블룸버그는 지난해 발생한 오라클 헬스 유출 사고로 약 2,000만 명이 영향을 받았다고 보도했으며, 기즈모도가 이를 보도했다. 만약 이 수치가 정확하다면, 오라클 헬스 데이터 유출 2,000만 명 규모는 단일 기술 공급업체와 연관된 대규모 의료 데이터 침해 사고 중 하나에 해당한다. 원문 보도는 짧기 때문에, 이 기사는 보도된 내용만 다루고 아직 알려지지 않은 부분을 명확히 짚는다. ## 블룸버그가 오라클 헬스 데이터 유출에 대해 보도한 내용 핵심 주장은 단순하다. 블룸버그는 지난해 발생한 유출 사고로 약 2,000만 명이 영향을 받았다고 밝혔다. 오라클 헬스는 오라클의 의료 기술 부문으로, 이 분야의 공급업체들은 많은 병원과 진료소를 대신해 기록을 처리한다. 즉, 단일 침해가 해당 공급업체와 직접적인 관계가 없던 환자들에게까지 영향을 미칠 수 있다는 의미다. 해당 보도의 요약에는 이 수치가 어떻게 산출되었는지, 어떤 조직이 관련되었는지, 또는 정보가 더 나오면서 수치가 어떻게 바뀔 수 있는지는 설명되지 않았다. 2,000만 명이라는 추정치는 확정된 최종 수치가 아니라 보도된 수치로 받아들여야 한다. ## 노출된 데이터에 대해 아직 알려지지 않은 점 현재까지의 보도에서는 어떤 범주의 데이터가 노출되었는지 명시되지 않았다. 의료 유출 사고는 연락처 정보와 보험 식별자부터 임상 기록에 이르기까지 다양한 정보를 포함할 수 있지만, 이 사안에 어떤 것이 해당하는지는 말할 수 없으며 추측하는 것은 잘못된 일이다. 여러 가지 질문이 아직 열려 있다: - 어떤 유형의 개인정보 또는 의료 정보가 유출되었는지 - 공격자가 어떻게 접근 권한을 얻었는지 - 2,000만 명에 어떤 의료 제공자와 환자가 포함되는지 - 영향을 받은 개인에게 직접 통지가 이루어졌는지, 또는 앞으로 이루어질지 오라클, 영향을 받은 제공자, 또는 규제 당국이 더 자세한 내용을 제공할 때까지, 개인은 자신이 영향을 받은 사람에 포함되는지 알 방법이 제한적이다. 이러한 불확실성 자체가 이 사안의 일부다. ## 의료 기술 공급업체가 주요 표적이 되는 이유 의료 기술 공급업체는 방대한 양의 민감한 정보를 한 곳에 집중시킨다. 수백 개의 병원을 하나씩 공격하는 대신, 단일 공급업체를 침해한 공격자는 잠재적으로 여러 조직의 기록에 한 번에 접근할 수 있다. 이것이 단일 사고로 2,000만 명이라는 수치가 가능한 이유다. 의료 데이터는 변경하기도 어렵다. 도난당한 비밀번호나 결제 카드는 교체할 수 있지만, 의료 이력은 재발급받을 수 없다. 이것이 이 분야가 범죄자들의 지속적인 관심을 받는 일반적인 이유다. 이러한 패턴은 의료 IT에만 국한되지 않는다. [노보 노디스크 유출 사고와 풀크럼섹 그룹의 GitHub 토큰 악용](/en/novo-nordisk-breach-fulcrumsec-exploited-github-tokens)에 대한 우리의 보도는 공격자들이 제약 산업 쪽도 노린다는 것을 보여준다. ## 이것이 당신에게 의미하는 것 불편한 부분은 이것이다. 당신의 데이터가 공급업체에 있다면, 그것이 어떻게 보호되는지에 대해 발언권이 없는 경우가 많고, 당신이 취할 수 있는 실질적인 조치도 제한적이다. 당신은 병원의 소프트웨어 공급업체를 감사할 수 없다. 예를 들어 VPN은 전송 중인 트래픽을 보호하지만 공급업체 시스템에 저장된 기록을 안전하게 보호하는 데는 아무런 도움이 되지 않으므로, 이런 종류의 사고에 대한 방어책이 아니다. 당신이 할 수 있는 일은 정보가 악용될 경우 피해를 줄이고 문제를 조기에 발견하는 것이다. 정보를 잘 파악하고, 의심스러운 활동을 주시하고, 신속하게 대응하는 것이 여기서는 어떤 단일 도구보다 더 중요하다. ## 영향을 받은 환자가 지금 할 수 있는 일 전체 세부 내용이 없더라도 몇 가지 합리적인 조치가 적용된다: 1. **통지를 주시하라.** 진료 제공자나 관련 조직이 이 사고에 대해 연락한다면, 주의 깊게 읽고 이미 신뢰하는 전화번호나 사이트를 통해 조직에 연락하여 그것이 정당한지 확인하라. 2. **보험 명세서를 검토하라.** 인식하지 못하는 서비스에 대한 진료비 설명서를 살펴보라. 3. **의료 기록과 환자 포털을 확인하라.** 자신이 하지 않은 항목, 처방, 변경 사항이 있는지 찾아보라. 4. **금융 계좌를 모니터링하라.** 은행 및 신용카드 활동을 주시하고, 신용 보고서 확인도 고려하라. 5. **예상치 못한 메시지를 의심하라.** 당신의 진료나 보험을 언급하는 전화, 문자, 이메일은 피싱 시도일 수 있다. 먼저 연락해 온 사람에게 세부 정보를 공유하지 마라. 6. **계정을 보호하라.** 환자 포털과 이메일에 고유한 비밀번호를 사용하고 다중 인증을 활성화하라. ## 결론 보도된 오라클 헬스 데이터 유출 2,000만 명이라는 수치는 당신의 건강 정보가 그것을 처리하는 가장 취약한 공급업체만큼만 안전하다는 것을 상기시켜 준다. 아직 확인되지 않은 부분이 많으므로, 공식 업데이트를 주시하고 최악이나 최선을 가정하지 마라. 그동안 계좌와 의료 기록을 모니터링하고, 의심스러운 연락에 주의하고, [노보 노디스크 유출 사고](/en/novo-nordisk-breach-fulcrumsec-exploited-github-tokens)를 포함해 공격자들이 더 넓은 산업을 어떻게 표적으로 삼고 있는지 읽어봄으로써, 통제할 수 없는 위험을 이해하고 통제할 수 있는 위험에 대비하라.