Bloomberg가 텍사스주 검찰총장실 보고서를 인용해 보도한 내용에 따르면, Oracle Health의 기존 의료 기록 시스템을 겨냥한 사이버 공격으로 약 2,000만 명의 개인정보와 의료 데이터가 노출됐을 가능성이 있다. 이는 이전에 환자 통지와 규제기관 제출 자료에 나타난 수치보다 훨씬 많다.
Oracle은 피해자 수를 확인하는 공개 성명을 발표하지 않았으며, Bloomberg의 문의에도 해당 수치에 대한 논평을 거부했다. 약 2,000만 명이라는 피해 규모가 확인될 경우, 이번 사건은 미국에서 기록된 의료 데이터 침해 사건 중 가장 큰 규모의 사건 중 하나가 된다.
해킹은 어떻게 발생했나?
Oracle은 2025년 3월 고객들에게 일부 Cerner 데이터에 대한 무단 접근이 있었다고 알렸다. 해당 데이터는 아직 Oracle Cloud로 이전되지 않은 기존 서버에 저장돼 있었다. 회사는 이용 가능한 증거에 따르면 공격자가 고객 중 한 곳의 탈취된 인증 정보를 사용해 2025년 1월 22일 이후 어느 시점에 서버에 접근한 뒤 데이터를 원격 서버로 복사했다고 밝혔다.
오리건주 규제기관에 제출된 자료에 따르면 해킹 기간은 2025년 1월 22일부터 4월 1일까지였으며, 사건은 같은 해 2월 20일 발견됐다.
어떤 종류의 데이터가 영향을 받았을 가능성이 있나?
Cerner가 캘리포니아주 규제기관에 제출한 통지문 샘플에 따르면, 잠재적으로 포함된 정보에는 개인의 이름과 사회보장번호가 있었으며, 의료 기록에 포함된 의료 기록 번호, 의사 이름, 진단, 약물, 검사 결과, 영상, 진료 및 치료 정보도 포함됐다.
현재까지 공개된 통지문은 주별 영향 규모가 크게 달랐음을 보여준다. 텍사스주 검찰총장실 포털에는 피해자 2,992,244명이 기재됐으며, 사우스캐롤라이나와 워싱턴주의 통지문에서는 각각 약 28만 3,000명과 6만 9,000명이 언급됐다.
이 소식이 중요한 이유는?
이번 사건의 중요성은 잠재적인 피해자 수의 규모뿐 아니라 표적이 된 데이터의 성격에도 있다. 의료 기록이 식별 정보 및 사회보장번호와 결합된 형태로 접근될 경우, 일반적인 연락처 데이터 유출보다 사기와 개인정보 침해 위험이 커질 수 있다. 또한 이번 사건은 기관들이 더 현대적인 클라우드 아키텍처로 이전하는 동안에도 기존 시스템에 운영상의 위험이 남아 있을 수 있음을 보여준다.
당시 소식통들은 피해 병원에 대한 갈취 시도가 «Andrew»라는 이름으로 알려진 단일 위협 행위자에 의해 이뤄졌다고 전했다. 다만 이 행위자가 알려진 갈취 조직이나 랜섬웨어와 연계돼 있다는 발표는 없었다. 공격자는 수백만 달러 상당의 암호화폐를 요구했으며, 피해자에게 압박을 가하고 데이터의 공개 또는 판매를 막기 위해 공개 웹사이트를 개설했다.
Oracle은 2022년 6월 약 283억 달러 규모의 거래로 Cerner를 인수했으며, 회사는 이후 Oracle Health라는 이름으로 운영되고 있다. 더 큰 규모의 비교 사례는 2024년 Change Healthcare에 대한 랜섬웨어 공격으로, 발표된 수치에 따르면 1억 9,270만 명에게 영향을 미쳤다. Oracle Health의 최종 피해 규모는 회사나 규제기관이 포괄적이고 검증된 수치를 발표할 때까지 확정되지 않는다.