체 등록부로 나누어집니다. 신원 확인을 위해 경찰이 관리하는 DNI와 결혼 상태를 보호하는 시민 등록소가 있습니다. 이러한 조각화는 단일 실패 지점을 방지하지만 공급자 수가 증가합니다. 그리고 노출된 표면도 마찬가지입니다. 서로 다른 관리 부서와의 각 통합은 결국 유출되어 몇 년 후에 재사용될 수 있는 또 하나의 자격 증명입니다.
IBEX 35에서 Indra는 Minsait을 통해 공공 행정 및 디지털 신원 프로젝트의 디지털화 부문을 선도하는 공급업체 중 하나입니다. 이 사업은 브뤼셀이 검증 요건을 강화할 때마다 성장하고 있습니다. 취소할 마스터 키는 없지만 수십 개의 키가 배포되어 있습니다. 공공 데이터를 참조할 권한이 있는 계약자, 하도급자 및 회사 간.
규제 일정으로 인해 압력이 가중됩니다. 유럽 디지털 신원 규정에 규정된 유럽 디지털 신원 포트폴리오의 배치는 검증 가능하고 공통 신원을 제공할 의무를 국가에 이전하게 되며, 이는 시스템 간의 협의를 배가시킬 것입니다. 유럽 사이버 보안 기관은 수년 동안 동일한 것을 주장해 왔습니다. 다중 요소 인증 및 자격 증명 순환은 추가 기능이 아닌 기본 제어입니다.
덴마크 침해 사례에서 분명히 알 수 있는 점은 디지털 주권에 대한 논쟁이 산업 계획에 의해 판매되는 것보다 덜 매력적인 영역에서 벌어지고 있다는 것입니다. 즉, 1,100만 개의 기록 데이터에 접근할 수 있는 직원이 거의 없는 회사의 비밀번호 관리입니다. 123456을 제공하는 공급자에게는 공개 디지털화 계획이 남아 있지 않습니다.. 엄격한 테스트는 사건에 대한 포렌식 보고서가 아니라 액세스 모델에 대한 검토입니다. 얼마나 많은 조직이 공유 자격 증명을 사용하고 이중 요소 없이 CPR을 참조하는지입니다.
