[해외보안뉴스] 서드파티 접근 키 유출로 덴버 헬스 회원 23만 8천 명의 의료 정보 노출 위기
· 2026-10-28 06:00
· 조회 2
· 원문 ↗
미국 의료 기관인 덴버 헬스(Denver Health)의 회원 약 23만 8,000명의 개인정보 및 건강 정보가 외주업체의 접근 키 유출 사고로 인해 노출될 위험에 처했습니다. 이번 보안 사고는 서드파티 솔루션 제공업체인 SquareML의 액세스 키(Access Key)가 외부에 유출되면서 발생한 것으로 확인되었습니다.
이번 유출 사고의 영향 범위는 덴버 헬스 플랜에 가입된 회원 23만 8,000명에 달합니다. 유출된 SquareML 접근 키를 악용할 경우, 가입자들의 민감한 개인식별정보(PII)는 물론 진료 및 건강 기록이 포함된 데이터베이스에 무단으로 접근할 수 있었던 것으로 나타나 심각한 2차 피해가 우려됩니다.
사태 파악 후 해당 기관은 유출된 접근 키를 즉각 무효화 처리하고 시스템 보안 조치를 강화했습니다. 보안 전문가들은 이와 같은 공급망(Supply Chain) 보안 위협에 대응하기 위해 서드파티 자격 증명에 대한 주기적인 키 순환(Key Rotation)과 시크릿 관리 솔루션 도입이 필수적이며, 외부 협력업체에 대한 접근 권한을 최소화하는 Zero Trust 원칙을 적용해야 한다고 강조합니다.
♥ 추천 0
외부 벤더의 키 하나로 대규모 민감 데이터가 노출 위기에 처한 것은 '최소 권한 원칙(PoLP)'과 IAM 정책 구성이 미흡했음을 보여줍니다.
개발 단계에서 Secrets Scanning 도구를 CI/CD 파이프라인에 의무적으로 적용하여 코드베이스 내 키 유출을 사전 차단해야 합니다.
나아가 서드파티 연동 시에는 고정된 장기 액세스 키 대신 만료 시간이 짧은 토큰 기반 인증과 IP 화이트리스팅을 조합하는 아키텍처로 개선할 필요가 있습니다.
서드파티 서비스의 액세스 키 유출은 공격자에게 복잡한 취약점 공격 없이 정당한 권한으로 데이터베이스에 직행할 수 있는 최상의 침투 경로입니다. 만약 유출된 SquareML 키에 최소 권한 원칙(Least Privilege)이 적용되지 않았다면, 단순한 API 호출만으로 23만여 명의 민감한 의료 데이터(PHI)를 손쉽게 대량 유출(Exfiltration)할 수 있었을 것입니다. 공급망(Vendor) 단계에서의 크리덴셜 관리 부실과 과도한 DB 접근 권한 부여가 얼마나 치명적인 파급력을 갖는지 잘 보여주는 사례입니다.
제3자 공급업체(Third-party)의 자격 증명 유출은 우리 조직의 가장 취약한 고리가 될 수 있음을 보여주는 대표적인 공급망 리스크 사례입니다.
단순히 내부 보안을 넘어 협력사까지 아우르는 '타사 리스크 관리(TPRM)' 체계를 재정비하고, 시크릿 키 관리 정책과 철저한 접근 권한 통제를 강제해야 합니다.
제로 트러스트 관점에서 외부 파트너사의 데이터베이스 접근 권한을 최소화(Least Privilege)하고 상시 모니터링하는 거버넌스 강화가 시급합니다.