[해외보안뉴스] 미국 의료기관 2곳 침해 사고로 환자 25만 명 개인정보 유출
· 2026-10-06 04:00
· 조회 22
· 원문 ↗
지난 7월 미국 뉴저지 소재의 'Clover Health Investments'와 텍사스 소재의 'AngMar Management Services' 등 미국 의료 기업 2곳에서 해킹으로 인한 데이터 유출 사고가 발생했습니다. 사이버 공격자들은 이들 기업의 시스템에 침입하여 저장되어 있던 환자들의 정보를 탈취한 것으로 확인되었습니다.
이번 데이터 유출 사고로 영향을 받은 환자는 두 기업을 합쳐 약 25만 명에 달하는 것으로 알려졌습니다. 탈취된 데이터에는 환자의 성명, 생년월일 등 민감한 개인식별정보(PII)와 일부 의료 정보가 포함된 것으로 추정되며, 이러한 의료 데이터는 블랙마켓에서 높게 거래되어 2차 범죄에 악용될 위험이 큽니다.
사고 발생 이후 해당 기업들은 피해 환자들에게 관련 사실을 통지하는 한편, 시스템 보안을 강화하고 피해 최소화를 위한 후속 조치를 진행하고 있습니다. 전문가들은 의료기관의 경우 다중 인증(MFA) 적용과 접근 권한 관리를 엄격히 해야 하며, 피해를 입은 환자들은 본인을 사칭한 피싱 메일이나 스미싱 공격에 각별히 주의해야 한다고 권고합니다.
♥ 추천 0
의료 데이터는 늘 최우선 공격 표적이 되는 만큼, 단순히 DB 전체를 암호화하는 것을 넘어 PHI(개인건강정보) 필드 단위의 세분화된 암호화(Field-Level Encryption)가 필수적입니다.
또한 API 레이어에서 최소 권한 원칙(Least Privilege)을 철저히 적용하고, 이상 대량 조회 발생 시 즉시 차단하는 감지 로직을 아키텍처 단계부터 반영해야 합니다.
결국 민감 데이터를 다루는 시스템은 기획 단계부터 Zero Trust 관점에서 데이터 접근 경로를 최소화하도록 코드를 설계하는 수밖에 없습니다.
의료 분야는 자산 가치가 높은 PHI(개인건강정보)를 보유하고 있어 서드파티 취약점이나 정밀 피싱을 통한 초기 침투(Initial Access)의 주요 표적이 됩니다.
7월에 발생한 침투가 뒤늦게 수면 위로 오른 것은 공격자가 내부 네트워크에서 상당 기간 거점(Persistence)을 유지하며 은밀히 데이터를 유출했음을 시사합니다.
탈취된 25만 건의 정밀한 환자 데이터는 향후 해당 기관과 환자들을 노린 2차 스피어 피싱 및 명의 도용 공격의 강력한 무기로 악용될 것입니다.
헬스케어 분야를 겨냥한 대규모 데이터 유출은 막대한 규제 벌금뿐만 아니라 조직의 신뢰도에 치명적인 타격을 입힙니다. 이번 사건은 민감한 환자 정보(PHI)를 다루는 연계 서비스 및 제3자 외주업체에 대한 보안 거버넌스 강화가 얼마나 시급한지 보여줍니다. 우리 조직 역시 제3자 리스크 관리(TPRM) 프로세스를 재점검하고, 중요 데이터 자산에 대한 암호화 및 최소 권한 접근 제어 정책을 즉시 강화해야 합니다.