노보 노디스크, 1TB 데이터 유출 의혹 관련 당국에 연락
제약 대기업 노보 노디스크가 해킹 그룹이 회사 데이터 1테라바이트 이상을 탈취해 공개했다고 주장한 후 관련 당국과 접촉 중임을 확인했습니다. 당뇨병 및 체중 감량 치료제로 잘 알려진 이 제약사는 보고된 사건을 조사하는 동안 시스템을 모니터링하고 정상적인 운영을 유지하고 있다고 밝혔습니다.
이번 상황은 의료 및 제약 회사가 민감한 데이터를 어떻게 처리하는지, 그리고 신뢰하는 조직이 표적이 되었을 때 환자와 직원이 무엇을 할 수 있는지에 대한 시급한 질문을 던집니다.
현재까지 노보 노디스크가 밝힌 내용
노보 노디스크의 대응은 신중했습니다. 회사는 해당 주장을 인지하고 있으며, 대응 과정의 일환으로 당국과 협력하고 있다고 밝혔습니다. 해킹 그룹이 데이터를 공개했다는 점은 인정했지만, 정확히 어떤 정보가 영향을 받았는지 또는 어떻게 유출이 발생했는지에 대한 구체적인 확인은 제공하지 않았습니다.
이러한 신중하고 제한적인 공개는 기업 사이버 사고 초기 단계에서 흔히 나타납니다. 기업은 영향을 받은 당사자에게 통지해야 할 법적 의무, 확정적인 성명을 발표하기 전에 조사해야 하는 운영상의 필요성, 그리고 지나치게 소통하거나 심각한 사건을 축소하는 듯 보일 경우의 평판 리스크라는 상충되는 압박에 직면합니다. 그 결과 잠재적 피해자에게 명확한 답을 주지 못하는 대기 기간이 생기는 경우가 많습니다.
별도로 보도된 바와 같이, 이번 사건은 공격자가 데이터를 훔친 후 요구 사항이 충족되지 않으면 공개하겠다고 위협하는 사이버 갈취 캠페인과 일치하는 특징을 보입니다. 이러한 패턴은 다양한 산업에서 점점 더 흔해지고 있지만, 임상 기록, 환자 식별 정보, 독점 연구 데이터가 연루될 수 있는 의료 및 제약 분야에서는 특히 더 무겁게 다가옵니다.
이번 유출을 둘러싼 주장에 대한 더 넓은 맥락과 유출된 것으로 알려진 데이터 유형에 대한 보도 내용을 포함한 자세한 배경 정보는 Novo Nordisk Hit by 1.3TB Breach: Clinical Trial Data Stolen에서 확인할 수 있습니다.
제약 데이터 유출이 특히 심각한 이유
대부분의 사람들은 데이터 유출을 금융 정보, 비밀번호 또는 소셜 미디어 계정과 연관 짓습니다. 대형 제약 회사와 관련된 유출은 다르며 잠재적으로 더 오래 지속되는 결과를 초래할 수 있습니다.
제약 회사는 임상시험 참가자 기록, 병력, 직원 개인정보, 독점적 신약 개발 연구, 그리고 경우에 따라 회사와 상호작용하는 의료 전문가에 대한 정보 등 다양한 민감 범주의 데이터를 보유합니다. 취소하고 새로 발급받을 수 있는 신용카드 번호와 달리 건강 정보는 영구적입니다. 이는 보험 사기, 신원 도용, 또는 개인의 병력 정보를 악용한 표적 피싱 공격에 사용될 수 있습니다.
바로 이러한 민감성 때문에 의료 부문은 갈취 그룹의 주요 표적이 되어 왔습니다. 위험 부담이 너무 크기 때문에 조직이 요구에 응할 압박을 느낄 수 있으며, 많은 관할권의 규제 기관은 건강 데이터 유출을 특히 심각하게 다룹니다. 서드파티 클라우드 애플리케이션과 연루된 iRhythm 유출 사건에서도 유사한 역학이 작용했는데, 이 경우 회사의 직접적인 인프라가 아닌 외부 시스템을 통해 환자 건강 정보가 노출되었습니다.
이것이 여러분께 의미하는 바
노보 노디스크의 임상시험에 참여했거나 이 회사의 의약품을 사용한 환자, 혹은 담당 의료진이 이 회사와 상호작용한 적이 있다면, 공식 통지가 도착하기 전이라도 이번 탈취 사건에 여러분의 데이터가 포함되었을 가능성을 심각하게 받아들일 필요가 있습니다.
지금 당장 할 수 있는 조치는 다음과 같습니다.
피싱을 조심하세요. 탈취된 데이터를 공개하는 갈취 그룹은 종종 이를 다른 범죄자에게 판매하거나 배포합니다. 여러분의 건강 상태, 복용 중인 약물 또는 개인정보를 언급하는 이메일이나 메시지가 늘어날 수 있습니다. 건강과 관련된 원치 않는 연락은 더욱 경계심을 가지고 대하세요.
건강보험 명세서를 검토하세요. 도난당한 건강 데이터를 이용한 사기 청구는 유출 몇 달 후에 나타날 수 있습니다. 받지 않은 서비스나 방문하지 않은 의료기관이 청구된 내역이 없는지 확인하세요.
공식 통지를 확인하세요. 거주 지역에 따라 노보 노디스크는 영향을 받은 개인에게 통지해야 할 법적 의무가 있을 수 있습니다. EU의 GDPR과 미국의 HIPAA(해당되는 경우)에 따른 규제 기관은 통지 시한을 정하고 있습니다. 회사나 관련 보건 당국의 공식 연락을 주시하세요.
강력하고 고유한 인증 정보를 사용하세요. 노보 노디스크나 관련 의료 포털에 계정이 있다면 즉시 비밀번호를 변경하고 다중 인증을 활성화하세요.
개인정보 감사를 고려하세요. 이번 사건은 제약 회사든 다른 조직이든 자신이 어떤 데이터를 공유하고 있는지 점검하고, 가능하다면 불필요한 데이터 공유를 최소화하는 계기로 삼을 수 있습니다.
주목할 만한 더 큰 흐름
노보 노디스크는 예외적인 사례가 아닙니다. 주요 제약 및 의료 회사들은 최근 몇 년간 급증하는 사이버 갈취와 데이터 탈취 시도에 직면해 왔습니다. 이들 조직은 방대한 양의 민감 정보를 보유하고 있으며, 그 시스템은 복잡한 글로벌 공급망, 파트너 네트워크, 그리고 균일하게 보안을 유지하기 어려운 레거시 IT 환경에 걸쳐 있는 경우가 많습니다.
이번 사건이 주목할 만한 점은 탈취된 것으로 추정되는 데이터의 규모와 노보 노디스크의 글로벌 운영을 고려할 때 여러 관할권의 당국이 연루되었을 가능성입니다. 이번 조사 결과는 동종 업계 기업들이 자사의 데이터 보안 태세를 어떻게 갖출지에 영향을 미칠 것입니다.
개인에게 중요한 교훈은 개인정보 보호를 온전히 데이터를 보유한 조직에 맡길 수 없다는 점입니다. 데이터 최소화, 인증 정보 관리, 사회공학적 공격에 대한 경계와 같은 개인적 습관을 기르는 것은 기술 업계 종사자든 단순히 의료 서비스를 받는 사람이든 점점 더 필수적이 되고 있습니다. 이 상황이 계속 전개되는 동안 노보 노디스크와 관련 규제 기관의 공식 업데이트에 지속적으로 주의를 기울이시기 바랍니다.
