대규모 데이터 유출, 미국 의료시스템에서 1억명에게 영향을 미쳐

주요 데이터 유출 사건으로, UnitedHealth는 지난 2월 Change Healthcare를 대상으로 한 랜섬웨어 공격으로 1억 명 이상의 개인 및 건강 관련 정보가 도난당했다고 확인했습니다. 이 사건은 최근 수년간 가장 광범위한 건강 관련 데이터 유출 사건 중 하나로 간주되고 있습니다. 이는 BleepingComputer(BC)에서도 언급했습니다.

Change Healthcare는 미국 전역에서 보험 및 청구 데이터를 주로 처리하며, 미국인구의 약 3분의 1에 해당하는 건강 정보를 관리하고 있습니다. 이번 유출로 인해 수천 개의 병원, 약국, 의료기관들의 민감한 데이터가 노출되어 미국의 건강 데이터 인프라의 취약성을 드러냈습니다. 이 점은 TechCrunch(TC)에서도 지적했습니다.

BC는 6월의 침해 사건에 이어 몇 달 동안, Change Healthcare가 도난당한 데이터에는 다양한 민감한 정보가 포함되어 있다고 밝혔다고 보도했습니다.

건강 보험 상세 정보, 의료 기록, 결제 및 청구 정보, 그리고 사회 보장 번호와 운전 면허증 번호와 같은 개인 식별 정보가 침해당한 데이터에 포함되어 있었습니다. 그러나 BC에서 지적한 바와 같이, 모든 피해자의 의료 기록이 노출된 것은 아니었습니다.

미국 보건복지부의 시민권리국(OCR)이 최근 사건에 대한 위반 보고서를 업데이트했습니다. OCR은 그들의 FAQ 페이지에서 “이번 위반에 대해 대략 1억 건의 개별 통지가 발송되었다”고 밝혔습니다.

이번 달 초, 로이터는 Change Healthcare가 이번 위반으로 인해 심각한 운영 중단을 예상하며, 지불 지연 및 서비스 중단으로 인한 7억5천만 달러의 재정적 영향을 예상한다고 보도했습니다. UnitedHealth는 이에 대응하여 건강 관리 제공자에게 수십억 달러의 대출을 발행하고, 피해를 입은 고객들에게 알림 비용을 부담하였습니다.

TC는 이 공격이 ALPHV/BlackCat 랜섬웨어 그룹에 의해 행해졌다고 보고하였으며, 이는 Change Healthcare가 네트워크의 대부분을 폐쇄하여 침입을 차단한 2월에 처음으로 발생했습니다. 이로 인해 보건 의료 부문 전반에 즉각적인 서비스 중단이 발생했습니다.

공격 이후, ALPHV/BlackCat은 UnitedHealth로부터 지급된 보고된 $22 백만의 몸값과 함께 사라졌습니다. 내부 분쟁 후, 해킹에 관련된 계약자들은 새 그룹을 구성하여 두 번째 갈취를 시도했으며, 그들의 요구 사항을 증명하는 일부 도난된 데이터를 온라인으로 유출했습니다. 이는 TC에 의해 보고되었습니다.

도난당한 데이터의 사본에 대한 Change Healthcare의 접근 권한이 회사에게 영향을 받은 개인들을 식별하고 알릴 수 있게 해주었다고 TC가 말했습니다. 데이터가 완전히 삭제되었다는 증거는 없지만, LockBit과 같은 랜섬웨어 그룹들은 피해자들이 몸값 요구를 따르더라도 도난당한 데이터를 계속 보유하는 경향이 있다고 TC가 지적했습니다.