미국 가정용 의료기기 업체 AdaptHealth가 2026년 6월 발생한 사이버 공격으로 약 411만 명의 개인정보가 유출됐다고 공식 확인했습니다. 공격자는 외부 계약업체 직원의 계정을 소셜 엔지니어링(사람을 속여 계정 정보를 빼내는 수법)으로 탈취한 뒤 클라우드 기반 환자 관리 시스템과 전자 의무기록 시스템에 침투했습니다. 유출된 정보에는 이름, 연락처, 건강보험 정보, 건강 정보 등 민감한 의료 관련 데이터가 포함됩니다. 해킹 그룹 ShinyHunters가 배후로 지목되며, 공격자는 데이터 공개를 빌미로 랜섬(몸값)을 요구했습니다. 피해자들에게는 12개월 무료 신용 모니터링 및 신원 보호 서비스 안내 통보가 발송됐습니다.
해킹 그룹 ShinyHunters가 외부 계약업체의 특권 계정을 소셜 엔지니어링으로 탈취해 AdaptHealth의 클라우드 환경에 침투, 약 411만 명의 환자 데이터를 유출했다.
이름·연락처·인구통계 정보·건강보험 정보·건강 정보가 4,115,802명 규모로 유출됐으며, 미국 전역 50개 주에 걸친 환자들이 피해를 입었다.
제3자 계약업체 직원 계정을 대상으로 한 소셜 엔지니어링 공격이 성공해 특권(privileged) 계정이 침해됐고, 이를 통해 클라우드 기반 업무 애플리케이션과 전자 의무기록 포털에 무단 접근이 이루어졌다.
AdaptHealth는 SEC에 사건을 공시하고, 피해자에게 개별 통지문 및 12개월 무료 신용 모니터링·신원 보호 서비스를 제공했다. 현재까지 실제 신원 도용·사기 피해 사례는 확인되지 않았다.
제3자 계약업체의 특권 계정이 침해 경로가 된 만큼, 외부 벤더 계정에 대한 최소 권한 원칙 적용, MFA(다중 인증) 강제화, 그리고 소셜 엔지니어링 대응 교육이 핵심 예방 조치다.
본문
의료기기 업체 AdaptHealth가 7월에 발견된 사이버 공격으로 410만 명의 데이터가 유출됐음을 공식 확인했습니다. 이번 공격은 ShinyHunters 위협 그룹의 소행으로 알려졌습니다.
AdaptHealth는 수면 무호흡증 및 호흡기 장비, 산소 치료기, 병원용 침대, 이동 보조 기기 등 가정용 의료기기와 관련 용품·서비스를 제공하는 업체입니다.
AdaptHealth는 2026년 7월 2일 미국 증권거래위원회(SEC)에 제출한 공시를 통해 공격자가 자사 시스템에 접근해 개인 데이터를 유출했음을 처음으로 공개했습니다.
당시 AdaptHealth의 조사에 따르면 침입은 그보다 이전에 시작됐으며, 클라우드 기반 업무 애플리케이션—특정 내부 환자 관리 시스템, 문서 저장 플랫폼, 전자 의무기록(EHR) 시스템 포털 등—에 대한 접근이 포함된 것으로 확인됐습니다.
6월 15일, 신원 미상의 위협 행위자가 AdaptHealth에 연락해 탈취한 데이터를 공개하지 않는 조건으로 랜섬 지급을 요구했습니다.
AdaptHealth는 이번 침해가 제3자 계약업체의 특권 계정을 탈취한 소셜 엔지니어링 공격을 통해 이루어졌다고 밝혔습니다.
8월 14일 업데이트에서 AdaptHealth는 침해가 6월 5일에 발생했으며, 다음 데이터가 노출됐을 수 있다고 알렸습니다:
- 성명
- 연락처
- 인구통계 정보
- 건강보험 정보
- 건강 정보
피해 대상자들에게는 이미 데이터 침해 통지서가 발송됐으며, 12개월 무료 신용 모니터링 및 신원 보호 서비스 등록 방법이 안내됐습니다.
AdaptHealth는 이번 공격으로 탈취된 데이터의 신원 도용, 사기 또는 기타 오남용 사례는 발견되지 않았다고 밝혔습니다.
회사 웹사이트 정보에 따르면, 2024년 7월 기준 AdaptHealth는 미국 전역 50개 주에 걸쳐 680개 지점 네트워크를 통해 약 410만 명의 환자에게 서비스를 제공하고 있었습니다.
미국 보건복지부(HHS)에 제출된 신고서에 따르면, 이번 AdaptHealth 데이터 침해는 4,115,802명에게 영향을 미칩니다.
HIPAA Journal은 앞서 ShinyHunters가 해당 업체를 피해자 목록에 추가한 정황을 근거로 이들이 공격의 배후임을 보도한 바 있습니다.
그러나 BleepingComputer는 ShinyHunters의 협박 포털에서 AdaptHealth 항목을 찾지 못했으며, 이는 해당 위협 행위자가 회사를 목록에서 삭제했음을 시사합니다.
이번 AdaptHealth의 피해 규모 공식 확인은 최근 의료 기술 기업인 Aesto Health, CareCloud, Unlimited Technology Systems의 유사한 침해 사고 공개에 이은 것입니다.
McKesson과 Nutex Health도 지난달 말 데이터 침해 사실을 공개했으나, 두 회사 모두 아직 피해 인원을 파악하지 못한 상황입니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
