맥케슨(McKesson), 데이터 유출 확인... 샤이니헌터스가 2억 8,400만 건 기록 탈취 주장

미국 최대 헬스케어 유통 기업 중 하나인 맥케슨(McKesson)이 협박 그룹 샤이니헌터스(ShinyHunters)가 개인식별정보(PII)와 보호건강정보(PHI)를 포함한 무려 2억 8,400만 건의 기록을 탈취했다고 주장한 가운데, 데이터 유출을 겪었다고 확인했다. 이번 확인은 공격자가 부과한 기한이 임박했다는 보도가 나오면서 이뤄졌으며, 미국 제약 및 의료 공급망의 상당 부분을 담당하는 기업의 부담을 가중시키고 있다.

샤이니헌터스가 맥케슨에서 탈취했다고 주장하는 데이터

대규모 데이터 탈취 및 협박 캠페인으로 알려진 샤이니헌터스는 맥케슨 시스템에서 2억 8,400만 건의 기록을 유출했다고 주장했다. 이 그룹은 탈취한 데이터에 이름, 연락처 등과 같은 PII와 HIPAA와 같은 규정에 따라 특별한 법적 보호를 받는 건강 관련 데이터 범주인 PHI가 혼합되어 있다고 밝혔다. 맥케슨은 의약품 제조업체, 약국, 의료 제공자 간의 중요한 연결 고리로 운영되기 때문에 취급하는 데이터의 범위는 단일 병원이나 진료소의 데이터가 아니라 처방전, 의료 용품 주문, 제공자 커뮤니케이션과 연계된 환자 기록에 걸쳐 있을 수 있다.

주장된 규모만 무려 약 3억 건에 달하는 이번 사건은 최근 헬스케어 관련 데이터 탈취 주장 중 가장 큰 규모에 속한다. 맥케슨은 유출이 발생했음을 인정했지만, 실제로 접근되고 도난당한 데이터의 전체 범위는 회사의 조사를 통해 아직 파악 중이다.

PII 및 PHI 탈취가 일반적인 유출보다 더 위험한 이유

모든 데이터 유출이 동일한 위험을 수반하는 것은 아니며, PII와 PHI의 결합은 특히 우려스럽다. 이름, 주소, 전화번호와 같은 PII만으로도 이미 피싱과 신원 도용을 부추길 수 있다. 그러나 여기에 PHI가 더해지면 범죄자들은 개인의 진료 기록, 처방전, 건강 상태에 대한 통찰력을 얻게 된다. 이러한 정보는 가짜 약국 공지, 사기성 보험 청구, 실제 의료 정보를 언급하여 정상적으로 보이도록 하는 표적 피싱 메시지 등 매우 설득력 있는 사기를 꾸미는 데 사용될 수 있다.

또한 PHI는 피해자가 비밀번호나 사회보장번호보다 변경하기가 더 어렵다. 개인의 진단 이력이나 처방 기록은 만료되거나 초기화되지 않으므로 노출된 의료 데이터는 수년간 악의적인 행위자에게 유용하게 남을 수 있다. 이것이 헬스케어 데이터가 다크 웹 시장에서 지속적으로 높은 가격에 거래되는 이유 중 하나이며, 제약 유통업체, 병원 네트워크, 건강 보험사에서 발생한 유출이 협박 그룹의 지속적인 관심을 받는 이유이기도 하다.

맥케슨의 확인 및 협박 기한 설명

맥케슨의 공개 확인은 최근 헬스케어 부문 협박 사건에서 흔히 볼 수 있는 패턴을 따른다. 위협 행위자가 대규모 데이터 탈취를 주장하고, 지불 또는 공개를 위한 기한을 설정하며, 대상 기업은 공개적 압박을 받는 가운데 사고를 검증하고 차단하기 위해 노력한다. 맥케슨이 협박 대치 국면의 중심에 선 것은 이번이 처음이 아니다. 이 회사는 이전에 라이시다(Rhysida) 그룹과 관련된 별도의 랜섬웨어 주장에서도 언급된 바 있으며, 이 사건은 맥케슨의 협박 기반 공격에 대한 지속적인 노출과 헬스케어 및 공급망 기업들이 이러한 그룹의 표적이 되는 광범위한 패턴을 부각시켰다.

맥케슨은 유출이 발생했음을 확인했지만, 도난당한 데이터의 전체 범위를 상세히 밝히지 않았고 샤이니헌터스의 2억 8,400만 건이라는 수치를 확정적으로 검증하지도 않았다. 공격자의 주장과 확인된 손실 간의 차이는 이러한 상황에서 흔하며, 실제 규모는 종종 포렌식 조사 이후에야 더 명확해진다. 다만 확인된 유출 사실 자체만으로도 맥케슨과 연계된 약국, 의료 제공자 또는 공급 채널과 상호작용한 모든 사람이 주의를 기울일 충분한 이유가 된다.

환자와 약국 고객이 지금 취해야 할 조치

맥케슨의 사업이 헬스케어 공급망 특성을 지닌다는 점을 고려할 때, 많은 환자들은 맥케슨이 환자와 직접 상호작용하기보다 약국과 제공자들을 위해 뒤에서 운영되는 경우가 많기 때문에 자신의 데이터가 맥케슨 시스템을 통과했는지조차 인식하지 못할 수 있다. 그럼에도 불구하고 취할 만한 구체적인 조치가 있다:

• 특정 의료 세부 정보, 처방전 또는 제공자 이름을 언급하는 피싱 시도를 경계하라. 이는 도난당한 PHI의 오용을 나타낼 수 있다.
• 귀하의 이름으로 제기된 익숙하지 않은 청구나 청구 내역이 없는지 은행 및 보험 명세서를 모니터링하라.
• 특히 샤이니헌터스가 확보했다고 주장하는 기록의 규모를 고려하여 자격 증명 및 다크 웹 모니터링 서비스를 고려하라.
• 약국이나 의료 제공자를 사칭하여 개인 정보를 "확인"하도록 요청하는 원치 않는 전화나 메시지에 주의하라.
• 조사가 완료되면 특정 지침을 포함할 수 있는 맥케슨 또는 영향받은 약국의 공식 통지를 주시하라.

이것이 당신에게 의미하는 바

맥케슨이라는 이름을 한 번도 들어본 적이 없더라도, 헬스케어 유통업체로서의 역할 때문에 귀하의 데이터가 이 회사가 지원하는 약국이나 제공자를 통해 처리된 기록의 일부일 수 있다. PHI를 포함한 맥케슨 데이터 유출은 병원과 보험사뿐만 아니라 헬스케어 공급망 기업도 취급하는 데이터의 규모와 민감성 때문에 협박 그룹의 고가치 표적이라는 사실을 상기시킨다. 맥케슨의 조사가 완료될 때까지 의료 관련 모든 통신에 더 높은 주의를 기울이는 것이 합리적인 예방 조치다.

맥케슨 유출은 더 넓은 추세를 강조한다. 공격자들이 가장 눈에 띄는 기관뿐만 아니라 헬스케어 시스템의 연결 조직을 점점 더 표적으로 삼고 있다는 것이다. 환자 입장에서 실질적인 대응은 어느 회사가 데이터를 잘못 처리했는지와 관계없이 동일하다. 노출을 가정하고, 그에 따라 모니터링하며, 예상치 못한 의료 관련 연락을 의심하라. 맥케슨의 조사가 진행됨에 따라 정보를 계속 확인하고, 이전에 회사를 대상으로 한 협박 시도가 어떻게 진행되었는지 검토하는 것은 경악에 반응하기보다 실제 위험을 평가하고 적절히 대응하는 데 도움이 될 수 있다.