덴마크 데이터 유출로 880만 명의 개인정보 노출

진료 내용이 디지털로 기록돼 유출될까 봐 의사와 상담하기조차 꺼려지는 지경임. 비행기를 타면 여권이 범죄자의 대출 사기에 쓰일까 걱정되고, 자동차보험을 비교하면 자동 광고전화가 올까 걱정되며, 웹사이트에서 신원을 인증하면 다른 온라인 활동까지 연결될까 우려됨.
어쩔 수 없이 거래하는 기업 대부분에 개인정보를 맡길 수 없다는 불신이 실제 생활에 악영향을 주고 있음. 기업의 의도가 선해도 정보는 훔칠 가치가 있는데, 이렇게 보호하지 못한다는 게 이해하기 어려움.
채용 공고에서 사회보장번호나 국민보험번호를 요구하거나 시승 후에도 운전면허증 사진을 보관하는 기업에는 책임을 물어야 함. 더는 필요하지 않은 정보이기 때문임.

이제는 걱정을 멈추고 폭탄을 사랑하기로 한 심정임. 유행하기 전부터 Google을 끊고, 모든 소셜미디어를 탈퇴하고, 데이터를 직접 소유하려고 홈랩을 만들고, 가족용 Matrix 메신저까지 구축했지만 지금은 헛수고처럼 느껴짐.
내 정보는 어떤 식으로든 이미 밖에 나가 있고, 작정한 사이버범죄자나 더 무서운 정부기관은 어렵지 않게 확보할 수 있음. 이제 바꿀 수 있는 건 이 현실에 대한 내 반응뿐임.
문명과 단절된 자급자족도 매력적이지만 아직 그럴 단계는 아님. 해외여행과 진료까지 포기하고 싶지는 않아서, 지금 세상에서는 사생활 보호가 불가능하다고 받아들이고 살아가기로 함.

최근 매우 민감한 개인정보가 많이 얽힌 일로 변호사를 구했는데, 서류를 어느 정도라도 안전하게 전달하는 것부터 불가능했음. 결국 답변도 개인정보가 잔뜩 담긴 일반 이메일로 받았으니 정말 미칠 노릇임.

수십 년간 정보가 유출되고 도난당해도 대중이 체감할 만큼 큰 재앙이 드러나지 않았기 때문임. Equifax 유출 이후에도 회사는 살아남았고, 간간이 발생하는 신원 도용은 묻혀 버림. 미국인 절반의 사회보장번호 등이 유출돼도 대부분의 삶에는 눈에 띄는 영향이 없었고, 피로감이 쌓이면서 후속 유출에도 무감각해짐.
나도 내 정보는 이미 유출됐다는 전제로 행동함. 제삼자를 믿어도 되는지 따지느라 생활을 불편하게 만들기보다, 신원 도용이 발생하면 수습할 준비를 해두는 쪽임.

진료 기록 유출 때문에 의사와 상담하기 꺼려진다는 데 공감함. 일부 지역에서는 예전처럼 종이 처방전을 받을 수 없고 공유 데이터베이스에만 처방이 기록됨. 민간 의료기관도 진료 조건으로 개인정보 이용 동의를 요구하지 않는 곳을 찾기 어려움. 병원에 문의하려고 전화해도 “통화를 계속하면 녹음에 동의하는 것으로…”라는 안내가 나와 끊게 됨.

한 업체가 환자 3만 3천 명의 개인정보와 심리치료 기록을 전부 유출한 뒤로는 절대 심리치료를 받으러 가지 않을 생각임.

스웨덴은 이런 악의적인 유출을 피하려고 주민 정보를 아예 공식적으로 공개함. https://hitta.se에서 주민 개인번호, 이름, 주소, 생일, 때로는 전화번호까지 조회할 수 있음. 주민 동의 없이 자동으로 등록되며, 삭제에 성공한 친구들도 이사하면 다시 올라옴.
새 친구를 만나면 어느 동네 출신인지, 누구와 사는지, 전에 어디 살았는지 확인할 수 있어 꽤 편리함. 덴마크 사람들은 뭐가 문제인지, 뭘 숨기려는 건지?
도발적인 말투는 일부러 농담한 것이고, 나도 스웨덴인은 아님. 스칸디나비아 국가들의 형제 같은 경쟁 관계가 재미있을 뿐임.

덴마크도 이렇게 하자고 15년 넘게 주장해 왔음. 주민등록번호 하나만으로 무언가를 할 수 있다는 게 재앙임. 지금은 대부분 MitID 전자서명이 필요해 그렇지 않지만, 여전히 번호를 비밀로 취급함. 덴마크에서 집을 소유하면 주소는 이미 공개돼 있고 조회만 조금 번거로움.
이번 유출에서 특히 문제가 될 대상은 주소나 전화번호를 비공개로 해둔 사람들임. 예전에는 생일만 알면 CPR 번호 후보를 보통 6~8개로 좁힌 뒤, 통신사 사이트에서 가입하는 척 번호를 입력해 정답인지 확인할 수 있었음. 정치인들의 번호로 이를 시연하고 나서야 통신사들이 가입 초기에 CPR 번호를 요구하지 않게 됨.

스웨덴에는 살인범이나 집착하는 전 연인, 표적 괴롭힘, 스팸 전화가 없는 건가? 다른 나라가 훨씬 잘한다는 뜻은 아니지만, 수상한 포럼에서 CSV 파일을 내려받을 필요조차 없이 이런 정보를 얻을 수 있다니 놀라움. 정보 접근 장벽을 너무 낮추는 것 아닌가?

처음 들었을 때는 꽤 놀랐음. 개인 급여까지 공개된다고 들었는데, 그건 정말 멋진 제도임.

규모를 실감하지 못하는 분들을 위해 덧붙이면, 살아 있는 모든 덴마크 시민과 거주 이력이 있는 외국인, 상당수 사망자의 정보까지 유출된 것임. 주민등록번호, 나이, 성별, 가족관계, 실제 주소, 보호 대상 주소, 성별 변경 정보가 해당됨.
덴마크는 의료기록이 상당히 잘 갖춰진 나라지만, 과거에도 연구용 데이터의 재식별을 막는 익명화가 제대로 되지 않아 문제가 생긴 적이 있음.

나이와 성별은 주민등록번호에 담겨 있음. 다만 생일을 모르는 이민자나, 검증값과 성별을 담는 네 자릿수로 수용할 수 있는 인원보다 특정 생일의 인원이 많은 경우에는 번호에 담긴 생년월일이 실제와 다를 수 있음.

정확히 어떤 정보에 접근했는지는 아직 아무도 모름. 위 목록은 등록부에 들어 있는 정보이지, 실제 접근이 확인된 정보가 아님. 특히 보호 대상 주소를 가진 사람들의 정보는 유출되지 않았음.

발표에 따르면 주소 보호 대상자의 정보는 유출되지 않았음.

덴마크 공공부문에서 국가 차원의 아키텍처 관련 실무 등을 하며 10년을 보냈는데, 자업자득이라고 봄. 공공부문은 IT와 디지털화를 진지하게 다루지 않음. 대개 다른 조직 아래에 두고, 최근까지 전담 부처도 없었으며, 지금도 다른 업무와 묶인 부처임. 사이버보안에 대한 관심은 적고, 최근의 대응도 러시아의 하이브리드 공격 위협 때문에 생긴 것뿐임.
교통부에는 충분한 자원이 배정됨. 교통도 중요하지만, 국민 대부분이 통근보다 컴퓨터로 일하는 데 더 많은 시간을 쓰는 만큼 디지털화도 그만큼 중요하지 않을까?
내 CPR 번호도 몇 번 유출됐는데, 첫 유출은 황당하게도 국내 최대 IT 노조에서 암호화하지 않은 노트북 여러 대를 도난당하면서 발생함. CPR 번호에 유출 표시를 해두는 제도가 있지만, 이제는 전부 유출됐다고 간주해도 될 듯함. 원래 CPR 번호 자체는 권한이나 접근을 부여하는 수단이 아니었지만 실제로는 그렇게 쓰인 곳이 많았음. 이번 유출로 그 신뢰가 깨져 보안이 강화된다면 전화위복일 수도 있음.

취지는 이해하지만, 다른 독자들을 위해 덧붙이면 덴마크는 유럽에서도 공공부문 IT와 디지털화가 가장 앞선 국가 중 하나임.

덴마크가 Chat Control로 종단간 암호화를 금지하는 데 성공하면, EU 주민 모두의 사적인 대화도 이렇게 쉽게 유출될 수 있음. 이번 사태를 가볍게 보려는 건 아니지만, 책임자들이 현실을 직시하는 계기가 되길 바람.

그 사람들이 자기비판을 할 여지가 있는지 매우 의심스러움. 이미 정해 둔 계획을 그대로 추진하려는 태도임.

기사에 따르면 덴마크의 한 기업을 통해 정보에 접근했고, 지금은 그 기업의 접근 권한이 취소됨. 기업이 정보 종류나 조회 건수에 아무 제한 없이 이런 기록에 접근할 수 있었다는 게 정말 놀라움.

산 사람과 죽은 사람까지 모두인 셈임. 사망자 기록을 정리하는 데 몇 년이나 몇십 년이 걸리는지 궁금함.

최근 몇 달 사이에도 대규모 유출이 여러 건 발생함. 폴란드에서는 의사들이 이용하는 민간 의료업체들에서 인구 절반인 약 2천만 명의 정보가 유출됐고, 프랑스에서는 세무당국 유출로 67만 8천 명이 영향을 받음.
AI의 역량이 커지고 러시아가 공세를 강화하는 만큼, 안타깝지만 앞으로 더 늘어날 것으로 예상함.

프랑스에서는 최근 신원과 주소가 포함된 총기 소유 기록도 유출됨.

책임자가 감옥에 가지 않으면 아무것도 바뀌지 않을 것임.

이런 문제가 반복되는데도 EU는 오히려 더 나아가 모두에게 신원 인증을 강제하려 한다는 게 문제임.