대부분의 사람들은 온라인이든 오프라인이든 개인 금융 정보를 철저히 보호합니다. 사회보장번호나 계좌번호가 타인의 손에 들어가는 것, 특히 다른 정보와 결합될 경우 얼마나 위험한지 누구나 잘 알고 있습니다. 하지만 많은 사람들이 또 다른 종류의 정보를 간과하는데, 이것이 잘못된 손에 들어가면 그만큼 치명적일 수 있습니다. 바로 의료 기록입니다.
완전한 형태의 의료 기록은 신원 도용범에게 필요한 모든 정보를 담은 보물창고입니다. 더 심각한 것은 사람들이 이를 제대로 보호하지 않아 쉽게 유출되곤 한다는 점입니다. 병원에서 서명하는 동의서에 담긴 의미와, 여러분의 데이터를 지키기 위해 할 수 있는 일들을 살펴보겠습니다.
왜 하필 의료 기록일까?
많은 사람들이 의료 기록이 신원 도용범의 표적이 된다는 말을 듣고 의아해합니다. 도둑이 내가 무릎 수술을 받았거나 폐렴 약을 복용 중이라는 사실을 알아서 뭘 할 수 있을까요? 하지만 간과되는 사실은, 의료 기록에는 여러분의 모든 개인 정보가 포함되어 있다는 점입니다. 이름, 주소, 생년월일, 사회보장번호(또는 이에 상응하는 번호)는 물론이고, 일부 기록에는 청구 정보와 과거 주소 정보까지 담겨 있습니다.
요컨대 의료 기록에는 신원 도용범이 여러분으로 가장하는 데 필요한 모든 것이 들어 있습니다. 이보다 완전한 데이터 소스도 거의 없습니다. 은행 고객들이 자신의 모든 데이터가 유출되었다는 사실을 알게 되면 분노하겠지만, 정작 병원이나 클리닉 환자들은 자신의 의료 기록이 유출되었다는 소식을 들어도 크게 경계하지 않습니다. '무엇을 보호해야 하는가'에 대한 이런 인식 차이가 방심을 낳습니다.
또한 의료 기록은 상대적으로 쉽게 입수할 수 있습니다. 전 세계에는 수많은 의사, 병원, 보험사가 있으며, 이들은 대부분 IT 보안에 수천만 달러를 투자할 만큼 큰 기업이 아닙니다. JP모건체이스나 시티그룹 같은 대형 은행을 공략하는 것보다 작은 병원이나 소규모 보험사를 해킹하는 것이 훨씬 쉽습니다.
더 큰 문제는 신용카드·직불카드 사기를 막아주는 소비자 보호 장치가 의료 사기에는 적용되지 않는다는 점입니다. 즉, 피해자는 실제로 받지 않은 의료 서비스 요금을 떠안아야 할 수도 있습니다. 소비자 보호가 부재하면 청구 정보를 처리하는 쪽의 검증도 느슨해져, 사기가 더욱 쉽게 성공합니다.
해커보다 무서운 것은 지인
그러나 모든 의료 ID 도용이 인터넷을 통한 악의적인 공격으로 발생하는 것은 아닙니다. 2013년 포네먼 연구소(Ponemon Institute)의 조사에 따르면, 의료 ID 도용 피해자의 대다수는 지구 반대편의 해커가 아니라 개인적인 관계에 있는 사람에게 피해를 입었습니다. 전체 사례의 30%는 피해자가 신뢰한다고 믿은 상대에게 자발적으로 정보를 넘긴 경우였고, 28%는 친구나 가족이 동의 없이 기록에 접근한 경우였습니다.
이는 많은 사람들이 '해킹'이라 부르는 사건의 상당수가 사실 해킹이 아니라 단순한 사기임을 보여줍니다. 일부 피해자는 자발적으로 정보를 제공했거나 속아서 넘겼고, 또 다른 이들은 집이나 개인 PC에 방치된 정보를 함께 사용하는 사람이 가져간 것입니다. 현대적 변주를 곁들인 낡은 방식의 도둑질인 셈입니다.
실제로 포네먼 연구소에 따르면, 의료 ID 도용 중 해킹이나 피싱 같은 기술적 공격으로 귀결될 수 있는 사례는 15%에 불과했습니다. 즉, 낯선 해커보다 아는 사람에게 기록을 도난당할 확률이 4배나 높습니다.
방어 수준을 높이는 실전 방법
의료 기록 도난의 만연함이 불안감을 자극할 수 있지만, 나쁜 소식 속에도 희망이 있습니다. 대부분의 기록 도난은 개인이 스스로 예방할 수 있는 경로로 발생한다는 점입니다. 스스로에게 던져야 할 질문은 이것입니다. "내 기록이 어디에 있고, 어떻게 접근 가능한가?"
많은 사람들이 의료 기록을 받으면 종이 문서는 상자에, 디지털 파일은 아무 이름 없는 폴더에 던져 두곤 합니다. 그것은 위험한 습관입니다. 종이 기록은 보이지 않는 곳에 두거나, 가급적 방화 금고에 보관해야 합니다. 디지털 데이터 역시 추가 보안 계층으로 보호해야 합니다. PC에서 파일을 암호화해야 하는 이유와 방법을 다룬 자료를 참고해 파일 보호를 시작해 보세요.
또한 의료 기관과 맺고 있는 온라인 계정을 직접 점검해 보기 바랍니다. 계정 목록을 작성한 후 하나씩 방문하여 어떤 정보에 접근 가능한지, 어떤 기능이 있는지 다시 확인하세요. 그리고 각 계정이 강력하고 고유한 비밀번호로 보호되어 있는지 반드시 확인해야 합니다. 의료 기관은 이중 인증을 지원하지 않는 경우가 많으므로, 좋은 비밀번호가 최선의 방어선입니다. 일부 기관은 계정 접속 시 이메일 알림 기능을 제공하니, 해당 설정이 있다면 반드시 켜두세요.
일부 대형 의료기관은 의료 기록에 접근할 수 있는 스마트폰 앱을 제공합니다. 이런 앱은 일반적으로 기록의 일부만 열람할 수 있도록 설계되어 있어 앱만으로 신원 도용이 이루어지기는 어렵습니다. 그러나 앱을 통해 전체 기록 발급을 요청하거나, 앱에 담긴 정보로 본인으로 가장하는 것이 가능할 수도 있습니다. 이런 정보에 쉽게 접근하지 못하도록 휴대폰 잠금 설정을 생활화하세요.
유출 징후를 놓치지 않기
'진짜' 해킹으로 도난당한 15%는 작은 비율처럼 보이지만, 그래도 수십만 건에 달하는 사례입니다. 피싱 공격을 경계하는 것 외에 선제적으로 대응할 방법은 많지 않지만, 데이터 유출 알림 서비스를 활용해 내 정보가 포함된 유출 사건을 주시할 수는 있습니다. 가장 심각한 유출 사건만 뉴스에 보도되므로, 언론 보도만 믿고 방심해서는 안 됩니다.
신용 모니터링 서비스도 큰 도움이 됩니다. 신용을 모니터링하면 본인 명의로 새 신용 계정을 개설하려는 시도를 즉시 파악할 수 있어 대부분의 사기 시도를 조기에 잡아낼 수 있습니다. 단점은 월 이용료가 발생한다는 것과, 사기 자체를 원천 차단해 주지는 못한다는 점입니다. 다만 알림을 받는 즉시 대응하면 피해를 최소화하거나 없앨 수 있습니다.
표적이 될 우려가 있거나 각별히 신경 쓰고 싶은 독자라면 사기 경보(fraud alert)를 추가로 활용할 수 있습니다. 이는 Equifax, TransUnion, Experian 같은 주요 신용조사기관에 신청하는 통지로, 미국에서는 이를 설정하면 본인이 먼저 확인하지 않는 한 본인 명의로 새 신용 계정이 개설되지 않습니다. 경보는 90일간 유효하며 무료로 신청할 수 있고, 90일마다 갱신할 수 있습니다. 해외 거주자라면 국가별로 세부 사항이 다르니 해당 국가의 신용조사기관 규정을 확인하기 바랍니다.
의료 ID 도용에 무방비로 남지 마세요
의료 ID 도용은 끔찍한 경험이 될 수 있지만, 완전히 무방비해야 하는 것은 아닙니다. 대부분의 사기는 내 데이터에 접근할 수 있는 사람에 의한 단순한 도난이므로, 접근 경로를 차단하는 것만으로도 위험을 크게 줄일 수 있습니다. 여기에 데이터 유출 동향을 주시하고 신용 모니터링에 가입하면 보호 수준을 한층 더 높일 수 있습니다. 보안의 모든 영역과 마찬가지로 완벽한 해결책은 없지만, 몇 가지 선제적인 조치만으로도 피해자가 될 가능성은 충분히 낮출 수 있습니다.