ShinyHunters 보이스 피싱, 의료기관 노린다 — Health-ISAC 긴급 경보 핵심 정리
전화 한 통에 환자 수백만 명의 정보가 새 나갈 수 있습니다. 의료 분야를 노리는 사이버 범죄 그룹 ShinyHunters의 보이스 피싱(비싱) 공격이 다시 한번 경고를 울렸습니다. 의료 정보 공유 및 분석 센터 Health-ISAC이 "지금 즉시 행동하면 데이터 유출을 막을 수 있다"고 발표했어요. 이 글은 무슨 일이 일어나고 있는지, 그리고 일반 직원이 당장 무엇을 해야 하는지 쉽게 풀어드립니다.
1. ShinyHunters 보이스 피싱이란?
먼저 용어부터 쉽게 정리하겠습니다.
- ShinyHunters(샤이니헌터스): 2019년부터 활동해 온 유명한 사이버 범죄 그룹입니다. 이름은 게임 포켓몬스터의 '이로한 포키먼(Shiny Pokémon)'에서 따왔다고 알려져 있어요. Ticketmaster, AT&T, Santander 등 대기업을 공격한 전적이 있고, 최근에는 의료 분야를 집중적으로 노리고 있습니다.
- 보이스 피싱(Vishing): 보이스(Voice) + 피싱(Phishing)의 합성어입니다. 이메일이 아닌 전화로 속이는 사기를 말해요. "저는 IT 헬프 데스크입니다"처럼 내부 직원을 사칭해서 비밀번호를 빼내거나 인증 코드를 받습니다.
2. 공격은 어떻게 진행되나? (5단계로 분해)
Health-ISAC이 공개한 위협 보고서를 토대로 공격 절차를 풀어 봤습니다.
① 사칭 도메인 등록
ShinyHunters는 공격 대상 병원 이름이 들어간 가짜 웹사이트 주소를 새로 만들어 둡니다. 예를 들어 진짜 회사가 example-health.com이라면 example-health.claim 같은 식으로요. .claim 외에도 여러 접미사가 사용되며, 진짜 로그인 페이지와 거의 똑같이 생겼습니다.
② 직원에게 이메일 폭격
여러 무작위 이메일 계정으로 직원에게 이메일을 보냅니다. 내용은 링크 클릭을 유도하는 식이에요.
③ 모바일로 전화 걸기
이어서 직원의 개인 휴대폰에 직접 전화를 겁니다. "IT 부서입니다, 보안 승인이 필요해서요"처럼 사칭해 링크를 누르거나 인증 코드를 알려달라고 요청합니다.
④ 자격 증명 탈취 + 실시간 중계
직원이 가짜 페이지에 아이디·비밀번호를 입력하면, 공격자는 리버스 프록시(중계 도구)를 써서 그 정보를 그대로 진짜 회사 로그인 페이지에 전달합니다. 직원은 자기가 정상 로그인했다고 믿게 되죠.
⑤ MFA 우회 → 데이터 유출
마지막으로 "인증 코드 하나만 알려주세요"라거나 "스마트폰 푸시 알림 승인 눌러주세요"라고 부탁합니다. 직원이 승인하는 순간, 공격자에게도 진짜 로그인 세션이 그대로 넘어갑니다. 이후 Microsoft 365, SharePoint, Salesforce 같은 클라우드(SaaS)에 저장된 환자·내부 데이터를 몽땅 빼돌립니다.
3. McKesson 사건에서 배운 교훈
지난달 미국 대형 의료 도매·서비스 업체 McKesson이 "자사 정보 시스템에 사이버 보안 사고가 발생했다"고 미국 증권거래위원회(SEC)에 공식 보고했습니다. 영향 범위에는 종양학, 다과(注射), 외과·내과 사업부가 포함되었다고 해요.
ShinyHunters 측은 자신이 이 사건의 배후라고 주장하며, 구체적으로 이렇게 말했습니다:
- McKesson 직원 2명을 보이스 피싱으로 속였다
- 그 결과 Salesforce와 Snowflake에서 데이터를 빼냈다
- 도난당한 환자 기록은 약 2억 8,400만 건
- 요구한 몸값은 5,500만 달러(약 7,400억 원)
4. 왜 하필 의료 분야인가?
ShinyHunters는 Salesforce의 Experience Cloud 플랫폼 설정 오류를 이용해 400개 이상의 사이트를 동시에 침해했다고 주장합니다. Health-ISAC은 이 그룹의 최근 행보를 분석한 결과, "랜섬웨어보다는 계정·클라우드 접근권 갈취(익스토션) 쪽에 집중하고 있다"고 평가했습니다.
의료 분야가 특히 위험한 이유:
- 환자 데이터의 가치: 주민등록번호·진료기록·보험 정보가 한곳에 모여 있어 다크 웹에서 비싸게 팔림
- 업무 중단의 치명성: 병원 시스템이 멈추면 생명이 위태로워져 몸값을 지불할 가능성이 큼
- 레거시 시스템: 오래된 의료 시스템과 복잡한 SaaS 연동으로 보안 구멍이 많음
- 인적 요소: 의사·간호사는 환자를 우선하느라 보안 단계를 소홀히 하기 쉬움
5. 병원·의료기관이 당장 해야 할 5가지
Health-ISAC과 보안 전문가들이 공통으로 권고하는 핵심 조치는 다음과 같습니다.
- 피싱에 강한 MFA로 전환: 문자(SMS) 인증보다 보안 키(FIDO2/WebAuthn)나 푸시 알림 앱이 안전합니다.
- 인바운드 전화에서 MFA 재설정 절대 금지: 전화를 걸어와서 "비밀번호 재설정 도와달라"는 요청은 100% 거부하는 정책을 전사적으로 배포하세요.
- 사칭 도메인 차단 + 모니터링: 회사 이름이 들어간 새로운 도메인을 자동 감지하고 차단하는 서비스를 도입합니다.
- 다층 신원 확인: IT 헬프 데스크는 전화 한 번으로 비밀번호를 재설정하지 말고, 사전에 등록된 채널로 다시 한 번 본인 확인을 해야 합니다.
- 정기적인 모의 피싱 훈련: 직원들에게 실제와 같은 모의 통화·모의 이메일을 보내고, 즉시 피드백을 줍니다.
Health-ISAC의 최고 보안 책임자 Errol Weiss는 "인공지능 기반 피싱 공격이 폭증하고 있다. 모든 로그인을 잠재적 위협으로 보고, 그 시점에 필요한 접근만 허용해야 한다"고 강조했습니다.
6. 용어 한 번에 읽기
기사에 자주 등장하지만 어려울 수 있는 보안 용어 8개를 알기 쉽게 정리했습니다.
| 용어 | 쉽게 풀이 |
|---|---|
| ShinyHunters | 전화와 사칭으로 유명한 사이버 범죄 조직. 데이터를 훔쳐서 몸값을 요구함 |
| Vishing (보이스 피싱) | 전화로 "저는 은행/IT 직원입니다"라고 속이는 사기 |
| Phishing (피싱) | 이메일·문자로 가짜 링크를 눌러게 해서 정보를 빼내는 사기 |
| Ransomware (랜섬웨어) | 파일을 잠가놓고 "비트코인 보내면 풀어준다"는 악성코드 |
| Data Exfiltration (데이터 유출) | 해커가 몰래 회사 데이터를 밖으로 빼돌리는 행위 |
| MFA (다중 인증) | 비밀번호 + 다른 인증(휴대폰 알림·지문 등)을 함께 쓰는 보안 방식 |
| SSO (단일 로그인) | 한 번 로그인하면 여러 서비스를 계속 쓸 수 있게 해주는 시스템. 한 번 뚫리면 다 같이 뚫리는 단점도 있음 |
| SaaS (서비스형 소프트웨어) | 설치 없이 인터넷으로 쓰는 소프트웨어. 예: Microsoft 365, Salesforce, Google Workspace |
| Health-ISAC | 전 세계 의료 기관이 사이버 위협 정보를 실시간으로 공유하는 공식 채널 |
| Extortion (갈취) | "돈 안 주면 데이터 공개한다"고 협박해 금품을 뜯어내는 행위 |
7. 자주 묻는 질문 (FAQ)
Q1. 보이스 피싱은 일반 이메일 피싱과 뭐가 다른가요?
이메일 피싱은 링크 클릭을 유도하지만, 보이스 피싱은 실제 사람 목소리로 대화하며 즉시 행동을 유도합니다. 긴장감과 신뢰감이 생기게 만들어 사고를 예방하기 어렵습니다.
Q2. 일반 직장인도 표적이 될 수 있나요?
네, 의료 기관과 거래하는 보험사·약국·IT 협력사 직원도 2차 표적이 됩니다. 의료 데이터를 다루는 사람은 누구나 잠재적 피해자라고 보아야 합니다.
Q3. MFA를 쓰면 안전하죠?
완벽하지는 않습니다. 이번 공격처럼 직원이 직접 인증 코드를 알려주거나 푸시를 승인해버리면 MFA도 무력화됩니다. 그래서 "피싱에 강한 MFA"(보안 키, FIDO2 등)와 직원 교육을 함께 해야 합니다.
Q4. 우리 병원도 당장 뭘 해야 하나요?
① 전화로 오는 MFA 재설정 요청을 무조건 거부하는 정책을 공지하세요. ② IT 헬프 데스크는 다른 채널로 본인 확인 후에만 처리합니다. ③ 회사 도메인과 비슷한 신규 도메인을 모니터링하세요.
Q5. AI 기반 피싱이 왜 더 위험한가요?
AI는 음성 복제(딥보이스)와 자연스러운 문장 생성으로 가짜 전화를 훨씬 정교하게 만듭니다. 대표 목소리 몇 초만 녹음해두면 그 사람의 말투로 통화하는 것도 가능합니다.
마치며
이번 Health-ISAC 경보는 단순한 "해킹 소식"이 아닙니다. 전화 한 통으로 병원이 무너질 수 있다는 현실적 경고입니다. 기술을 도입하는 것도 중요하지만, 결국 한 사람의 경각심이 가장 강력한 방어선입니다. IT 부서가 단톡방에 이 가이드를 공유하는 것만으로도 첫 번째 방어가 시작됩니다.