케어클라우드 해킹 피해자 34만→376만명, 5개월 만에 10배로 불어났다

미국 헬스케어 기술 기업 케어클라우드(CareCloud)가 올해 초 발생한 해킹 사고로 376만여 명의 개인정보가 유출됐다고 확인했다. 전자의무기록(EHR)과 의료 청구·진료관리 서비스를 제공하는 이 회사는 지난 3월 미국 증권거래위원회(SEC)에 사고를 처음 신고했지만, 정확한 피해 규모는 이번 달에야 드러났다. 미국 보건복지부(HHS) 유출 추적 시스템이 피해자 수를 약 34만5000명에서 375만6469명으로 정정하면서다. 유출된 정보에는 이름과 주소, 생년월일뿐 아니라 사회보장번호(SSN), 운전면허·여권번호, 의료기록, 건강보험 정보, 계좌와 신용카드 정보까지 포함됐다. 업계에서는 올해 공개된 헬스케어 데이터 침해 사고 중 최대 규모로 보고 있다.

AWS 환경 6일간 뚫려…8시간 시스템 마비

케어클라우드는 지난 3월 10일부터 16일까지(현지시각) 아마존웹서비스(AWS) 환경 중 하나에 신원 미확인 제3자가 무단 접근했다고 밝혔다. 이 침입으로 회사가 운영하는 6개 EHR 환경 중 하나가 8시간 동안 마비됐고, 시스템은 같은 날 저녁 복구됐다. 포렌식 조사 결과 공격자는 해당 환경 내 데이터베이스에서 정보를 빼냈다고 주장한 것으로 확인됐다.

침입이 실제로 발생한 시점과 회사가 이를 인지한 시점 사이에는 시차가 있었다. 사고가 운영상 눈에 띈 것은 16일 시스템 마비 때였지만, 조사 결과 공격자는 이미 10일부터 환경에 접근해 있었던 것으로 나타났다. 케어클라우드는 사고 인지 후 접근을 차단했고 이후 추가적인 무단 활동은 발견되지 않았다고 설명했다.

34만 명에서 376만 명으로…5개월 만에 10배 넘게 불어난 피해 규모

케어클라우드는 지난 7월 25일 미국 내 약 34만5000명에게 유출 통지서를 발송했다. 주정부 신고 기준으로도 당시 규모는 약 35만 명 수준이었다. 그러나 이후 HHS 유출 추적 시스템에 등록된 최종 피해자 수는 375만6469명으로, 처음 알려진 규모보다 10배 이상 늘었다.

이 같은 격차는 조사가 진행되면서 어떤 기록과 개인이 영향을 받았는지 파악하는 데 시간이 걸렸기 때문으로 풀이된다. 시스템 복구는 몇 시간 만에 끝났지만, 실제 데이터가 어떻게 됐는지 확인하는 데는 5개월이 걸렸다. 이는 시스템 복구 시간이 침해 심각성을 보여주는 지표가 될 수 없음을 보여주는 사례로 꼽힌다. 특히 여러 의료기관의 환자 정보를 한꺼번에 보관하는 헬스케어 기술업체일수록 이런 격차가 크게 벌어질 수 있다는 지적이 나온다.

신용카드 CVV까지…장기간 악용 가능한 정보 대거 유출

유출된 정보는 신원 확인용 데이터와 의료 정보가 뒤섞여 있어 위험도가 특히 높다는 평가다. 이름, 주소, 생년월일 같은 기본 정보 외에 사회보장번호와 운전면허·여권번호, 의료기록, 건강보험 정보가 포함됐다. 일부 피해자에 대해서는 계좌 정보와 CVV를 포함한 전체 신용카드 정보까지 유출된 것으로 나타났다.

코르시카 테크놀로지스(Corsica Technologies) 최고정보보호책임자(CISO) 로스 필리펙(Ross Filipek)은 “이번 사고는 단순한 대규모 유출이 아니라 하나의 경고”라고 말했다. 그는 “거의 400만 명에 달하는 환자 정보가 노출된 것은 단 하나의 헬스케어 기술업체 뒤에 얼마나 많은 민감 정보가 집중돼 있는지를 보여준다”고 지적했다. 이어 “이 정도 규모의 보호대상 건강정보를 다루는 업체라면 법적·규제 리스크도 상당해 케어클라우드에 값비싼 후폭풍이 될 수 있다”고 덧붙였다. 그는 또 유출된 정보가 “사고가 끝난 뒤에도 오랫동안 범죄자들이 활용할 수 있는 재료”라며 피싱, 의료 사기 등 2차 피해 가능성을 경고했다.

공격자 미확인…환자들은 “케어클라우드를 처음 듣는다”

현재까지 이번 공격을 자신들의 소행이라고 주장한 랜섬웨어 조직이나 데이터 탈취 조직은 없다. 몸값 요구가 있었는지, 실제 지급됐는지도 확인되지 않았다. 케어클라우드 측은 “사고 인지 즉시 조사에 착수해 문제를 봉쇄·해결하는 조치를 취했다”며 “외부 사이버보안 전문가와 함께 영향을 받은 환경을 보안 조치하고 위협을 제거했으며, 지속적인 무단 접근이 남아있지 않음을 확인했다”고 밝혔다.

케어클라우드는 환자와 직접적인 계약 관계가 없는 구조다. 이 때문에 통지를 받은 상당수 피해자는 이번 일로 회사 이름을 처음 접하게 될 가능성이 크다. 회사는 통지 대상자에게 신원보호업체 아이디엑스(IDX)를 통한 12개월 또는 24개월 신원보호 서비스를 제공하며, 이는 12월 17일까지 신청할 수 있다. 통지서에는 현재까지 신원도용 시도가 확인된 바 없다고 안내됐지만, 유출된 정보가 향후 피싱과 의료 사기 등에 악용될 수 있다는 우려는 여전히 남아 있다.