Veradigm 랜섬웨어 해킹, 환자 350만 명 정보 유출 위협 — 쉽게 정리
미국의 대형 전자의료기록(EHR) 업체 Veradigm(구 Allscripts)이 외부 협력업체 계정이 털린 해킹 사고로, 350만 명 환자 개인정보가 노출 위협을 받고 있다고 9월 8일 미 증권거래위원회(SEC)에 공식 보고했다. 랜섬웨어 조직 "The Gentlemen"(더 젠틀맨)이 "정보를 가져갔다"며 몸값을 요구하고 있어 의료·보안업계가 긴장하고 있다. 이 글에서는 무슨 일이 있었는지, 일반 환자는 어떻게 해야 하는지, 비슷한 일이 왜 계속 벌어지는지 최대한 쉬운 말로 풀어본다.
1. 무슨 일이 있었나? — 핵심 3줄 요약
Veradigm이 SEC에 제출한 보고서(8-K)와 IT 매체 Bleeping Computer의 보도를 종합하면 사건의 골격은 단순하다.
- 외부 협력업체(third-party vendor)의 로그인 정보(자격증명)가 해커에게 탈취당했다.
- 그 계정으로 들어가서 환자 이름, 집 주소, 주민등록번호(Social Security Number), 이메일, 전화번호, 보호자(guarantor) 정보 같은 PII(개인식별정보)를 복사해 갔다.
- 반면 진료 기록·검사 결과 같은 임상 데이터는 유출되지 않았고, EHR 본 시스템(코어 서버·데이터베이스)도 뚫리지 않았다고 업체는 강조
2. The Gentlemen은 누구인가?
"The Gentlemen"은 랜섬웨어 as a 서비스(RaaS, Ransomware-as-a-Service) 모델로 활동하는 국제 해킹 조직이다. 쉽게 말하면 "랜섬웨어 도구를 빌려주고, 성공하면 수익을 나눠 갖는" 깡통식 범죄 프랜차이즈다. 개발자는 도구만 만들어 배포하고, 실제 공격은 하위 협력자(affiliate)들이 수행한다.
보안 분석 기업 Comparitech의 최근 보고서에 따르면, The Gentlemen은 올 7월 말까지 누적 675건의 랜섬웨어 공격을 자처했다. 그중 126건은 미국 기관, 36건은 의료기관을 노린 공격이다. 2026년 기준 가장 활발한 랜섬웨어 그룹은 Qilin이고, The Gentlemen은 두 번째로 지배적인 그룹으로 분류됐다.
한편 이번 공격에서 The Gentlemen은 자신들의 데이터 유출 사이트(leak site)에 다음과 같이 게시했다고 한다.
"9월 5일 Veradigm 환자 기록 350만 건을 탈취했다. 몸값이 제때 지급되지 않으면 9월 11일 전후로 공개하겠다."
3. 왜 의료기관이 계속 당할까? — 공격 수법 3단계
보안 블로그 Krebs on Security와 Comparitech가 분석한 The Gentlemen의典型적인(전형적인) 해킹 흐름은 다음과 같다.
- 침투: Windows의 SMB(Server Message Block)라는 파일·프린터 공유 기능에서 접근 통제 실수를 노려 시스템에 들어간다. SMB는 병원 내부에서 엑스레이·CT 영상을 공유하는 용도로 흔히 쓰인다.
- 권한 상승(Privilege Escalation): 관리자 권한을奪取(탈취)해 네트워크의 더 깊은 곳까지 파고든다.
- 데이터 유출 + 랜섬웨어: 데이터를 미리 외부 서버로 복사해 둔 뒤, 마침내 랜섬웨어를 실행해 파일을 암호로 잠근다.
의료기관이 1순위 타깃인 이유는 단순하다. ①환자 치료가 멈추면 안 되니까 몸값을 내기 쉽고, ②환자 데이터는 다크웹에서 1인치당 고가에 거래되니까 해커 수익이 크기 때문이다. 그래서 같은 패턴의 공급망 공격이 계속 이어지고 있다.
4. 환자 입장은 어떻게 해야 할까?
이번 사고로 노출될 수 있는 정보는 주로 이름·주소·SSN·연락처다. 진료 기록은 안전하다는 게 회사 측 설명이지만, 신상 정보만으로도 신분 도용(identity theft)은 충분히 가능하다. 다음 표의 행동을 권장한다.
| 위험 요소 | 권장 대응 |
|---|---|
| SSN(미국 주민등록번호) 유출 가능성 | 연방거래위원회(FTC)에서 무료 신용보고서 확인, 평소와 다른 거래·계좌 개설 감시 |
| 이메일·전화번호 유출 | 피싱 문자·이메일 주의, 모르는 발신자의 링크·첨부파일 클릭 금지 |
| 집 주소 유출 | 정기 우편물에 이상한 서류·카드가 오면 즉시 해당사에 전화 확인 |
| Veradigm(Allscripts) 사용 병원 이용자 | 병원에서 보내는 공식 문자·이메일·우편 안내문 꼭 확인, 출처 불명의 연락은 병원에 직접 전화로 검증 |
Veradigm은 SEC 보고서에서 "이번 사고로 서비스·진료 운영 중단은 없었다"고 분명히 했다. 하지만 해당 EHR을 쓰는 병원에서 진료를 받았다면, 향후 몇 달간 신상 도용 징후를 주의 깊게 살펴봐야 한다.
5. 자주 묻는 질문(FAQ)
- Q1. 랜섬웨어가 정확히 뭐예요?
- 컴퓨터에 저장된 파일을 암호로 잠그고, "돈(몸값, ransom)을 내면 풀어준다"며 협박하는 악성코드입니다. 이번 사건에서 The Gentlemen은 단순히 파일 잠그기에 그치지 않고 "350만 명 데이터를 공개하겠다"고 2차 협박을 덧붙인 더블 엑스터션(double extortion) 수법을 쓰고 있습니다.
- Q2. 제 진료 기록(병명, 처방전, 검사 결과)도 털린 건가요?
- 아니요. Veradigm은 "임상 데이터와 EHR 본 시스템은 침해되지 않았다"고 공식적으로 분명히 했습니다. 이번에 노출된 것은 주로 PII(개인식별정보)입니다.
- Q3. 외부 협력업체 해킹으로 왜 우리 정보까지 위험해지나요?
- 큰 병원이든 IT 업체든 진료 예약, 보험 청구, 데이터 백업 같은 업무를 외부 업체에 맡기는 경우가 많습니다. 그 업체 중 한 곳이 뚫리면 큰 업체·병원의 고객 데이터가 함께 새어나갈 수 있어 공급망 해킹(supply-chain attack)이라 부릅니다. 2020년 SolarWinds 해킹이 대표적 예입니다.
- Q4. SMB 취약점이 뭔가요?
- Windows에서 폴더·프린터·파일을 공유할 때 쓰는 통신 규약입니다. 예전 버전(SMBv1)은 암호화가 약해 접근 권한 설정이 느슨하면 외부에서 파일을 들여다볼 수 있어 해커들이 가장 즐겨 노리는 통로 중 하나입니다.
- Q5. 우리 병원이 Veradigm을 쓰는지 어떻게 알 수 있나요?
- 진료 시 사용하는 환자 포털(MyChart 등), 보험 청구 영수증, 안내 자료에 "Veradigm" 또는 과거 상호인 "Allscripts" 로고가 보이면 해당 EHR을 쓰는 병원입니다. 평소처럼 공식 알림 채널을 확인하고, 의심스러운 연락은 병원에 직접 전화해서 사실 여부를 확인하는 것이 가장 안전합니다.
- Q6. 몸값(ransom)은 내는 게 맞나요?
- 미국 연방수사국(FBI)은 원칙적으로 몸값 지불을 권하지 않습니다. 몸값을 내도 데이터가 정상 복구된다거나 공개가 정말 안 된다는 보장이 없고, 더 많은 공격 자금으로 이어지기 때문입니다.
6. 업계가 배워야 할 교훈
이번 Veradigm 사건은 의료 IT 보안에서 자주 반복되는 세 가지 약점을 다시 보여준다.
- 협력업체 관리(Third-Party Risk Management): 본사 보안이 아무리 좋아도, 작은 협력업체 한 곳이 뚫리면 끝이다. 의료기관은 계약 단계에서 협력업체의 보안 인증(SOC 2, HITRUST 등)을 반드시 점검해야 한다.
- 계정 관리와 다중 인증(MFA): 이번 사고는 탈취된 비밀번호 한 개에서 시작됐다. 모든 관리자 계정에 다중 인증(MFA) 적용은 사실상 필수이며, 더 나아가 피싱 방지용 패스키(passkey) 도입이 권장된다.
- SMB·원격접속 통로 점검: 외부에 열려 있는 SMB, RDP(원격 데스크톱), VPN 등 통로를 정기적으로 점검하고, 사용하지 않는 포트는 즉시 닫아야 한다.