온라인 신분 도용에 대한 경각심이 날로 높아지고 있습니다.
요즘은 주요 기업이 데이터 유출 사고를 겪었다는 뉴스를 접하지 않는 날이 드물습니다. 다만 피해 규모가 크거나 고객 데이터가 대량으로 유출된 경우가 아니면 그 심각성까지는 잘 알려지지 않죠. 마찬가지로 우리는 의료 기록도 똑같이 철저히 보호해야 할 개인 정보로 여깁니다. 의료 기록에는 민감한 개인 정보가 담겨 있어, 잘못된 손에 들어가면 우리에게 악영향을 미칠 수 있습니다.
의료 기록의 프라이버시가 얼마나 중요한지는 오래전부터 인식해 왔고, 다행히 의사와 간호사는 그 프라이버시를 지키기로 맹세한 사람들입니다. 종이 문서로 모든 것이 처리되던 시절에는 무단 열람이란 눈속임이나 내부자의 소행 정도에 그쳤습니다.
그러나 이제 전 세계 의료 산업은 디지털화되었고, 우리의 기록 역시 그렇습니다. 디지털 의료 기록은 엄청난 장점을 지니고 있지만, 그만큼 개인 정보를 위험에 노출시키는 일이 과연 가치가 있는 걸까요?
의료 신분 도용(Medical Identity Theft)
의료 신분 도용이 급증하고 있다는 사실은 부정할 수 없습니다. 전통적으로 은행 계좌나 온라인 계정 정보를 노려 온 사기꾼들이 점점 더 의료 기록으로 눈을 돌리고 있습니다. 왜일까요? 한 가지 이유는 의료 기록에 우리 모두가 소중히 여기는 '생명'과 관련된 가장 개인적인 정보가 가득하기 때문입니다.
의료 기록에는 이름, 주소, 생년월일, 주민등록번호(또는 이에 상응하는 번호) 등 모든 개인 정보가 담겨 있으며, 경우에 따라서는 청구 정보나 신용카드·체크카드 정보까지 포함되어 있습니다. 당연히 의료 기록은 매우 가치 있는 표적이며, 은행 계좌 정보보다 더 가치 있을 수도 있습니다(계좌에 0이 몇 개 붙어 있느냐에 따라 다르겠지만요!).
게다가 해커들이 의료 기록에 비교적 쉽게 접근할 수 있다는 점이 이들을 더욱 끌어당깁니다. 의료 기록이 언젠가 디지털화될 것이라는 사실은 오래전부터 예견되어 있었음에도, 많은 의료기관은 사이버 범죄라는 만연한 위협에 대처할 준비가 전혀 되어 있지 않습니다. 실제로 잠재적 공격을 보고한 미국 의료기관의 비율은 2009년 20%에서 2013년 40%로 두 배로 늘었습니다. 2015년 한 해에만 5개 의료기관에서 공식 보고된 유출 개인 기록이 총 1억 880만 건에 달했고, 해당 기관들은 모두 네트워크 서버가 침해당했다고 밝혔습니다.
참고: 위 표의 피해자 수는 백만 명 단위입니다.
앞으로 어떤 일이 벌어질까?
의료 이력이 낯선 손에 넘어간다는 문제 외에도 또 하나의 그림자가 드리워지고 있습니다. 최근 의료 하드웨어의 발전은 기적이라 불릴 만하지만, 이전 세대와 결정적으로 다른 점이 하나 있습니다. 바로 네트워크 연결 여부입니다. 현재 수많은 의료 기기가 병원 네트워크에 연결되어 있어, 해커가 특정 기기에 직접 접근할 가능성이 생겼습니다.
'Predictions 2016: Cybersecurity Swings To Prevention'이라는 제목의 충격적인 보고서에서는 2016년부터 랜섬웨어가 의료 장비를 공격하기 시작할 것이라고 예측했습니다.
위험의 근본 원인은 네트워크 보안에 대한 기초 지식 부족입니다. 2012년 당시 에센티아 헬스(Essentia Health) 정보보안 책임자였던 스콧 어번(Scott Erven, 현 프로토비티 부국장)은 미국 중서부 대형 의료기관 체인의 보안 진단을 맡았습니다. 지적된 문제 목록에서 드러난 바로는, 의료기관들이 여전히 "admin"이나 "1234" 같은 하드코딩된 네트워크 비밀번호를 사용하고 있었습니다. 이는 시클런스(Cylance)의 연구원 빌리 리오스(Billy Rios)와 테리 맥코클(Terry McCorkle)이 약 300개 의료 기기가 여전히 하드코딩된 비밀번호를 사용한다고 보고한 ICS-ALERT-13-164-01 및 기존 보고서들과도 일치하는 내용입니다.
이런 초보적인 인증 방식은 충분히 피할 수 있었던 대규모 보안 문제를 양산하고 있으며, 적어도 공격자의 침입을 더 어렵게 만드는 조치는 가능했습니다. 최선의 경우에는 금전 갈취가 늘어나겠죠.
최악의 경우에는 사람이 죽습니다.
MEDJACK
디셉션(deception) 기반 사이버보안 기업인 트랩X(TrapX)는 의료기관을 상대로 한 광범위한 공격 물결을 확인했으며, 이 공격들은 주로 병원의 의료 기기를 표적으로 삼고 있었습니다. 트랩X는 세 곳의 병원에서 "X선 장비, 영상 저장 전송 시스템(PACS), 혈액가스분석기(BGA) 등 다양한 의료 기기의 광범위한 침해"를 발견했습니다.
그러나 MEDJACK 공격 벡터는 여기서 끝나지 않습니다. 트랩X는 다음과 같이 경고합니다.
"MEDJACK의 표적이 될 수 있는 기기는 이 외에도 많습니다. 여기에는 진단 장비(PET 스캐너, CT 스캐너, MRI 장비 등), 치료 장비(주입 펌프, 의료 레이저, LASIK 수술 장비), 생명 유지 장비(인공심폐기, 인공호흡기, 체외막산소공급기(ECMO), 투석기) 등이 포함됩니다."
보고서는 이어서 침해당하는 의료 기기 상당수가 폐쇄형 시스템으로, Windows 2000이나 Windows XP 같은 구형 운영체제에서 구동된다고 설명합니다. 이 운영체제들은 자주 수정되고 보안 취약점으로 가득 차 있어, 어떤 병원 네트워크에든 거대한 취약점이 됩니다. 대부분의 경우 이런 기기를 사용·운영하는 의료진은 내부 구조에 접근할 수 없기 때문에, 제조사가 최신이면서도 견고한 보안 방벽을 설치해 주기만을 바랄 수밖에 없는데, 안타깝게도 현재는 그렇게 이루어지지 않고 있습니다.
문제는 몇몇 병원에 국한되지도 않습니다. 다양한 제조사가 전 세계 의료기관에 방대한 종류의 장비를 공급하고 있어, 다음 취약점이 어디서 드러날지 특정하기 어렵습니다.
예를 들어 FDA가 의료 장비 보안 강화를 제조사에 권고했을 때, 미국 국토안보부(DHS)는 "호스피라(Hospira Inc.)의 주입 펌프, 메드트로닉(Medtronic Inc.)과 세인트주드 메디컬(St Jude Medical Inc.)의 이식형 심장 장치"를 포함해 24건의 사이버보안 결함 의혹 사례를 조사 중이라고 밝혔습니다.
DHS의 조사는 계속되고 있습니다.
의료 기록 판매
납치된 의료 장비만큼 생명을 직접 위협하지는 않지만, 개인 의료 기록은 점점 더 데이터 마이닝 회사에 판매되고 있습니다. 때로는 데이터의 활용도와 가치를 높이기 위해 우편번호까지 함께 판매되기도 합니다.
그러나 데이터가 일단 의료기관을 떠나면, 정보가 악의적인 손에 들어갈 가능성이 커집니다. 이미 2013년 8월부터 무려 11개 보건 기구가 데이터 수집 정책 검토를 시작했거나 진행 중이었으며, 여기에는 데이터 판매 절차가 어떻게 이루어지는지, 데이터 마이닝 회사에 어떤 책임이 부과되어야 하는지 등이 포함되어 있었습니다.
솔트레이크시티 인터마운틴 헬스케어(Intermountain Healthcare)의 최고정보책임자(CIO) 마크 프로브스트(Marc Probst)는 "그 데이터를 사는 유일한 이유는 허위 청구를 하기 위해서다"라고 지적합니다. 즉, 해당 의료 기록을 이용해 누군가 겁에 질려 돈을 지불하길 바라는 것입니다. 이런 의료 기록의 부정 사용(애초의 기록 유출 문제, 수많은 기관에서 발견되는 허술한 보안, 의료 산업 전반의 사이버보안 강화 노력과 함께)은 미국 시민들에게 의료 보험료 인상이라는 형태로 직접 전가되는 수많은 비용 중 하나입니다.
막을 수 있을까?
안타깝게도 의료기관이 직접 보유한 디지털 의료 기록에 대해서는 개인이 할 수 있는 일이 많지 않습니다.
데이터는 의료기관이 보유하고 있으며, 사본을 요청할 수는 있지만(상당한 비용이 듭니다) 의료기관이 갑자기 기록을 삭제해 줄 가능성은 거의 없습니다. 언제 응급실에 실려 가서 페니실린 알레르기에 관한 정보가 하나도 없는 상황을 마주하게 될지 아무도 모르기 때문입니다.
가능한 선제적 조치 중 하나는 최대한 많은 데이터 유출 사고를 기록하는 웹사이트인 DataLossDB.org에 알림 시스템을 설정하는 것입니다. 또 다른 완화 전략으로는 신용 보고서를 모니터링하는 방법이 있지만, 이는 보통 월 단위 요금이 발생합니다. 그럼에도 신용 등급이 급락하면 분명 눈치챌 수 있고, 되돌릴 수 없는 상황이 되기 전에 발견할 수 있습니다. 특히 악의적인 정황을 포착하고 제때 대응하면 사기 경보(fraud alert)를 발령해 90일 동안 본인 명의의 새로운 신용 신청이나 계좌 개설을 차단할 수 있습니다.
은행 정보만큼 의료 기록 보안에 선제적으로 대응하기는 어렵지만, 그렇다고 가만히 앉아 기다리기만 해야 하는 것은 아닙니다.
의료 사기가 걱정되십니까? 의료 기록을 도난당한 경험이 있으십니까? 평소 어떤 보안 수칙을 실천하고 계신가요? 아래에 의견을 남겨주세요!