폴란드 의료 소프트웨어 업체 Qbusoft가 SQL 인젝션(웹사이트나 앱이 입력값을 제대로 검사하지 않을 때, 공격자가 악성 데이터베이스 명령어를 끼워 넣어 정보를 빼내는 공격 기법) 취약점을 통해 환자 데이터를 도난당했습니다. 이 회사가 병원·의원에 제공하는 Medyc 플랫폼에서 이름, 주민등록번호에 해당하는 PESEL 번호, 주소, 전화번호, 이메일 등이 유출됐고, 진료 기록까지 빠져나갔을 가능성이 높은 것으로 확인됐습니다. 공격은 8월 22~23일 발생했지만 9월 9일에야 발견됐고, 이는 불과 몇 주 전 폴란드에서 약 1,900만 명의 정보가 유출된 MyDr 사건에 이은 두 번째 대형 의료정보 유출 사건입니다. 폴란드 디지털부 장관은 회사가 일부 사이버보안 대응 기관에 신고하지 않았다며 강한 제재를 예고했고, 개인정보보호 당국은 회사에 대한 감사에 착수했습니다.
폴란드 의료 소프트웨어 업체 Qbusoft가 SQL 인젝션 취약점을 통해 Medyc 플랫폼에서 환자 개인정보와 진료 기록을 도난당했다.
이름, PESEL(주민등록번호에 해당하는 폴란드 국민 식별번호), 주소, 전화번호, 이메일이 유출됐으며 퇴원 요약서 등 의료 기록도 유출됐을 가능성이 높다. 최대 500만 명이 영향을 받았을 수 있다는 보도가 나왔다.
애플리케이션 인터페이스에 존재하던 SQL 인젝션 취약점을 공격자가 악용해 암호화된 데이터베이스 아카이브를 외부로 빼돌렸다. 시간 제한 없는 데이터 추출 명령으로 인해 장기간 축적된 환자 정보가 통째로 유출됐다.
Qbusoft는 취약점을 발견 당일 제거하고 데이터베이스 권한을 제한했으며 모든 비밀번호와 기술적 인증정보를 재발급하고 인프라를 상시 모니터링 체계로 전환했다. 다만 CERT Polska와 보건의료 사고대응팀(CSIRT CeZ)에는 신고하지 않았다는 지적이 나오며 정부와 개인정보보호 당국의 조사·감사가 진행 중이다.
의료·헬스케어 분야는 SQL 인젝션 같은 기본적인 웹 취약점 점검과 침해사고 발생 시 모든 관련 기관(사고대응팀 포함)에 대한 신속하고 빠짐없는 신고 체계가 필수임을 보여주는 사례다.
본문
해커들이 폴란드 의료 소프트웨어 업체 Qbusoft로부터 환자 데이터를 훔쳤다. 이는 또 다른 업체에서 발생한 유출 사고로 폴란드 내 약 1,900만 명의 기록이 노출된 지 불과 몇 주 만에 벌어진 일이다.
이번 유출 데이터는 이 회사가 의원과 클리닉을 대상으로 환자 등록, 진료 기록, 처방전 관리를 위해 판매하는 플랫폼인 Medyc에서 나왔다.
지난 8월에는 바르샤바에 본사를 둔 MyDr의 소프트웨어를 사용하는 약 1만 2,000개 의료기관으로부터 공격자들이 약 1,900만 명의 데이터를 훔친 바 있다.
유출된 데이터베이스에는 PESEL 번호(폴란드 국민 식별번호), 연락처, 그리고 환자의 진료 방문, 처방전, 치료 이력에 관한 정보가 담겨 있었다.
Qbusoft, 데이터 도난 사실 확인
회사는 9월 25일 Medyc 웹사이트에 이번 사고에 관한 성명을 발표하며, 공격자들이 Medyc 인프라에 저장된 개인정보에 무단으로 접근해 이를 탈취했다고 확인했다.
확인된 유출 데이터에는 이름, PESEL 번호, 자택 주소, 전화번호, 이메일 주소가 포함된다. "현 단계에서는 진료 기록(의료 문서)의 유출은 확인되지 않았다"고 회사는 밝혔다.
회사는 9월 9일 인프라에 대한 "위험한 공격"을 감지했으며, 이후 중앙사이버범죄국(CBZC), 개인정보보호청(UODO), CSIRT NASK, e-헬스 센터, 사회보험기구(ZUS)에 이를 신고했다고 밝혔다.
또한 지난 한 주 동안 시스템이 반복적인 공격 시도에 노출되었다고 덧붙였다.
"공격의 강도와 빈도로 인해 서비스가 주기적으로 느려질 수 있으며, 일부 모듈에 대한 접근이 일시적으로 제한되거나 이용할 수 없게 될 수 있습니다"라고 성명은 밝히고 있다.
Qbusoft는 몇 명이 영향을 받았는지에 대한 세부 내용은 공개하지 않았다.
클리닉의 통지 내용
더 자세한 내용은 Medyc를 사용하는 이노브로츠와프(Inowrocław) 소재 중독·정신과 치료센터인 Odwykowo-Psychiatryczny Ośrodek Leczniczy에서 나왔다. 이 클리닉은 벤더의 성명 발표 하루 전인 9월 24일 환자들에게 통지했다.
"Qbusoft가 포렌식 전문가들의 지원을 받아 조사한 결과, 2026년 8월 22~23일 신원 미상의 공격자가 애플리케이션 인터페이스의 보안 결함(SQL 인젝션 취약점)을 악용한 것으로 나타났습니다"라고 클리닉은 밝혔다.
공격자는 이 취약점을 이용해 암호화된 데이터베이스 아카이브를 벤더의 시스템 밖으로 옮겼다. 이 공격은 9월 8일 밤부터 9일 사이에 발견됐다.
데이터 추출 명령에는 시간 제한이 없었다. 클리닉에 따르면 이는 공격자가 2024년 7월 1일부터 2026년 8월 23일 사이에 해당 클리닉의 중독 치료 주간 병동에서 치료받은 모든 환자의 개인정보를 탈취했음을 의미한다.
데이터베이스에는 이름과 PESEL 번호가 암호화된 형태로 저장되어 있었다. 그러나 클리닉의 통지문에 따르면, 코드가 구성된 방식 때문에 벤더는 클리닉 측에 해당 데이터가 쉽게 복호화될 수 있다고 가정하고, 공격자들이 평문 형태로 접근했을 것으로 간주하라고 안내했다.
공격자는 또한 의료 데이터를 담고 있는 데이터베이스 테이블에 대해서도 스크립트를 실행했다. 벤더는 클리닉 측에 공격자들이 퇴원 요약서 형태의 진료 기록을 확보했을 가능성이 매우 높다고 밝혔다.
클리닉은 환자들에게 건강 및 치료에 관한 정보가 자신들에게 불리하게 이용될 수 있다고 경고하며, "이는 인격권과 사생활 침해, 또는 거주지와 직장에서의 부당한 대우로 이어지는 방식을 포함할 수 있다"고 밝혔다.
클리닉은 사기범들이 환자들에게 연락해 치료 이력을 언급하며 가짜 의료 서비스나 치료 서비스를 제안할 수 있다고 경고했다.
Qbusoft는 공격을 발견한 당일 해당 취약점을 제거했다. 회사는 데이터베이스 권한을 제한하고, 모든 비밀번호와 기술적 보안 정보(시크릿)의 강제 교체를 실시했으며, 인프라를 상시 모니터링 체계 하에 두었다.
신고 관련 논란
폴란드 부총리 겸 디지털부 장관인 크시슈토프 가브코프스키(Krzysztof Gawkowski)는 자신의 X 계정 게시물을 통해 CBZC가 이번 사건을 더 광범위한 수사의 일환으로 조사하고 있다고 발표했다.
Qbusoft가 당국에 신고했다고 밝혔음에도 불구하고, 가브코프스키는 같은 게시물에서 이 회사가 CERT Polska나 폴란드 e-헬스 센터의 사고대응팀인 CSIRT CeZ에는 신고하지 않았다고 밝혔다.
"민간 기업에 의한 어떠한 보안 절차 위반이 있을 경우, 가장 엄중한 조치가 시행될 것입니다"라고 그는 경고했다.
폴란드 개인정보보호청(UODO) 청장인 미로스와프 브루블레프스키(Mirosław Wróblewski)는 이번 유출이 폴란드 내 최대 500만 명의 의료 데이터와 관련될 수 있다는 언론 보도를 인용하며, Medyc 운영사에 대한 감사를 지시했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
