사이버공격, 인명피해 발생시킬 수 있는 상징적 장소가 바로 병원
코로나19 백신 등으로 제약 분야에 돈이 몰리자, 해커들의 주요 타깃 부상

[보안뉴스 문가용 기자] 코로나로 온 세상이 발만 동동 구르고 있을 때 최전선에서 바이러스와의 싸움을 진두지휘했던 의료 분야이지만, 2021년 역시 녹록치 않을 것으로 보인다. 일단 코로나 사태가 2021년에도 계속해서 이어질 것이 확실하고, 팬데믹 선언 이후 모든 사람들의 이목이 의료 업계에 집중되었기 때문이다. 이목만 집중된 것이 아니라 백신이 본격적으로 유통되면서 세계 경제의 적잖은 자본이 의료·제약 분야로 유입될 것 역시 확정적이다. 사람과 돈이 몰리면 뭐가 꼬인다? 해커들이다.

의료 분야의 정보보호 능력이 부실하다는 건 오래전부터 지적되어 왔다. ‘질병을 연구하고 치료하는 것’에 대부분의 역량과 전문성이 투자되는 분야이기 때문에 사이버보안에 특별히 신경을 쓸 필요가 없었고, 그럴 여유도 없었다. 그러다가 비교적 최근인 2017년 의료 업계에 첫 번째 강렬한 충격이 온다. 바로 워너크라이(WannaCry)라는 대규모 랜섬웨어 공격이다. 영국 건강보험공단(NHS)이 최초 피해자들 중 하나로 이 사건에 엮여들면서 1억 2천만 달러에 달하는 피해를 입었다. 이 때 여파가 얼마나 컸었냐면 ‘랜섬웨어’라는 전문용어가 옥스퍼드 영어 사전에 등재될 정도였다.


[이미지 = utoimage]

충격 또 충격
두 번째 충격은 코로나 바이러스였다. 의료 행위라는 측면 외에 ‘데이터의 가치’라는 측면에서도 그랬다. 치료제와 방법이 존재하지 않는 상황에서 의료기관과 연구센터들에서 생성 및 보관되는 코로나 관련 데이터와 환자의 기록들은 한 때 지구상에서 가장 귀한, 그러므로 비싼, 데이터로 취급받았다. 어떻게 해서든 해결의 실마리를 찾아야 하는 사람들, 특히 치료제를 제일 먼저 만들어 이 상황을 어떻게 해서든 노다지로 전환시키려는 자들에게 있어 환자 정보와 연구 데이터는 필수적으로 확보해야 하는 것이었다.

이 때문에 국가가 지원하고 운영하는 엘리트 해킹 부대와 민간인들로 구성된 사이버범죄 집단 모두가 의료 기관들에 달려들었다. 병원만이 아니라 백신이 연구되고 있는 실험실과 기관들도 공격대상이 되었다. 지난 1년 동안 백신 도둑이라는 지목을 가장 받은 나라는 중국, 러시아, 북한이다. 7월 영국의 국립사이버보안센터(NCSC)는 러시아 첩보기관의 스파이들이 코로나 백신 기관들을 표적 삼아 공격하고 있다고 발표했다. 같은 달 미국 사법부가 중국인 2명을 기소하며 “미국 내 백신 연구기관 3곳을 공격했다”고 주장했는데 이 중에는 모더나(Moderna)가 포함되어 있었다. 그러더니 영국의 백신 업체인 아스트라제네카(AstraZeneca)의 연구 자료를 북한 해커들이 훔치려 했다는 보도가 나왔다. 그 외에도 배후 세력을 다 알 수 없는 크고 작은 해킹 공격이 WHO, 유럽의약청 등에서도 발생했다.

세 번째 충격은 지난 9월에 있었다. 랜섬웨어 때문에 병원의 환자가 실제로 생명을 잃은 사건이다. 병원을 겨냥한 사이버공격 때문에 발생한 첫 사망 사건이다. 원래는 독일 뒤셀도르프 대학을 노린 것으로 보이는 이 공격은 해커도 당황하게 만들었다. 병원이 사정을 알리자 해커는 얼른 복호화 키를 내놓고 종적을 감추었다. 하지만 복호화 키를 손에 쥔다고 시스템 복구가 순간 다 되는 건 아니다. 안타깝게도 환자 한 명이 아직 복구 중이었던 이 병원으로 후송됐다가 치료를 받지 못해 다른 병원으로 옮겨지던 중 사망했다.

의료계 보안의 문제들
2021년에 네 번째, 다섯 번째 충격을 줄 사건이 등장할 가능성이 높다고 보이는 것은 여러 가지 이유 때문이다. 먼저 의료 분야를 잘 이해하고 있는 보안 전문 인력이 턱없이 부족하다. 그리고 코로나로 인해 예산이 불균형하게 편성되는 경우가 늘어났다. 많은 의료기관의 보안 담당 부서의 예산은 2021년 줄어들었다고 한다. 병원이나 의료기관을 위한 맞춤형 보안 솔루션도 그리 많지 않은 게 현실이다.

게다가 병원이라고 해서 코로나로 인해 보편화된 재택근무 체제로부터 면제되는 것은 아니었다. 그리고 재택근무 현장으로 물러난 의료진 혹은 병원 근무자들은 90% 이상이 제대로 된 보안 가이드라인이나 업데이트 관리를 받지 못했다고 한다. 심지어 올해까지 보안교육을 제대로 받지 못한 의료 인력이 40%라는 연구 결과가 있을 정도다. 얼마 전에는 인터넷에 비밀번호도 없이 노출된 의료 업계 데이터베이스들 속에서 수천만 장에 달하는 의료 영상 이미지들이 발견되기도 했다. 한국 병원의 것으로 보이는 데이터가 두 번째로 많았다.

어쩌면 보안업계의 노다지
병원의 보안 수준이 한 번에 높아지기를 기대할 수 없는 건 소비자들이 거래를 쉽사리 끊을 수 없다는 의료 업계의 특수성 때문이기도 하다. 여기서 소비자는 환자들인데, ‘내 개인정보를 함부로 하는 병원’이라는 이유로 치료를 잘 받아왔던 곳으로의 발길을 단번에 끊기가 쉽지 않다. 정보보호의 소홀함이 금전적인 대가로 돌아올 가능성이 높지 않다는 것이다. 그러므로 국가가 나서서 규정을 만들어 의료 업계의 사이버보안을 강화하려 할 것으로 예상된다.

그렇기 때문에 당장의 문제를 해결하기 위해 병원과 의료기관들은 보안 대행 서비스를 적극 이용할 것으로 예상된다. 그렇다면 공은 보안업계로 넘어온다. 보안업계는 의료 조직의 데이터를 돈 받고 대신 보호할 정도로 의료 조직들을 잘 이해하고 있는가? 병원들을 안전히 보호할 기술력을 갖추고 있는가? 병원만의 특수성을 얼마나 고려할 수 있는가? 국가나 산업에서 새로 만들지도 모르는 법, 규정, 표준들을 잘 녹여낼 수 있는가? 노다지는 백신 개발만이 아니라 병원 보안에 있을지도 모르겠다.
[문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>