맥케슨 유출 사고: ShinyHunters, 2억 8,400만 건의 환자 기록 탈취

대규모 의료 공급망 유출 사고

미국 최대 의료 공급망 기업 중 하나인 맥케슨(McKesson)이 2억 8,400만 건의 환자 기록이 노출된 것으로 보고된 데이터 유출 사고를 확인했다. 이 사건의 규모는 올해 공개된 의료 데이터 유출 사고 중에서도 손꼽히는 수준이며, 병원과 약국을 뒷단에서 지원하는 기업들을 통해 얼마나 많은 민감한 개인정보와 의료 정보가 흘러 다니는지를 여실히 보여준다.

이 사건에 대한 보도에 따르면, ShinyHunters로 알려진 위협 그룹이 이번 유출 사고의 책임을 주장하며, 맥케슨의 Snowflake 클라우드 데이터 환경에서 2억 8,400만 행의 환자 정보를 포함한 약 1테라바이트의 데이터를 탈취했다고 주장했다. 이 그룹은 탈취한 데이터와 관련하여 맥케슨에 약 5,500만 달러를 요구한 것으로 보도되었다. 맥케슨은 미국 증권거래위원회(SEC)에 Form 8-K 공시를 통해 이 사이버 보안 사고를 공개했으며, 이는 중대한 보안 사건에 직면한 상장 기업이 반드시 거쳐야 하는 절차이다.

맥케슨은 전국의 상당수 병원에 의약품과 의료 제품을 공급하고 있으며, 이는 노출된 데이터가 해당 회사와 직접적으로 거래한 적이 없을 수 있는 방대한 범위의 환자들에게 영향을 미칠 가능성이 높다는 것을 의미한다. 이는 공급망 유출 사고의 더욱 우려스러운 측면 중 하나이다. 환자들은 유출된 조직과 직접적인 관계가 없는 경우가 많지만, 그들의 보호 건강 정보(PHI)와 개인 세부 정보는 여전히 침해될 수 있다.

공급망 벤더가 고가치 표적인 이유

맥케슨과 같은 의료 공급망 기업들은 막대한 양의 민감한 데이터와 복잡하게 상호 연결된 시스템의 교차점에 위치해 있다. 이들은 전국의 병원, 클리닉, 약국과의 거래 과정에서 처방 기록, 환자 식별 정보, 기타 보호 건강 정보를 일상적으로 처리한다.

이번 유출 사고는 최근 몇 년간 의료 부문이 씨름해 온 더 광범위한 패턴에 부합한다. 공격자들은 병원 자체뿐만 아니라 제3자 벤더와 인프라 제공업체들이 여러 의료 제공자에 걸쳐 수백만 명의 환자 데이터를 노출시킬 수 있는 단일 실패 지점이 될 수 있다는 점을 점점 더 인식하고 있다. 유사한 역학이 네덜란드 환자 데이터를 노출시킨 ChipSoft 랜섬웨어 공격에서도 나타났는데, 단일 소프트웨어 제공업체의 침해가 전체 의료 시스템의 환자들에게 영향을 미치는 파급 효과를 일으켰다. 수백만 건의 환자 기록을 다루는 벤더가 침해되면, 그 결과는 해당 회사의 고객 기반을 훨씬 넘어서 확장된다.

이번 사건에서 Snowflake와 같은 클라우드 데이터 플랫폼이 사용되었다는 점도 주목할 만하다. 의료 기관과 그 벤더들이 대규모 데이터셋을 관리하기 위해 클라우드 기반 데이터 웨어하우징에 점점 더 의존함에 따라, 접근 제어, 모니터링, 자격 증명 관리를 포함한 해당 환경의 보안은 전통적인 온프레미스 시스템의 보안만큼이나 중요해지고 있다.

숫자 뒤에 숨은 인간적 비용

2억 8,400만 건이라는 숫자는 추상적으로 느껴지기 쉽지만, 탈취된 데이터셋의 각 행은 실제 사람의 처방 이력, 의료 세부 정보, 또는 개인 식별 정보를 나타낼 가능성이 높다. 보호 건강 정보는 신용카드 번호와 달리 단순히 취소하고 재발급할 수 없기 때문에 범죄자들에게 특히 가치가 있다. 탈취된 의료 데이터는 보험 사기, 표적 피싱 캠페인, 신원 도용, 피해 개인에 대한 협박 시도에 사용될 수 있다.

의료 유출 사고는 데이터 노출 외에도 운영상의 위험을 수반한다. 병원 사이버 보안에 초점을 맞춘 업계 행사에서의 논의는 랜섬웨어나 대규모 유출 사고가 의료 기관을 강타할 때 그 여파가 데이터 프라이버시뿐만 아니라 환자 진료 자체까지 확장될 수 있음을 강조했으며, 이는 의료 중심 Black Hat 및 HIMSS 서밋에 관한 보도에서 다루어졌다. 맥케슨 사건은 주로 진료 중단이 아닌 데이터 노출 사건이지만, 동일한 근본적 취약성을 반영한다. 의료 공급망은 가장 취약한 벤더 고리만큼만 안전하다.

이것이 당신에게 의미하는 것

맥케슨과 협력하는 의료 제공자를 통해 처방전이나 의료 제품을 받은 적이 있다면, 그리고 맥케슨의 규모를 고려할 때 이는 상당수의 미국 환자를 포함할 수 있는데, 공식 통지가 도착하기 전이라도 이번 유출 사고를 더 경계할 이유로 삼을 가치가 있다. 다음 사항을 주의 깊게 살펴보라:

• 건강 보험사로부터 받은 설명서(EOB)에서 인식하지 못하는 서비스나 처방전에 대한 내용
• 의료 이력이나 처방전을 언급하는 예상치 못한 전화, 문자, 이메일. 이는 탈취된 데이터를 이용한 피싱 시도일 수 있다
• 맥케슨이나 의료 제공자로부터의 유출 사고 관련 통지, 그리고 신용 모니터링이나 신원 보호 서비스 제공 여부
• 신용 보고서. PHI는 신원 도용에 사용 가능한 다른 식별 정보와 함께 있는 경우가 많기 때문이다

맥케슨은 아직 ShinyHunters의 주장의 전체 범위나 정확성을 확인하지 않았으며, 조사가 진행됨에 따라 세부 사항은 달라질 수 있다. 그럼에도 불구하고 보고된 기록의 방대한 양을 고려할 때, 이번 맥케슨 데이터 유출 사고의 영향을 받은 환자들은 더 구체적인 지침이 나올 때까지 개인정보가 어느 정도 노출되었다고 가정해야 한다.

핵심 요점

맥케슨 데이터 유출 사고는 의료 프라이버시 위험이 병원과 클리닉의 벽을 훨씬 넘어, 환자 데이터를 대규모로 조용히 처리하는 벤더와 클라우드 플랫폼까지 확장된다는 것을 상기시켜 준다. 받은 유출 통지를 주의 깊게 검토하고, 의료 및 금융 계정에서 비정상적인 활동을 모니터링하며, 정보가 이번 노출에 포함되었다고 의심되면 신용 동결을 고려하라. 이 사건에 대한 조사가 계속됨에 따라, 맥케슨과 규제 기관의 검증된 업데이트를 통해 정보를 파악하는 것이 사후 대응에서 자신을 보호하는 최선의 방법으로 남아 있다.