병원 해킹과 환자정보 거래 심각...의료기관들의 적극적인 투자 필요해
올해 상반기 국내 의료기관 침해사고 현황 조사에 따르면 IT와 제조업 다음으로 의료기관 침해사고가 많은 것으로 조사됐다. 의료ISAC에 따르면, 지난해 한국의 의료기관 침해사고 인지 시간이 무려 34개월로 조사됐다. 침해사고가 발생해도 약 3년간 그 사실조차 모르고 있다는 것이다. 심각한 상황이다. 또한 블랙마켓에서 의료정보는 가장 비싼 가격에 팔리고 있어 의료기관은 해킹 범죄자들의 주요 타깃이 되고 있다. 그럼에도 불구하고 병원들의 정보보안 투자는 턱없이 부족하다.
데일리시큐는 중국 블랙마켓 인텔리전스 전문기업 씨엔시큐리티(대표 류승우)와 공동 조사를 통해 중국 블랙마켓에서 거래되고 있는 각 분야 한국 개인정보 판매 실상을 조사해 상세히 보도하고 있다.
한편 데일리시큐는 3건의 단독 기사를 통해, 11번가, 위메프 등 이커머스 기업들과 중고나라, 번개장터, 당근마켓 등의 회원계정, 판매자 계정, 안전거래 정보까지 대규모로 판매되고 있으며, 취업사이트인 알바천국, 알바몬, 사람인 등의 회원계정 판매실상을 보도한 바 있다. (관련 기사: 클릭)
또 국내 최대 포털 네이버의 회원계정과 주소록 DB 등이 대량으로 판매되고 있으며 네이버 안전거래 피싱사이트 제작으로 실제 피해로까지 이어지는 상황을 보도했다. (관련기사: 클릭)
그리고 카카오에서 운영하는 국민 메신저 카카오톡의 회원계정과 주소록 판매, 선톡 가능한 계정판매, 카카오통장까지 거래되고 있으며, 거래된 개인정보들이 결국 범죄도구로 이용되고 있다는 것을 보도한 바 있다. (관련기사: 클릭)
이번엔 블랙마켓에서 비싼 가격에 거래되고 있는 의료기관 환자정보에 대한 중국 블랙마켓 실상을 보도한다.
우선 예전 사례를 살펴보면, 2012년 9월 중국 블랙마켓에서 한국의 보건복지부, 국민건강보험, 노인장기요양보험 사이트 해킹 의뢰 게시글이 올라왔으며 해킹 비용은 180만원(1만 위안)이었다.
2013년과 2014년에는 한국 의료기관 서버를 해킹해 불법 원격프로그램을 설치하고 진료기록을 거래하겠다는 내용과 의료 관련 협회 사이트를 해킹해 웹쉘을 올려 놓은 정보를 해킹커뮤니티에서 공유하는 사례도 있었다.
2019년에는 대한치과위생사협회, 비뇨기과, 성형외과 등 다수의 사이트 관리자 계정을 보유중이며 관리자 권한을 판매한다는 글이 올라왔다. 또 병원 실시간 DB 판매글을 올리며 실제 DB 캡쳐 이미지를 보여주고 있다. 회원계정과 이름, 이메일, 주소, 휴대폰번호 등이 보인다. 심각한 상황이다.
이제 2020년 올라온 의료관련 블랙마켓 거래 실상들을 살펴보자.
2020년 1월에는 의사 DB, 치과의사 DB, 병원 DB 등을 해킹해서 판매하겠다는 글이 올라왔다. 해킹을 의뢰하고 돈을 지불하면 원하는 사이트를 해킹해 DB를 보내주겠다는 것이다. 이런 해킹 대행 게시물은 지속적으로 올라오고 있다. 대부분 실제 해킹으로 이어진다.
5월에도 의사, 병원 DB를 판매한다는 글이 올라왔다. 7월에도 병원 DB와 치과의사 DB 판매글이 올라오고 있다. 병원DB는 병원 회원 개인정보들을 말한다. 병원 사이트를 해킹해 관리자 권한을 획득하고 의료 개인정보를 실시간으로 빼내 판매하고 있는 것이다.
또 7월에 ○○시 약사회, 유명 임산부 커뮤니티 관리자 계정을 판매한다는 글도 올라왔다. 관리자 계정을 판매한다는 것은 사이트 내부 회원정보를 빼가는 것은 물론이고 다양한 2차 해킹 도구들을 전파할 수 있는 권한을 얻게 되는 것이다.
중국 블랙마켓에 거래되고 있는 다양한 의료기관 개인정보와 해킹정보들에 대한 실상을 알아봤다. 의료 개인정보는 해커들의 공격 타깃이 되고 있다. 관련 DB를 원하는 곳이 많기 때문이다. 의료기관은 각별한 주의와 정보보안에 대한 투자를 늘려야 한다.
데일리시큐는 중국 블랙마켓 인텔리전스 전문기업 씨엔시큐리티와 공동으로 소중한 한국인 개인정보가 중국에서 거래되고 있는 실상을 계속해서 조사해 나갈 방침이다.
이커머스 기업, 취업사이트, 네이버, 카카오(카카오톡) 그리고 이번에 공개된 의료기관 개인정보들이 중국 블랙마켓에 버젓이 판매되고 있으며 피해는 국민들이 당하고 있다. 개인정보 유출과 해킹에 대한 인텔리전스 정보 수집과 지속적인 모니터링 및 대응으로 자사 회원들과 국민들을 보호해야 하는 것은 기업과 정부의 개인정보보호에 대한 의무다.
개인정보보호위원회(위원장 윤종인)와 한국인터넷진흥원(KISA. 원장 김석환)은 중국에서 판매되고 있는 한국인 개인정보가 얼마나 심각한 상황인지 파악하고 대책을 마련해야 한다고 촉구한다.
★정보보안 대표 미디어 데일리시큐!★
