[해외보안뉴스] iRhythm 데이터 유출 사고로 최소 36만 명의 개인정보 노출
· 2026-10-13 05:00
· 조회 18
· 원문 ↗
디지털 헬스케어 및 심장 모니터링 전문 기업인 iRhythm Technologies에서 데이터 유출 사고가 발생하여 최소 36만 명 이상의 환자 개인정보가 외부로 유출되었습니다. 해커들은 iRhythm의 시스템에 무단으로 침입하여 저장되어 있던 환자 데이터를 탈취한 것으로 조사되었습니다.
이번 유출 사고로 영향을 받은 정보에는 환자의 이름, 주소, 이메일 주소, 생년월일, 전화번호 등 주요 개인식별정보(PII)가 포함되어 있습니다. 360,000명 이상의 피해자가 발생함에 따라, 탈취된 개인정보가 스피어 피싱, 보이스 피싱, 명의 도용 등 2차 사이버 공격에 악용될 위험이 매우 높아진 상황입니다.
iRhythm 측은 침입 정황을 포착한 후 관련 시스템을 격리하고 보안 조치를 강화했으며, 피해를 입은 환자들에게 개별 통지를 진행하고 있습니다. 피해 대상자는 iRhythm이나 의료 기관을 사칭한 출처 불명의 이메일, 문자 메시지, 전화에 주의해야 하며, 개인정보 악용 여부를 지속해서 모니터링하는 등 추가 피해 예방을 위한 주의가 요구됩니다.
♥ 추천 0
민감한 개인식별정보(PII)가 대량 유출된 것은 단순한 외곽 보안 실패를 넘어, DB 내 암호화 및 데이터 격리 아키텍처가 부재했음을 시사합니다.
개발 단계에서부터 KMS(키 관리 서비스)를 연동한 컬럼 수준의 암호화를 적용하고, 애플리케이션 레벨에서 복호화 권한을 최소 권한 원칙(Least Privilege)에 따라 엄격히 제한했어야 합니다.
특히 헬스케어 플랫폼은 데이터 최소화(Data Minimization) 정책과 함께 제로 트러스트 기반의 API 접근 제어 구조로 빠르게 재설계해야 합니다.
유출된 36만 명의 개인식별정보(PII)는 공격자 입장에서 사회공학적 기법과 고도화된 스피어 피싱을 수행하기 위한 최상급 '타겟 리스트'가 됩니다.
이름과 생년월일, 연락처 조합은 SIM 스와핑이나 계정 도용(ATO), 의료 관련 신용 사기 등 다양한 2차 공격 벡터로 손쉽게 확장될 수 있습니다.
단순 데이터 유출을 넘어 탈취된 PII를 활용한 후속 침투 및 명의 도용 시도가 본격화될 가능성이 매우 높습니다.
대규모 개인식별정보(PII) 유출 사고는 데이터 보호가 단순한 기술적 대응을 넘어 기업 경영의 핵심 리스크임을 다시 한번 보여줍니다. 유출된 기본 인적사항은 2차 사회공학적 공격에 악용될 가능성이 높은 만큼, 데이터 암호화와 엄격한 접근 권한 제어 체계에 대한 전사적 재점검이 시급합니다. 우리 조직 역시 개인정보 최소 수집 원칙을 준수하고 있는지 재확인하고, 외부 파트너사를 포함한 제3자 리스크 관리 거버넌스를 한층 강화하겠습니다.