의료 분야의 사이버 보안 사고는 빠르게 증가하고 있지만, 여전히 많은 기관이 해커에 대한 진지한 대응 조치를 취하지 않고 있습니다. 공격자들이 단순히 금전적 자산뿐만 아니라 그보다 훨씬 심각한 인명까지 노리고 있다는 사실에도 불구하고 말입니다.
이번 글에서는 의료기관 보안의 현주소를 살펴보고, 앞으로 우리에게 어떤 일이 닥칠지 예측해 보겠습니다.
해커들이 의료 산업에 주목하는 이유
최근 해커들은 의료 산업에 큰 관심을 보이고 있습니다. 팬데믹을 계기로 수많은 사기범들이 이 분야로 몰려들면서, 우리에 대한 정보를 거의 모두 알고 있다고 해도 과언이 아닙니다.
안타깝게도 일부 경우에는 심각한 인명 피해로 이어지기도 했습니다. 몇 달 전에는 랜섬웨어 공격으로 의료시설 환자가 사망하는 사건도 발생했습니다.
사이버 범죄자들의 행위는 의료기관에 막대한 재정적 손실을 안겨줍니다. 2016년 Protenus는 미국 의료기관의 정보 보안 유출로 인한 재정 손실을 62억 달러로 추산했습니다. Cybersecurity Ventures는 2017년부터 2021년까지 의료 산업 전체가 사이버 보안 제품과 서비스에 650억 달러 이상을 지출할 것으로 예측했으며, 2019년에는 다른 산업보다 2~3배 많은 사이버 공격을 받을 것이라고 전망했습니다. 최근 몇 년간 이 부문의 사고 데이터는 기하급수적으로 증가하고 있습니다.
미국 보건복지부(HHS)에 따르면 2019년 의료 데이터 유출 사고는 510건으로, 2018년보다 196%나 증가했습니다. 카스퍼스키랩(Kaspersky Lab)에 따르면 2019년 전 세계 의료기관에서 5대 중 1대의 장치가 공격당했으며, 주로 랜섬웨어 감염으로 인해 이 수치는 계속 증가할 것으로 예측됩니다.
왜 해커들은 병원을 공격할까?
사이버 범죄자들을 의료 분야로 이끄는 요인은 무엇일까요? 첫 번째는 공격 실행의 용이성입니다. 의료기관은 낡은 IT 시스템을 사용하는 경우가 많고 소프트웨어 업데이트도 드물게 진행합니다. 따라서 이러한 시스템에는 수백 개의 위험한 취약점이 존재하며, 고도의 기술력이 없는 초보 해커들조차 침입할 수 있는 통로가 됩니다. 결국 공격 비용이 극히 낮은 데다 환자 데이터라는 매력적인 목표물까지 있으니, 이 요인이 결정적으로 작용하는 셈입니다.
또한 의료기관에는 숙련된 사이버 보안 인력이 부족한 경우가 많습니다. 데이터 유출은 상당수가 데이터베이스가 암시장에 판매되거나 공개된 후에야 발견됩니다.
Black Book의 설문조사에 따르면 2019년 기준 전체 병원 중 전담 보안 책임자를 두고 있다고 답한 곳은 21%에 불과했으며, 최고 정보보안책임자(CISO)를 보유한 곳은 6%에 지나지 않았습니다.
유능한 IT 전문가의 부재는 갑작스러운 위기 대응을 어렵게 만듭니다. 예컨대 바이러스가 모든 데이터를 암호화하고 몸값을 요구하는 상황에서, 병원들은 해커에게 돈을 지불하고 접근 권한을 회복하며 언론 보도를 피하는 쪽을 선택합니다. 하지만 이런 대응이 오히려 공격자들에게 더 큰 동기를 부여한다는 사실을 인식하지 못합니다.
의료 데이터의 가치 역시 계속 상승하고 있습니다. 카스퍼스키랩 연구에 따르면 다크넷에서 의료 정보의 거래 가격은 은행 카드 정보보다 높습니다. Cybersecurity Ventures는 도난당한 환자의 의료 기록 하나가 건당 최대 60달러에 달한다고 추산하는데, 이는 신용카드 정보보다 10~20배 높은 금액입니다.
이러한 개인 정보를 확보한 사이버 범죄자들은 사람과 그 가족들을 속이는 데 활용합니다. 또한 해커들은 의료 기록을 변조하여 질병 진단을 어렵게 만들 수 있으며, 질병 정보를 공개하겠다고 협박해 환자를 갈취하기도 합니다.
여기에 더해, 사이버 범죄자들은 치료 비용 정보에도 관심을 갖습니다. 이를 통해 클리닉 파트너나 고객이 보유한 자금 규모 등을 파악하는 데 악용할 수 있기 때문입니다.
해커들의 주요 공격 경로
공개된 데이터에 따르면 2019년 의료기관의 정보 보안 문제 대부분은 이메일 시스템과 피싱 공격과 관련이 있었습니다.
이 외에도 외부 접속이 허용된 의료기관 서비스를 대상으로 한 무차별 대입(brute-force) 공격이 대량으로 확인되었습니다. 이 공격 벡터는 원격 접속에 가장 널리 사용되며 팬데믹 시기에 특히 중요해진 RDP 프로토콜을 악용합니다.
이 방식의 핵심은 공격자들이 보안이 취약한 직원 계정을 찾아 해킹한 뒤, 회사의 공개 서비스에 접근하여 내부망에 침투하는 것입니다. 그 결과 데이터를 탈취할 뿐만 아니라 악성 프로그램까지 유포할 수 있습니다.
의료 시스템에 대한 사이버 공격의 결과
의료 분야에 대한 공격은 처참한 결과를 낳습니다. 영국 전문가들의 연구에 따르면, Windows 운영체제 취약점을 노린 WannaCry 랜섬웨어 단 한 번의 공격만으로도 영국 병원들은 약 1억 파운드의 손실을 입었고, 환자 진료에 심각한 차질이 생겼습니다. 영국 국민보건서비스(NHS) 시설의 3분의 1 이상과 일반의 진료소의 8%에서 약 1만 9천 건의 예진 및 계획 수술이 취소되었습니다.
Black Book 전문가들은 2019년 미국 병원의 데이터 유출로 인한 평균 재정 손실이 건당 423달러에 달한다고 계산했습니다. 또한 대형 의료기관 마케팅 임원 58명을 대상으로 설문조사를 진행한 결과, 지난 18개월간 데이터 유출과 정보 도난으로 인한 부정적 보도의 후속 조치에 5만 1천~10만 달러를 지출한 것으로 나타났습니다.
해커의 의료기관 개입으로 발생한 최악의 사고는 환자 사망과 직결됩니다. 밴더빌트 대학교 연구진은 보건복지부(HHS)가 작성한 건강 데이터 유출 목록을 활용해 3천 개 이상의 병원에서 환자 사망률을 분석했습니다. 그 결과, 매년 수백 개 조사 대상 병원에서 이러한 사고가 발생한 후 심장마비 환자 1만 명당 36명의 추가 사망이 발생한 것으로 밝혀졌습니다. 특히 시스템 장애가 발생한 의료센터에서는 심장마비가 의심되는 환자가 심전도 검사를 받기까지 더 오랜 시간이 걸렸습니다.
독일 뒤셀도르프 대학병원 관계자들은 랜섬웨어에 컴퓨터가 감염되어 환자를 치료할 수 없었다고 밝힌 바 있습니다. 해당 여성 환자는 다른 도시의 병원으로 이송되던 중 사망했습니다.
결론: 함께 준비해야 할 때
의료기관은 사이버 공격의 횟수와 정교함이 계속 증가할 것임을 인식해야 합니다. 사고를 공개하지 않고 독자적으로 정보 보안 문제를 해결하려 할수록 상황은 더욱 악화됩니다.
지금 이 순간에도 의료시설에 대한 공격은 수백만 달러의 재정 손실뿐 아니라 인명 피해까지 초래하고 있습니다. 팬데믹 상황에서 이러한 위험은 더욱 커질 것입니다.
또한 전문가들은 가까운 미래에 인터넷에 연결된 병원 및 진단센터 내 다양한 의료 기기와 관련된 사고가 증가할 것으로 확신합니다.
의료 서비스의 디지털화가 가속화되면서 점점 더 많은 소프트웨어와 정보 시스템이 도입되고 있습니다. 원격의료(텔레메디슨) 서비스에 대한 수요 역시 꾸준히 늘고 있습니다. 이러한 모든 요인은 해커에게 더 많은 기회를 열어주며, 그들은 반드시 이를 악용할 것입니다.
향후 5년간 의료기관의 핵심 과제는 보안 인식 강화가 될 것입니다. 정부, 대형 의료기관, 소규모 클리닉이 힘을 모아 유능한 IT 전문가를 확보하고, 문제를 함께 해결하기 위한 대화를 시작해야 할 때입니다.