뉴욕시 보건 및 병원, 최소 180만 명의 의료 기록과 생체 정보 유출

해커들이 수개월간 민감한 데이터에 접근

뉴욕시 보건 및 병원은 수개월에 걸친 사이버공격으로 최소 180만 명의 개인 정보, 의료 기록 및 생체 정보가 유출되어 올해 보고된 의료 데이터 유출 사건 중 하나로 꼽힌다고 밝혔습니다.

미국에서 가장 큰 공공 의료 시스템인 이 기관은 2월 2일 공격을 탐지하고 네트워크를 확보했다고 밝혔습니다. 그러나 유출 통지에 따르면 해커들은 이미 2025년 11월부터 시스템에 침투해 제거되기 전까지 파일을 복사할 수 있었던 것으로 나타났습니다.

뉴욕시 보건 및 병원은 이 사건을 미국 보건복지부에 보고했습니다. 해당 시스템은 100만 명이 넘는 뉴욕 시민에게 서비스를 제공하며, 그들 대부분은 보험이 없거나 메디케이드와 같은 주(州) 의료 보장에 의존합니다.

지문, 손바닥 지문 및 신분증 자료 유출

유출된 정보는 개인에 따라 다르지만, 기관은 건강 보험 플랜 및 보험증권 세부정보, 진단·처방·검사·영상 등 의료 기록, 청구 및 결제 관련 데이터가 포함된다고 밝혔습니다. 사회보장번호, 여권, 운전면허증 등 정부 발급 신분증도 유출되었습니다.

유출 통지에는 '정밀 위치 데이터'도 언급되어, 업로드된 신분증 사진이 위치 메타데이터를 포함했을 가능성을 제기합니다.

사건에서 가장 민감한 요소는 지문과 손바닥 지문을 포함한 생체 정보의 도난입니다. 이러한 식별자는 악용되면 변경할 수 없습니다. 뉴욕시 보건 및 병원은 왜 생체 정보를 보관했는지 설명하지 않았지만, 일반적으로 채용 대상자는 범죄 기록 조회를 위해 지문을 등록해야 합니다. 환자의 생체 정보도 함께 유출되었는지는 아직 불분명합니다.

제3자 공급업체 침해가 원인으로 지목됨

해당 의료 시스템은 해커들이 익명의 제3자 공급업체의 침해를 통해 접근했다고 밝혔습니다. 그 공급업체의 웹사이트는 월요일 아침 잠시 오프라인 상태였고, 대변인은 공격에 관한 질문(탐지에 수개월이 걸린 이유나 조직이 몸값 요구를 받았는지 여부 등)에 즉각적으로 답변하지 않았습니다.

의료 제공 기관들은 보유한 민감한 개인·의료·청구 데이터의 양 때문에 최근 몇 년간 금전적 동기를 가진 사이버범죄자들의 반복적인 표적이 되어왔습니다. 이번 뉴욕시 보건 및 병원 유출 사건은 올해 발생한 가장 심각한 사례들 중 하나로 자리잡았습니다.

출처:

• 테크크런치