[MPIS 2025] 의료기관 개인정보 유출, “다크웹 유통 현실화…보안 패러다임 전환 시급”

데일리시큐는 지난 5월 13일 화요일 한국과학기술회관 국제회의실에서 전국 국공립 의료기관 및 대학·민간 병원의 개인정보보호 및 정보보안 책임자, 실무자 250여 명이 참석한 가운데 ‘2025 의료·헬스케어 정보보호 페어’(MPIS 2025)를 개최했다. 이번 MPIS 2025는 보건복지부, 대한병원정보보안협회, 디지털헬스보안협회의 후원으로 개최됐다.

이 자리에서 한국인터넷진흥원(KISA) 탐지조사팀 장웅태 선임연구원은 ‘개인정보 유출 현황/사례 및 대응방안-의료기관 중심으로-’를 주제로 강연을 진행하며, 국내외 의료기관을 겨냥한 해킹 시도와 유출 사례, 그리고 이에 대응하기 위한 체계적인 보안 전략을 소개했다.

■의료기관 보안 사고 증가…의료 정보, 고부가가치 타깃

장웅태 선임은 먼저 “국내 의료기관을 대상으로 한 보안 사고는 매년 증가하고 있다”며 “의료 정보가 단순한 개인정보를 넘어 고부가가치 정보를 포함하고 있어 해커들의 주요 공격 타깃이 되고 있다”고 강조했다.

국내 언론과 KISA 조사에 따르면, 병원 서버 해킹, 악성코드 감염, 내부자 유출 등 다양한 형태의 침해사고가 지속되고 있으며, 특히 전자차트(EMR), 진료기록, 처방정보, 건강검진 결과 등은 외부 거래시장에서 높은 가치를 인정받고 있는 것으로 분석됐다.

해외 사례 또한 심각한 수준이다. 미국, 유럽 등지에서는 의료기관이 랜섬웨어 감염, 시스템 마비, 환자 데이터 유출 등의 피해를 입고 있으며, 이들 정보는 다크웹에서 거래되고 있다. 장 선임은 “다크웹 상에서 유통되는 의료 데이터의 양이 매년 급증하고 있다”고 지적하며, 정기적인 다크웹 모니터링의 필요성을 언급했다.

■해커의 목적, ‘재미에서 돈벌이’로…공격 동기 변화 주목

강연에서는 해커들의 동기에 대한 분석도 이어졌다. 장 선임은 “과거에는 단순한 호기심이나 해킹 기술을 과시하려는 명성 획득이 주된 동기였으나, 이제는 금전적 이득을 목적으로 하는 공격이 급증하고 있다”고 말했다.

특히 의료정보는 다른 개인정보보다 활용성이 높아 판매 수익이 크다. 일부 공격자는 의료 데이터를 인질로 삼아 협상하거나, 이를 민감정보 기반의 피싱 공격에 악용한다. 또한 국가 기반 시설을 겨냥한 정치적 목적의 공격 사례도 늘고 있으며, 병원과 같은 필수 서비스 기관은 사이버 테러의 주요 대상이 되고 있다.

■실제 사고 사례 통해 본 위험성

장 선임은 국내 의료기관의 실제 개인정보 유출 사례도 소개했다. 한 병원은 해킹으로 인해 환자의 진료기록과 검사결과가 외부로 유출되었고, 이 정보는 다크웹을 통해 판매되었다. 또 다른 사례에서는 내부자의 부주의로 인해 수천 명의 환자정보가 담긴 엑셀 파일이 외부로 반출되었다.

이러한 사례들은 단순한 보안 시스템 미비 뿐 아니라, 내부 보안 인식 부족, 접근통제 미흡, 로그 미보관 등의 관리적 허점이 복합적으로 작용한 결과다.

■개인정보 유출 대응 전략…7대 핵심 조치 제시

장웅태 선임은 의료기관이 취해야 할 대응 전략으로 ‘7대 개인정보 보호 조치’를 제시했다. 첫째, 개인정보의 안전한 처리를 위한 내부관리계획을 수립하고, 정기적으로 점검하는 체계를 갖춰야 한다. 둘째, 개인정보에 대한 접근권한을 제한하고, 업무 목적 외 사용을 엄격히 통제해야 한다.

셋째, 시스템 접근을 통제하고 이중 인증 등 절차 강화를 통해 무단 접근을 방지해야 한다. 넷째, 개인정보 저장 및 전송 시 암호화를 적용해 전송 중 도청과 저장 중 탈취를 예방해야 한다.

다섯째, 침해사고 발생 시를 대비해 접속기록을 철저히 보관하고, 위조·변조 방지를 위한 기술적 조치를 마련해야 한다. 여섯째, 랜섬웨어, 바이러스 등 악성 프로그램 방지를 위한 탐지 및 치료 기능이 있는 보안 솔루션을 항시 운영하고, 주기적으로 갱신해야 한다.

마지막으로, 개인정보가 담긴 문서나 장비는 물리적 보관시설 또는 잠금장치 등으로 보호해야 하며, 정보유출 우려가 있는 장소에 대한 출입통제도 함께 병행되어야 한다.

■체계적인 모니터링과 실시간 대응 체계 구축 필수

장 선임은 “이제는 단순한 예방 차원을 넘어, 실시간 모니터링과 즉각적인 대응이 가능한 체계를 갖추는 것이 중요하다”며, “침해사고 발생 이후의 사후 대응보다 사전 예방과 탐지가 핵심이 되어야 한다”고 강조했다.

그는 의료기관들이 개인정보 보호법 준수와 동시에, 민감정보를 다루는 조직으로서 보안 조직과 인력을 강화하고, 지속적인 보안 교육과 훈련을 병행해야 한다고 조언했다. 이번 강연자료는 데일리시큐 자료실에서 다운로드 가능하다.

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★