美 병원 AnMed, 랜섬웨어 공격에 페이스북 계정까지 탈취당해…환자정보 6TB 유출 위협

[핵심요약] 미국 사우스캐롤라이나 병원시스템 AnMed가 7월 26일 랜섬웨어 공격을 받아 83개 시설 운영이 중단됐고, 공격조직 더 젠틀맨이 환자 6TB 데이터를 탈취한 뒤 병원 페이스북 계정까지 빼앗아 몸값을 요구했어요.

미국 사우스캐롤라이나에 있는 비영리 병원시스템 AnMed가 지난 7월 26일 랜섬웨어 공격을 받아 전자의무기록과 환자포털 마이차트(MyChart)를 포함한 IT 시스템이 마비됐어요. 

이 공격으로 83개에 달하는 산하 시설 중 다수가 일시 폐쇄됐고, 일부는 일주일이 지나도록 문을 열지 못했어요. 랜섬웨어 조직 '더 젠틀맨(The Gentlemen)'이 공격을 자처하며 정신건강, 성폭행 피해, 생식건강, 유전자검사, 암 치료 기록은 물론 HIV 감염 정보와 자살위험군 등록 명단까지 포함된 6테라바이트 규모의 데이터를 훔쳤다고 주장했어요. AnMed는 지난 24일 데이터 탈취 사실을 공식 확인하고 환자들에게 피싱과 사기에 주의하라는 경고를 보냈어요.

사건 상세 전개

공격은 7월 26일 악성코드가 AnMed의 내부 시스템에 침투하면서 시작됐어요. 병원 측은 즉시 감염 확산을 막기 위해 여러 컴퓨터 시스템과 환자포털을 오프라인으로 전환했는데, 이 조치로 진료 예약과 처방 확인 같은 환자 서비스까지 함께 멈춰버렸어요. 

공격 발생 일주일이 지난 시점에도 83개 시설 중 10곳이 문을 열지 못했을 정도로 복구가 더뎠어요. 상황이 채 정리되지 않은 8월 11일, 더 젠틀맨은 AnMed의 공식 페이스북 페이지 계정을 탈취해 협박 메시지를 직접 게시했어요. 페이지에는 72시간 안에 협상에 응하지 않으면 훔친 자료를 공개하겠다는 최후통첩이 담겼는데, 환자와 지역사회가 지켜보는 공개 채널로 병원을 압박하려는 의도로 풀이돼요.

왜 중요한가, 무엇이 위험한가

이번 사고의 가장 큰 위험은 유출된 데이터의 민감도예요. 이름과 주민등록번호 같은 일반적인 개인정보를 넘어 HIV 감염 여부, 성폭행 피해 기록, 정신건강 상담 내역, 유전자 검사 결과처럼 한 번 공개되면 되돌릴 수 없는 초민감정보가 대거 포함돼 있어요. 

이런 정보는 신원 도용은 물론 협박, 사회적 낙인, 2차 피해로 이어질 위험이 훨씬 크죠. 또 하나 눈여겨볼 대목은 공격조직이 병원의 공식 소셜미디어 계정까지 장악했다는 점이에요. 시스템을 암호화하고 몸값을 요구하는 데서 그치지 않고 대외 커뮤니케이션 채널을 빼앗아 여론전을 벌이는 방식은, 협상력을 높이려는 최근 랜섬웨어 조직의 심리전 전략을 잘 보여줘요.

비슷한 조직이 대비하려면

병원처럼 민감정보를 다루는 조직일수록 백업과 복구 체계가 공격 확산 경로와 완전히 분리돼 있는지 먼저 점검해야 해요. 랜섬웨어 조직은 암호화에 앞서 백업 서버부터 찾아 무력화하는 경우가 많기 때문에, 네트워크로 연결된 백업만으로는 복구를 장담할 수 없어요.

아울러 소셜미디어나 이메일 같은 대외 계정도 별도의 강력한 인증 절차로 보호해야 해요. 계정 탈취로 인한 대외 신뢰도 손상은 시스템 복구보다 훨씬 오래가고 통제하기 어렵기 때문이에요. 마지막으로 초민감정보를 다루는 조직은 데이터 최소 보관 원칙을 세워, 필요 없는 오래된 기록은 주기적으로 폐기하는 습관을 들이는 게 좋아요.

• 백업 서버가 운영 네트워크와 물리적으로 분리돼 있는지, 관리자 계정 하나로 백업까지 접근 가능한 구조는 아닌지 확인해요.
• 회사·기관 공식 소셜미디어와 이메일 계정에 다단계 인증(MFA)이 걸려있는지, 비밀번호가 다른 시스템과 겹치지 않는지 점검해요.
• 환자·고객의 초민감정보(건강기록, 유전정보 등)를 얼마나 오래 보관하고 있는지, 불필요한 과거 자료가 남아있지는 않은지 확인해요.
• 침해 발생 시 대외 소통 채널(SNS, 홈페이지 공지)을 즉시 다른 관리자 권한으로 전환할 수 있는 비상 절차가 마련돼 있는지 점검해요.
• 외주 협력사나 클라우드 서비스에 저장된 데이터까지 포함해 전체 데이터 흐름을 파악하고 있는지 확인해요.
• 랜섬웨어 협상 대응 매뉴얼과 법률·홍보팀 비상연락망이 최신 상태로 준비돼 있는지 점검해요.
• 
  

Q. 몸값을 내면 유출된 데이터가 정말 삭제될까요?

공격조직의 약속을 신뢰할 근거는 없어요. 돈을 받고도 데이터를 재판매하거나 다시 협박하는 사례가 반복 보고되고 있어서, 몸값 지불이 근본적인 해결책이 되기는 어려워요.

Q. 소셜미디어 계정 탈취는 왜 이렇게 위협적인가요?

병원이나 기업의 공식 채널은 이용자와 지역사회가 신뢰하는 소통 창구예요. 이 채널이 공격조직 손에 넘어가면 허위 정보 유포나 2차 협박까지 가능해져서, 기술적 피해를 넘어 신뢰도 자체가 흔들리게 돼요.

Q. 이런 사고 이후 환자나 고객이 할 수 있는 조치는 무엇인가요?

해당 기관이 안내하는 신용 모니터링 서비스를 신청하고, 출처가 불분명한 연락이나 결제 요구는 반드시 기관 공식 채널로 재확인하는 습관이 필요해요.

AnMed 사고는 랜섬웨어 공격이 더 이상 시스템 암호화에 그치지 않는다는 걸 다시 한번 보여줬어요. 데이터 탈취와 공개 협박, 소셜미디어 계정 장악까지 이어지는 복합적인 압박 전략은 앞으로 다른 조직에도 반복될 가능성이 높아요. 특히 의료, 금융처럼 초민감정보를 다루는 기관이라면 시스템 복구뿐 아니라 데이터 자체를 지키는 방법을 함께 고민해야 할 시점이에요.

이번 사고처럼 공격조직이 운영 네트워크에 연결된 백업까지 손쉽게 찾아내 무력화하는 경우가 늘면서, 네트워크와 물리적으로 완전히 분리된 백업 체계의 중요성이 커지고 있어요. 디포트리스는 이중 데이터 다이오드 방식으로 백업 데이터를 운영망과 물리적으로 단절시켜, 랜섬웨어가 아무리 내부망을 장악해도 백업만큼은 손댈 수 없도록 지켜줘요.