크레인웨어 해킹, 미국 병원·약국 수천 곳 환자 데이터 유출

영국 스코틀랜드에 본사를 둔 헬스케어 청구 소프트웨어 업체 크레인웨어(Craneware)가 해킹당해 직원과 고객, 협력사 기록 일부가 새어 나갔습니다. 크레인웨어 해킹 사실은 회사가 지난 7월 20일(현지시간) 런던증권거래소에 제출한 공시를 통해 처음 공개됐으며, 이 회사의 소프트웨어는 미국 내 병원·약국·클리닉 수천 곳이 환자 청구 업무에 쓰고 있어 파장이 예상됩니다.

크레인웨어 해킹, 무엇이 얼마나 털렸나

회사는 “상당한 양(significant volume)”의 데이터가 시스템에서 빠져나갔다고 밝혔습니다. 다만 직원 데이터, 고객 데이터, 파트너 기록의 “일부(percentage)”가 유출됐다고만 언급했을 뿐, 구체적으로 어떤 항목이 얼마나 새어 나갔는지는 공개하지 않았습니다.

공격자는 현재 시스템에서 축출된 것으로 보이며 내부 조사는 계속 진행 중입니다. 크레인웨어 최고경영자 키스 닐슨(Keith Neilson)은 랜섬 요구가 있었는지를 묻는 취재진 질의에 답하지 않았고, 이번 사고가 랜섬웨어 공격인지도 아직 공식 확인되지 않았습니다.

크레인웨어는 병원과 약국의 회계·청구 소프트웨어를 만드는 회사입니다. 2021년 플로리다의 약국 소프트웨어 업체 센트리(Sentry)를 인수하면서 20년간 쌓인 환자 기록 1억4700만 건에 접근권을 확보했다고 밝힌 바 있습니다. 이번 유출이 그 기록 전체와 직결된다는 뜻은 아니지만, 이 회사가 평소 얼마나 방대한 의료 데이터를 다루는 위치에 있는지 보여주는 숫자입니다.

표로 보는 최근 1년 미국 헬스케어 백엔드 업체 해킹

왜 유독 헬스케어 ‘뒷단’ 업체가 계속 뚫리나

환자를 직접 상대하지 않는 이런 업체들이 반복해서 표적이 되는 데는 구조적인 이유가 있습니다. 병원 하나하나를 따로 노리는 대신, 여러 병원이 공통으로 쓰는 청구·정산 소프트웨어 업체 한 곳만 뚫으면 그 아래 걸린 수천 개 기관의 환자 데이터에 한 번에 접근할 수 있기 때문입니다.

공급망의 한 지점만 공략하는 이 방식은 공격자 입장에서 들이는 비용 대비 얻는 데이터양이 훨씬 큽니다. 게다가 진단명, 보험 정보, 결제 이력 같은 의료·금융 데이터가 뒤섞여 있어 다크웹에서 비싸게 팔리고, 기업을 상대로 한 협박 카드로도 쓰기 좋습니다. 크레인웨어 사고 역시 랜섬 요구 여부가 아직 확인되지 않았을 뿐, 같은 패턴을 밟을 가능성은 배제할 수 없습니다.

이런 유형의 유출은 단순 개인정보 노출을 넘어 ‘의료 신원 도용’ 위험으로 이어질 수 있다는 점도 다른 유출 사고와 결이 다릅니다. 보험 정보와 진료 이력이 함께 새어 나가면, 제3자가 이를 이용해 허위로 보험을 청구하거나 진료를 받는 사례로 번질 수 있어 피해자가 사고 발생 후 한참 뒤에야 이상 청구서를 받고서야 알아채는 경우도 적지 않습니다.

Q&A로 정리하는 크레인웨어 해킹

Q. 한국 이용자도 영향을 받나요?
크레인웨어 고객은 미국 내 병원·약국이 중심이라 직접 영향권은 제한적입니다. 다만 미국에 거주하거나 유학·주재원으로 현지 병원·약국을 이용한 적이 있다면, 자신이 다닌 의료기관이 크레인웨어 계열 청구 시스템을 쓰는지 확인해볼 필요는 있습니다.

Q. 랜섬웨어 공격인가요?
아직 공식 확인되지 않았습니다. 회사는 “사이버 공격”이라고만 표현했고, 몸값 요구 여부도 밝히지 않았습니다.

Q. 정확히 어떤 정보가 새어 나갔나요?
회사는 직원, 고객, 협력사 기록의 “일부”가 유출됐다고만 밝혔을 뿐, 이름이나 진료기록 같은 구체적 항목은 공개하지 않았습니다. 조사가 마무리돼야 윤곽이 드러날 전망입니다.

Q. 추가 발표는 언제쯤 나오나요?
크레인웨어는 조사가 진행 중이라며 구체적 일정을 밝히지 않았습니다. 다만 상장사인 만큼 유의미한 진전이 있을 때마다 런던증권거래소 공시를 통해 추가 정보를 내놓을 가능성이 높습니다.

시사점

이 사건에서 눈여겨볼 지점은 유출 규모보다 ‘반복성’입니다. 체인지헬스케어, 에피소스, 트라이제토, 케어클라우드에 이어 크레인웨어까지, 1년 남짓한 사이 미국 헬스케어 백엔드 업체가 벌써 다섯 번째로 뚫렸습니다.

이런 패턴은 국내 헬스케어 SaaS나 병원 전자의무기록·청구 솔루션 업체에도 남의 나라 얘기가 아닙니다. 국내에서도 여러 병원이 같은 청구·전자의무기록 벤더에 의존하는 구조가 흔한 만큼, 벤더 한 곳의 보안 사고가 다수 의료기관과 환자에게 동시에 번질 수 있다는 위험 구조는 똑같습니다. 헬스케어 데이터를 다루는 국내 기업이라면 이번 사건을 강 건너 불구경하듯 넘기지 말고, 협력사·벤더 단의 접근 권한과 데이터 최소 보유 원칙을 다시 한번 점검해볼 시점입니다.

출처

• Hackers stole ‘significant’ amount of data from tech firm relied on by thousands of US hospitals and pharmacies
• Craneware confirms data breach after cyberattack
• TriZetto confirms 3.4M people’s health and personal data was stolen during breach
• Episource is notifying millions of people that their health data was stolen