현지 언론 Politiken에 따르면, 공격에 이용된 것은 덴마크 후른섬에 본사를 둔 IT 및 데이터 서비스 기업 Pays ApS입니다. 해당 회사는 고객 기업의 정보를 확인하는 서비스 등을 위해 CPR에 접근 권한을 가지고 있었습니다. Pays의 경영 이사인 소피 라울센 부회장은 10월 9일, 자사의 접근 권한이 악용된 것을 인정했습니다. 덴마크 방송국 TV 2가 입수한 문서에 따르면, 공격자는 9월 10일에 CPR에 접근을 시작하여 9월 20일(시간)까지 약 1400만 건의 자동 조회(자동 조회)를 실행한 것으로 나타났습니다. 그러나, 부정적인 접근(부정적인 접근)이 발각된 것은 10월 2일로, 마지막 조회(자동 조회)로부터 12일이 경과한 시점입니다. CPR은 민간 기업이 조회(자동 조회)를 할 경우에는 조회(자동 조회) 1회마다 요금이 발생하는 시스템이며, 담당 직원이 Pays로부터 비정상적으로 많은 조회(자동 조회)가 발생했다는 청구서(청구서)에 주목하여, 마침내 부정적인 접근(부정적인 접근)이 드러났습니다. CPR의 관리 당국은 10월 4일에 데이터 보호 당국(데이터 보호 당국)에 보고하고, 다음 날인 10월 5일에 사건을 공개했습니다.
공격자를 자칭하는 인물은 Politiken에 획득한 정보를 판매하거나 공개할 의도가 없다고 주장하지만, 실제로 정보가 어떻게 처리되는지는 불명입니다. 덴마크 정부는 이미 문제된 기업의 CPR(Common Public Record) 접근을 중단하고, 경찰에 수사를 개시했습니다. 또한, 연구·교육·디지털화 담당 장관 크리스티나 에겔렌드 씨는 이번 사건을 “매우 심각”하게 평가하고 CPR 시스템에 대한 철저한 보안 조사를 지시한 것을 밝혔습니다.
원문 보기 | 출처: Gigazine