랜섬웨어 공격, 네덜란드 의료 기록의 핵심을 강타하다

네덜란드에서 가장 널리 사용되는 전자 환자 기록 소프트웨어 제공업체 중 하나인 ChipSoft에 대한 대규모 랜섬웨어 공격이 네덜란드 의료 부문 전반에 큰 충격을 안겨주었습니다. 최소 수십 개의 병원이 이미 네덜란드 개인정보보호청(AP)에 신고를 접수했으며, 조사관들은 여전히 침해의 전체 규모를 파악하기 위해 작업을 진행 중입니다.

잠재적 노출의 규모는 상당합니다. ChipSoft의 HiX 플랫폼은 네덜란드 병원의 약 70%가 전자 환자 기록을 관리하는 데 사용하고 있습니다. 즉, 소프트웨어 공급업체 하나에 대한 단일 공격이 국내 병원 네트워크 대다수에 파급 효과를 미쳐 수백만 명의 환자 개인 정보 및 의료 데이터에 영향을 줄 수 있다는 것을 의미합니다.

위험에 처할 수 있는 데이터

전자 환자 기록에는 진단 내역, 치료 이력, 약물 상세 정보, 식별 번호, 연락처 정보 등 가장 민감한 개인 정보가 담겨 있습니다. 랜섬웨어가 이러한 종류의 데이터를 처리하는 시스템에 침투하면, 그 위험은 일시적인 서비스 중단을 훨씬 넘어섭니다.

현재 조사는 공격 과정에서 데이터 트래픽이 가로채어졌는지 여부에 초점을 맞추고 있습니다. 이는 매우 중요한 문제입니다. 랜섬웨어가 항상 시스템을 잠그고 대가를 요구하는 방식으로만 작동하는 것은 아닙니다. 점점 더 많은 공격자들이 암호화 이전이나 도중에 데이터를 유출하여 이중 협박 수단으로 활용하고 있습니다. 데이터가 전송 중에 가로채어졌다면, 기록이 복사되어 안전한 환경에서 완전히 반출되었을 가능성이 있습니다.

ChipSoft 소프트웨어를 사용하는 병원들은 무엇이, 그리고 실제로 어떤 데이터가 탈취되었는지 파악하는 동시에 규제 기관에 신고해야 하는 어려운 상황에 처해 있습니다. 유럽 GDPR 규정에 따라 조직은 데이터 침해를 인지한 시점으로부터 72시간 이내에 감독 당국에 신고해야 하며, 위험의 심각성에 따라 피해를 입은 개인에게도 통보해야 할 수 있습니다.

의료 부문이 랜섬웨어의 주요 표적이 되는 이유

의료 부문은 전 세계적으로 랜섬웨어 공격이 가장 빈번하게 발생하는 산업 중 하나가 되었습니다. 이에는 여러 가지 이유가 있습니다. 의료 기록은 개인 정보와 금융 정보가 풍부하게 결합되어 있어 지하 시장에서 높은 가치를 지닙니다. 또한 병원은 시스템을 계속 운영해야 한다는 강한 압박을 받기 때문에, 접근권을 빠르게 복구하기 위해 몸값을 신속히 지불하는 경우가 많습니다.

소프트웨어 공급망 공격, 즉 범죄자들이 각 조직을 개별적으로 공격하는 대신 여러 조직이 사용하는 공급업체를 표적으로 삼는 방식은 잠재적 피해를 크게 증폭시킵니다. ChipSoft와 같은 한 회사를 침해함으로써 공격자들은 해당 소프트웨어에 의존하는 모든 고객 네트워크에 발판을 마련하게 됩니다. 이 방식은 공격자에게는 효율적이지만, 피해를 입는 조직과 개인에게는 치명적입니다.

네덜란드가 고립된 사례는 아닙니다. 유럽과 북미 전역의 의료 제공자들이 최근 몇 년간 유사한 사건을 겪어왔으며, 이 추세는 반전될 조짐을 보이지 않고 있습니다.

여러분이 취해야 할 조치

만약 귀하가 ChipSoft의 HiX 소프트웨어를 사용하는 네덜란드 병원의 환자라면, 귀하의 의료 정보 및 개인 데이터가 노출되었을 수 있습니다. 다음과 같은 조치를 고려하시기 바랍니다:

  • 통보에 주의를 기울이십시오. 침해의 영향을 받은 병원은 환자의 데이터가 관련된 경우 이를 환자에게 알려야 합니다. 의료 제공자로부터 오는 공식 통보에 주의를 기울이십시오.
  • 피싱 시도에 경계하십시오. 데이터 침해 이후 공격자들은 종종 탈취한 정보를 이용해 설득력 있는 피싱 이메일이나 전화를 제작합니다. 병원이나 보험사를 사칭하는 원치 않는 연락에 의심을 가지십시오.
  • AP에 대한 귀하의 권리를 확인하십시오. GDPR에 따라 귀하는 조직에 자신에 관한 데이터가 어떻게 보관되고 처리되었는지 정보를 요청할 권리가 있습니다. 데이터 처리 방식에 우려가 있다면 네덜란드 개인정보보호청이 관련 기관입니다.
  • 귀하가 통제할 수 있는 것의 한계를 이해하십시오. 귀하의 데이터가 병원이나 그 소프트웨어 공급업체와 같은 제3자에 의해 보관될 경우, 귀하는 그 보안에 대한 직접적인 통제권이 제한됩니다. 이는 기관들이 데이터 보호 의무를 더욱 진지하게 이행해야 하는 이유가 됩니다.

의료 기관 및 IT 관리자들에게 이번 침해 사건은 공급업체 위험 관리의 중요성을 다시금 상기시켜줍니다. 국가 의료 시스템의 대부분을 단일 플랫폼에 의존하는 것은 집중 위험을 초래합니다. 정기적인 보안 감사, 사고 대응 계획 수립, 그리고 전송 중인 데이터의 암호화 보장은 선택 사항이 아닌 기본 요건입니다.

ChipSoft 사건은 아직 조사 중이며, 어떤 데이터가 영향을 받았는지에 대한 전체적인 그림이 드러나기까지는 몇 주가 걸릴 수 있습니다. 환자들은 가장 민감한 정보를 위탁한 기관으로부터 신속하고 투명한 소통을 받을 자격이 있습니다. 규제 기관, 병원, 그리고 소프트웨어 제공업체 모두 그 기준이 충족될 수 있도록 역할을 다해야 합니다.