미국 헬스케어 소프트웨어 기업 언리미티드 테크놀로지 시스템즈(Unlimited Technology Systems, 이하 UTS)가 대규모 데이터 유출 사고를 공식 확인했다. 회사는 지난해 10월 5일부터 10일까지(현지시각) 자사 상업용 데이터센터에 침입한 공격자가 환자 개인정보를 빼갔을 가능성이 있다고 밝혔다. 미국 보건복지부(HHS) 유출 신고 포털에는 피해 규모가 380만3750명으로 등록됐다. 더 레지스터(The Register)는 이 사고가 올해 HHS에 신고된 헬스케어 침해 사고 중 최대 규모라고 짚었다. 유출된 정보에는 이름, 사회보장번호(SSN), 진단명, 보험 정보 등이 포함돼 파장이 커지고 있다.

사건 경위…10월 침입, 7월에야 공개

UTS는 지난해 10월 19일(현지시각) 자사 상업용 데이터센터 내 비인가 활동을 처음 포착했다. 이후 보안 포렌식 업체를 선임해 조사에 착수하고 법 집행기관에 신고했다. 조사 결과 공격자는 10월 5일부터 10일까지 5일간 시스템에 접근해 파일을 열람했고, 이 과정에서 UTS가 서비스를 제공하는 의료기관 환자들의 개인정보 사본을 확보했을 가능성이 있는 것으로 파악됐다.

회사는 올해 7월 1일(현지시각)부터 피해자들에게 유출 통지문 발송을 시작했다. 다만 당시에는 정확한 피해 인원을 공개하지 않았다. 이후 HHS 포털과 아이오와주 검찰총장에게 제출된 통지 문건을 통해 정확한 규모가 380만3750명으로 드러났다. UTS는 통지문에서 “2025년 10월 19일 상업용 데이터센터 내 비인가 활동을 발견했다”며 “조사를 진행하는 과정에서 비인가 행위자가 2025년 10월 5일에서 10일 사이 일부 개인정보를 확보했을 수 있다는 사실을 확인했다”고 밝혔다. 회사는 공격에 사용된 침입 경로나 공격자의 신원은 공개하지 않았으며, 현재까지 어떤 랜섬웨어나 갈취 조직도 이번 공격에 대한 책임을 주장하지 않고 있다.

유출 정보 범위…완전한 의료기록·결제정보는 제외

이번 사고로 노출됐을 가능성이 있는 정보는 이름, 생년월일, 주소, 이메일, 전화번호 등 인적사항과 사회보장번호다. 여기에 건강보험 정보, 보험증서 번호, 청구 및 급여 정보, 환자 잔액, 의료기록번호, 진료일, 진단명 등 의료·보험 데이터도 포함됐다. 운전면허증이나 기타 정부 발급 신분증, 보험카드, 접수 양식 등을 스캔한 문서 파일도 유출 대상에 올랐다.

다만 UTS는 이번 사고로 완전한 형태의 의료기록이나 의료 영상, 신용카드 번호, 은행 계좌 정보는 노출되지 않았다고 밝혔다. 회사는 또한 현재까지 유출된 정보가 실제로 악용됐다는 사실이나 시도가 확인되지 않았다고 덧붙였다. 다만 사회보장번호와 진단정보, 신분증 스캔본까지 함께 유출된 만큼 명의도용이나 보험 사기에 활용될 위험은 배제하기 어렵다는 지적도 나온다.

UTS는 어떤 회사인가…환자들은 왜 낯선 회사 통지를 받나

UTS는 오하이오주 몽고메리(Montgomery)에 본사를 둔 헬스케어 기술 기업이다. 의료기관을 대상으로 재무·청구·수익주기관리(revenue cycle management) 솔루션을 제공하는 회사로, 종양학(oncology) 진료기관 4,500여 곳과 전문 의료 공급자 6,500여 곳을 지원한다. 블리핑컴퓨터(BleepingComputer)에 따르면 UTS는 연간 700억 달러 이상의 순 의료비 청구(net healthcare charges)를 처리하는 규모의 회사다.

UTS는 병원이나 의원이 아니라 이들 의료기관의 결제·청구 업무를 대리 처리하는 후방 업체다. 블리핑컴퓨터는 이 때문에 피해를 입은 환자 대다수가 UTS와 직접적인 거래 관계가 없어, 낯선 회사로부터 유출 통지를 받고 혼란을 겪는 경우가 많다고 전했다. 환자 입장에서는 자신이 이용한 병원이 아니라 그 병원의 백엔드 시스템을 운영하는 업체에서 정보가 새어나간 셈이다.

대응 조치와 업계 시사점

UTS는 이번 사고 이후 보안 조치를 강화했다고 밝혔다. 아울러 피해자들에게 크롤(Kroll)을 통한 신용 모니터링, 사기 상담, 신원도용 복구 서비스 등 24개월간 무료 신원보호 서비스를 제공하고 있다.

더 레지스터는 이번 사고로 UTS가 380만 명 규모의 피해를 기록하면서, 앞서 340만 명이 영향을 받은 트라이제토 프로바이더 솔루션즈(TriZetto Provider Solutions) 사고를 넘어 올해 HHS에 신고된 헬스케어 침해 사고 중 최대 규모로 올라섰다고 짚었다. 매체는 “공격자가 한 번에 수백만 건의 의료 기록을 확보하려 한다면 병원을 하나씩 노크하기보다 데이터를 관리하는 후방 업체를 노리는 쪽이 훨씬 효율적일 수 있다”고 지적했다. 병원 자체 보안이 강화되는 사이 의료 데이터를 대량으로 취급하는 IT 협력업체가 공격의 새로운 목표가 되고 있다는 뜻이다.