미국 최대 신장 관리 및 투석 서비스 제공업체 중 하나인 DaVita가 약 270만 명에게 영향을 미친 데이터 침해에서 비롯된 제안된 집단소송을 해결하기 위해 1,500만 달러를 지급하는 데 동의했다. 회사는 지난주 콜로라도주 판사가 승인한 합의안에 서명했지만, 이 합의는 여전히 예비 승인 단계에 있다.
이 사건은 2025년 4월 Interlock 그룹이 실행한 랜섬웨어 공격과 관련이 있으며, 미국 전역에서 2,600개가 넘는 외래 투석 센터를 운영하는 DaVita의 시스템을 표적으로 삼았다. 회사는 공격을 발견한 뒤 사건에 대응하는 동안 수작업 절차로 전환하고 백업 시스템에 의존해야 했다고 밝혔다.
어떤 데이터가 위험에 노출됐나?
소송 및 합의안에 포함된 정보에 따르면, 이번 침해로 환자의 이름과 주소, 사회보장번호, 건강보험 정보, 투석과 관련된 검사실 결과, 그리고 회사를 수취인으로 작성한 수표 이미지가 노출됐을 가능성이 있다.
초기 법적 소장 중 하나에 따르면, 공격자들이 몸값을 받는 데 실패한 뒤 Interlock은 피해자들의 개인정보를 다크웹에 공개했다. Health Information Sharing and Analysis Center에 따르면 이 그룹은 데이터 절도와 시스템 암호화, 정보 유출 위협을 결합하는 이중 갈취 방식을 사용한다.
비용은 합의금보다 크다
기사에 따르면 이번 공격으로 DaVita는 2025년 동안 약 2,500만 달러의 비용을 부담했으며, 최소 10건의 소송이 제기됐다. 이후 이 소송들은 하나의 소장으로 통합됐고, 현재 합의가 진행 중이다. 원고들은 유출된 데이터의 특성으로 인해 사기와 신원 도용 위험이 계속되는 것을 비롯해 여러 피해를 입었다고 합의안은 밝혔다.
DaVita는 이번 공격을 신속하게 대응한 사건으로 묘사했으며, 회사 대변인은 개인정보 보호의 중요성을 인식하고 사이버 방어를 계속 강화하고 있다고 말했다. 출처는 이러한 방어 체계에 관한 기술적 세부 사항이나 사건 이후 회사가 시행한 운영상의 변화에 대해서는 설명하지 않는다.
이 소식이 중요한 이유
이번 사건은 의료기관에 대한 랜섬웨어 공격의 영향이 시스템 중단이나 직접적인 복구 비용에만 국한되지 않는다는 점을 보여준다. 수작업 절차로의 전환은 업무 흐름에 영향을 미칠 수 있으며, 환자 데이터 유출은 특히 사회보장번호, 검사 결과, 보험 정보가 포함될 경우 장기적인 법적·개인정보 보호 문제를 더한다.
또한 의료 부문을 표적으로 삼는 것으로 알려진 그룹과 이번 공격의 연관성은 시스템을 격리해야 할 때에도 백업을 보호하고 서비스를 계속 제공할 수 있는 역량을 갖추는 일이 중요하다는 점을 보여준다. 몸값을 지급하지 않는다고 해서 위험이 끝난다고 볼 수는 없다. 그러나 현재 이용 가능한 정보만으로는 침해 원인이나 DaVita의 새로운 보안 조치가 얼마나 성공적인지 입증할 수 없으며, 최종적인 법적 책임도 아직 확정되지 않았다.
법원은 아직 최종 승인 심리 일정을 정하지 않았으며, 기사에 따르면 심리는 내년에 열릴 예정이다. 따라서 1,500만 달러는 제안된 합의금일 뿐이며, 현재 단계에서 최종 판결이나 청구금의 지급이 확정된 것은 아니다.