[해외보안뉴스] 퀘스트 다이아그노스틱스, 사이버 침해로 일부 환자 기록 유출
· 2026-10-24 06:00
· 조회 5
· 원문 ↗
미국의 대형 임상검사 및 진단 서비스 기업인 퀘스트 다이아그노스틱스(Quest Diagnostics)가 규제 당국 보고서를 통해 사이버 보안 침해 사고가 발생했음을 공개했습니다. 이번 사고는 일부 고객사들이 검사를 요청하는 데 사용하는 플랫폼인 'Quanum Lab Services Manager'에 미상의 제3자가 무단으로 접근하면서 발생했습니다.
회사 측 발표에 따르면 이번 무단 접근으로 인해 해당 플랫폼을 사용하는 특정 고객들의 환자 기록 일부가 노출된 것으로 확인되었습니다. 유출되었을 가능성이 있는 정보에는 검사 요청서에 포함된 환자의 개인정보 및 관련 검사 데이터가 포함되며, 현재 정확한 피해 규모와 영향을 받은 환자 수를 파악하기 위한 조사가 진행되고 있습니다.
퀘스트 다이아그노스틱스는 사건 인지 직후 침해된 플랫폼의 보안을 강화하고 외부 전문 보안 업체와 협력하여 사고 경위를 조사 중입니다. 또한 해당 플랫폼을 사용하는 의료기관 및 고객사들은 즉시 연동된 계정의 인증 정보를 변경하고, 시스템 접근 권한 점검 및 다중 요소 인증(MFA) 적용 등 자사 보안 설정을 철저히 점검할 것이 권장됩니다.
♥ 추천 0
외부 클라이언트가 사용하는 주문 플랫폼에서 발생한 무단 접근은 API 수준의 권한 검증 미흡(BOLA)이나 인증 허점이 원인일 가능성이 높습니다.
특히 민감한 의료 정보(PHI)를 다루는 엔드포인트는 단순 인증을 넘어 테넌트 간 엄격한 데이터 격리와 세밀한 접근 제어(Fine-grained Authorization)가 코드 및 아키텍처 단계부터 강제되어야 합니다.
외부 연동 접점일수록 B2B API 게이트웨이에 제로 트러스트 관점의 지속적인 검증과 이상 징후 탐지 로깅을 즉시 강화해야 합니다.
고객사가 직접 테스트 주문을 입력하는 B2B 웹 포털이 타깃이 된 점으로 미루어 볼 때, 불충분한 인증이나 API 권한 제어 미흡(IDOR/BOLA)을 노린 공격 가능성이 높습니다. 이러한 외부 접점 시스템은 단일 계정 탈취나 로직 우회만으로도 광범위한 환자 개인정보(PHI)에 탈취로 이어질 수 있어 공격자에게 매우 매력적인 진입점이 됩니다. 내부 망을 직접 타격하지 않고도 외부 서비스의 권한 검증 허점을 통해 고가치 데이터를 효율적으로 확보할 수 있음을 보여주는 사례입니다.
외부 고객 접점 플랫폼을 통한 환자 데이터 유출은 서드파티 및 연동 시스템에 대한 보안 거버넌스의 중요성을 다시 한번 보여줍니다. 민감 정보(PHI)를 다루는 서비스는 엄격한 접근 제어와 지속적인 모니터링이 필수적이며, 이는 단순한 컴플라이언스 준수를 넘어 기업의 신뢰도와 직결됩니다. 우리 조직 역시 외부 연동 접점의 접근 권한을 즉시 재점검하고 공급망 리스크 관리 체계를 강화해야 합니다.