몇 주 사이에 두 번째 폴란드 의료 소프트웨어 제공업체가 공격을 받았다. 공격자들은 SQL 인젝션 취약점을 이용해 QBUSoft가 의료 사무소와 클리닉에 판매하는 플랫폼인 Medyc에서 환자 데이터를 탈취했다. 폴란드의 Medyc 데이터 유출 PESEL 노출 사건은 8월에 발생한 훨씬 더 큰 규모의 사고에 이어 발생했으며, 두 사건을 함께 보면 기록을 보유한 환자가 아니라 클리닉 소프트웨어를 뒷받침하는 공급업체에 얼마나 큰 위험이 집중되어 있는지가 드러난다.

아래 세부 내용은 Help Net Security의 보도를 바탕으로 한다. 원문 요약의 일부가 잘려 나갔기 때문에, 이 글은 확인된 내용만 다룬다.

Medyc에서 무엇이 탈취되었나

Medyc는 의료 사무소와 클리닉이 환자 접수, 기록 및 처방을 관리하는 데 사용하는 플랫폼이다. 보도에 따르면 해커들은 SQL 인젝션 취약점을 악용해 제공업체로부터 환자 데이터를 탈취했다.

보도는 탈취된 정보에 연락처 정보와 폴란드에서 사용되는 국가 식별 번호인 PESEL 번호가 포함되어 있다고 밝히고 있다. 영향을 받은 환자 수를 포함한 Medyc 탈취 사건의 전체 규모는 제공된 발췌문에서 확인할 수 없었으므로, 우리는 수치를 추측하지 않겠다.

PESEL 번호가 중요한 이유는 장기간 유지되는 식별자이기 때문이다. 비밀번호와 달리 사람이 쉽게 변경할 수 없다. 이름 및 연락처 정보와 결합되면, 사칭 시도를 더욱 그럴듯하게 보이게 하는 데 사용될 수 있다.

MyDr 침해 사고가 어떻게 배경을 만들었나

Medyc 사고는 독립적으로 발생한 것이 아니다. 8월에 공격자들은 약 12,000개의 의료 시설에서 소프트웨어가 사용되는 바르샤바 소재 기업 MyDr로부터 거의 1,900만 명의 데이터를 탈취했다. 그곳에서 유출된 데이터베이스에도 PESEL 번호가 들어 있었다.

규모가 중요한 부분이다. 수천 개의 시설에 서비스를 제공하는 단일 공급업체가 한 국가 인구의 상당 부분에 대한 기록을 한 곳에 보관한다. 그 공급업체가 침해되면, 그것에 의존하는 모든 클리닉이 동시에 영향을 받으며, 환자들은 자신의 의사 사무실이 어떤 소프트웨어를 사용하는지 모르는 경우가 많다.

Medyc 사례는 두 번째 데이터 포인트를 추가한다. 두 개의 서로 다른 공급업체, 두 건의 침해 사고, 그리고 둘 다 동일한 종류의 민감한 식별자를 포함한다. 이러한 패턴은 공격자들이 의료 소프트웨어 제공업체를 효율적인 표적으로 간주한다는 것을 시사한다. 성공적인 침입 한 번으로 많은 클리닉의 기록을 얻을 수 있기 때문이다.

SQL 인젝션이 의료 업체를 계속 공격하는 이유

SQL 인젝션은 가장 오래되었고 가장 잘 이해된 웹 취약점 중 하나이다. 애플리케이션이 사용자가 제공한 입력을 데이터와 명령을 적절히 분리하지 않고 데이터베이스 쿼리에 전달할 때 발생한다. 그러면 공격자는 쿼리를 변경하여 데이터베이스가 반환해서는 안 되는 정보를 반환하도록 만드는 입력을 작성할 수 있다.

해결책은 잘 알려져 있다: 매개변수화된 쿼리, 입력 검증, 최소 권한 데이터베이스 계정 및 정기적인 테스트이다. 그럼에도 이 결함은 계속 나타나며, 특히 수년에 걸쳐 성장했거나 많은 통합을 처리하는 소프트웨어에서 그러하다. 의료 플랫폼은 웹에 노출된 구성 요소를 통해 접수 양식, 처방 및 기록 조회를 처리하기 때문에 종종 그런 설명에 부합한다.

동일한 취약점 유형은 의료 분야 밖에서도 나타난다. 공격자들이 패치되지 않은 GeoServer SQL 인젝션 제로데이를 악용하는 사례에 대한 우리의 보도는 한 가지 유형의 결함이 얼마나 다양한 플랫폼에 사용될 수 있는지를 보여준다. 교훈은 일관된다: 인터넷에 노출된 애플리케이션이 데이터베이스와 통신할 때, 안전하지 않은 쿼리는 심각한 위험이다.

이것이 당신에게 의미하는 것

폴란드의 환자라면, 자신의 클리닉이 Medyc, MyDr 또는 다른 시스템을 사용하는지 알기 어려울 것이다. 이것이 핵심 문제이다. 당신의 데이터는 당신이 선택하지 않은 제3자에게 있으며, 당신 자신의 보안 습관은 그 제3자가 코드를 작성하는 방식에 거의 영향을 미치지 못한다.

VPN은 기기와 서버 사이의 트래픽을 암호화한다. 공급업체가 저장하고 공격자가 공급업체 자체 애플리케이션의 결함을 통해 접근하는 데이터베이스를 보호하지는 않는다. 기기 암호화와 강력한 비밀번호도 마찬가지이다. 유용하지만 공급업체 측 침해를 막지는 못한다.

당신이 할 수 있는 일은 자신의 정보가 오용될 경우 피해를 줄이는 것이다:

  • 건강, 처방 또는 PESEL을 언급하는 예상치 못한 전화, 문자 또는 이메일은 개인 정보를 알고 있는 것처럼 보이더라도 의심하라.
  • 요청하지 않은 연락을 통해 PESEL이나 의료 정보를 공유하지 마라. 직접 찾은 번호로 클리닉에 연락하라.
  • 자신의 데이터가 관련되었는지에 대해 클리닉이나 규제 기관에서 오는 공식 통지를 주시하라.
  • 이메일과 금융 계정에 강력하고 고유한 비밀번호와 2단계 인증을 사용하라. 신원 데이터 유출 후 흔한 표적이 되기 때문이다.
  • 자신의 금융 및 신용 관련 기록에서 인식하지 못하는 활동이 있는지 확인하라.

핵심 요약

거의 1,900만 명에게 영향을 미친 MyDr 유출에 이어 발생한 폴란드의 Medyc 데이터 유출 PESEL 노출 사건은 집중화된 의료 소프트웨어 공급업체가 단일 실패 지점임을 보여준다. VPN과 같은 개인 도구는 사생활 보호 브라우징에 사용할 가치가 있지만, 공급업체 데이터베이스 내부의 결함을 고칠 수는 없다. 그에 대한 책임은 SQL 인젝션과 같은 기본적인 문제를 해결해야 하는 제공업체와 그들을 감독하는 규제 기관에 있다.

독자들에게 실질적인 단계는 유출된 식별자를 사용하는 사칭과 피싱에 대한 경계이다. 동일한 결함 유형이 다른 곳에서 어떻게 악용되는지 보려면 GeoServer SQL 인젝션 제로데이에 대한 우리의 보고서를 읽어보라.