개인정보는 과연 안전한가? 영국 NHS 사례로 보는 디지털 보안의 현실
안녕하세요.
오늘은 우리가 평소에는 무심코 지나치지만, 그 중요성은 실로 막대한 주제인 데이터 보안에 대해 이야기해보려 합니다. 특히 최근 영국 국가 건강 서비스(NHS)와 관련된 사건은 개인정보 보호에 대한 경각심을 다시 한번 일깨워주는 계기가 되었습니다.
2025년 상반기, 영국의 디지털 보건 시스템 일부에서 충격적인 보안 취약점이 드러났습니다. 바로 NHS의 디지털 예약 시스템 중 하나인 ‘메데퍼(Medefer)’라는 소프트웨어에서 API 보안이 제대로 적용되지 않은 채 수년간 운영되어 왔다는 사실이 밝혀진 것이죠.
1. 사건의 발단 : 누구나 접근 가능한 환자 정보?
이번 사건을 최초로 보도한 컴퓨터 위클리(Computer Weekly)에 따르면, 메데퍼는 NHS의 외부 협력 디지털 헬스케어 플랫폼으로, 주로 환자 진료 예약과 의뢰 과정을 자동화하는 기능을 제공합니다. 이 시스템은 매달 1,500건 이상의 환자 요청을 처리하고 있었고, 그만큼 민감한 의료 정보들이 지속적으로 전송되고 저장되고 있었습니다.
하지만 문제는, 해당 시스템의 API(응용 프로그래밍 인터페이스) 중 일부가 인증 없이도 접근 가능한 상태였다는 점입니다. 이는 다시 말해, 누구든지 웹 브라우저나 간단한 스크립트를 통해 환자 정보에 접근할 수 있었을 가능성이 있다는 뜻입니다.
더욱 놀라운 것은 이 취약점이 최소 6년 이상 존재해왔다는 점입니다. 이는 단순한 실수가 아니라, 구조적·관리적 보안 실패로 해석될 수 있습니다.
2. 침해 여부는 아직 불명확…그러나 위협은 실존
메데퍼 측은 즉각적으로 해당 의혹을 부인하며, “외부 사이버 보안 감사에서 실제 데이터 유출 정황은 발견되지 않았다”고 주장했습니다. 또한, 영국의 정보위원회(ICO) 역시 이 사안을 조사한 뒤, 추가적인 법적 조치를 취할 필요는 없다는 판단을 내린 것으로 알려졌습니다.
그러나 중요한 것은 “데이터가 실제로 유출되었는가”가 아니라, “그럴 수 있었는가”입니다.
사이버 보안의 핵심은 ‘사건이 발생하고 난 후’가 아니라, 그런 일이 애초에 일어나지 않도록 예방하는 시스템과 의식입니다.
만약 악의적인 해커가 이 결함을 먼저 발견했다면 어땠을까요? 그들은 수천 명의 의료 정보, 신분증, 예약 내역, 진단 결과 등을 단숨에 수집할 수 있었을 것입니다. 특히 의료 정보는 다크웹에서 거래되는 데이터 중 가장 가치 높은 자산 중 하나입니다. 이는 단순한 개인정보가 아니라, 신분 도용, 보험 사기, 사회공학적 공격 등에 활용될 수 있기 때문이죠.
3. 해커들이 의료 데이터를 노리는 이유
의료 정보는 단순한 주민번호나 이메일보다 훨씬 많은 것을 담고 있습니다.
예를 들어 :
- 이름, 생년월일, 주소, 연락처
- 진료 이력, 복용 중인 약물, 정신건강 기록
- 보험 정보 및 지불 이력
- 병원 진단서, 의뢰서, 검사 결과 등
이러한 정보는 단순히 개인의 건강을 알려주는 것을 넘어서, 그 사람의 삶 전체를 파악할 수 있는 수준의 정보를 담고 있습니다. 그래서 해커들은 금융정보보다 의료 정보를 더 고가에 거래하기도 합니다.
또한, 보건의료 시스템은 보안이 취약한 경우가 많습니다. 그 이유는 다음과 같습니다:
- 다양한 하청 IT 시스템이 연결되어 있어 관리가 복잡함
- 노후화된 서버나 소프트웨어를 사용하는 경우가 많음
- 의료진이 보안보다 편리성을 중시할 수 있음
- 응급 상황 대비 구조로 인해 접근 제한이 느슨할 수 있음
4. API 취약점이란 무엇인가?
API는 시스템 간 데이터를 주고받는 통로입니다. 예를 들어, 여러분이 앱에서 예약을 누르면, 그 정보가 병원 서버로 전송되는데 이때 사용되는 것이 API입니다.
이번 메데퍼 사례에서는 이 API가 사용자 인증 없이도 호출 가능하도록 설계되어 있었습니다. 이는 마치 비밀번호 없이 누구나 문을 열 수 있는 병원 기록실을 운영한 것과 다름없죠.
해커들은 이런 API를 자동화된 스크립트로 수천 번 호출해, 환자 리스트를 통째로 긁어가는 공격을 감행할 수 있습니다. 게다가 AI 기반 스크레이퍼 툴이 발전하면서, 그 속도와 정밀도는 갈수록 높아지고 있습니다.
5. 우리는 어떤 대비를 해야 할까?
▷ 일반 사용자 입장에서 :
- 주기적으로 비밀번호를 변경하고, 의료기관 포털 계정에 이중 인증(2FA)을 설정하세요.
- 자신의 병원 기록 또는 보험 기록에서 이상 징후(예: 모르는 병원 방문 기록 등)가 없는지 정기적으로 모니터링하세요.
- 가급적 민감한 의료 정보는 이메일이나 메신저로 공유하지 마세요.
▷ 기업/기관 입장에서 :
- API 인증 및 접근 제어 정책을 재검토하고, 외부 접근 가능 여부를 점검해야 합니다.
- 정기적인 보안 취약점 스캐닝 및 패치가 필수입니다.
- 보건 데이터는 일반 데이터보다 더 높은 보안 수준이 필요하다는 점을 인식하고, 개발 단계에서부터 보안을 설계하는 것이 중요합니다.
- 사이버 공격 시뮬레이션 훈련(레드팀·블루팀 테스트)도 강력히 권장됩니다.
6. 데이터 보안은 ‘기술’이 아니라 ‘문화’입니다
이번 사건은 단지 기술적인 실수가 아니라, 관리와 인식의 부재에서 비롯된 문제로 봐야 합니다.
기업들이 보안 솔루션을 도입해놓고도 관리하지 않거나, 비용 문제로 업데이트를 미루는 순간, 취약점은 바로 공격 지점이 됩니다.
따라서 데이터 보안은 일회성 솔루션이 아닌, 지속 가능한 문화와 습관이어야 합니다.
마무리하며 : 우리는 언제든 타깃이 될 수 있다
메데퍼 사건은 의료 데이터가 가진 민감성과 그에 따른 보안 위협을 다시 한 번 명확히 보여줍니다.
NHS처럼 국가 규모의 기관도 완벽하지 않습니다. 그렇다면 개인과 중소기업은 더욱 철저한 대비가 필요합니다.
데이터는 21세기의 자산이며, 동시에 약점이 될 수도 있습니다.
개인의 정보, 기업의 데이터, 환자의 기록 모두가 해커들의 표적이 될 수 있다는 사실을 잊지 마세요.