미국 의료 데이터 관리 기업 Aesto Health가 약 950만 명의 환자 정보가 유출된 대규모 침해 사고를 공개했습니다. 공격은 2025년 12월에 발생했으나, 외부 전문가의 포렌식 조사를 통해 2026년 5월에야 내부적으로 확인됐습니다. 유출된 정보에는 이름, 생년월일, 의료 기록, 사회보장번호(SSN), 운전면허 번호, 금융 계좌 정보 등 매우 민감한 개인정보가 포함돼 있습니다. 침해는 AWS(아마존 웹 서비스) 인프라 일부에 대한 무단 접근으로 발생했으며, VillageMD·Everside Health 등 29개 의료기관의 환자들이 간접적으로 피해를 입었습니다. 피해자에게는 Experian을 통한 24개월 신원 도용 보호 및 신용 모니터링 서비스 등록 안내가 제공되고 있습니다.
Aesto Health의 AWS 인프라가 2025년 12월 2일~18일 사이 침해를 받아, 약 9,540,683명의 환자 보호 건강정보(PHI)가 무단으로 열람·탈취된 것으로 확인됐다.
SSN, 금융 계좌, 의료 기록, 운전면허 번호 등 고민감도 정보가 대규모 유출되었으며, 29개 의료 제공기관 환자가 간접 피해를 입었다. 미국 HHS에 보고된 피해 규모는 950만 명 이상이다.
Aesto Health의 Amazon Web Services 인프라 일부에 무단 행위자가 침투했으며, 정확한 초기 침입 경로는 현재까지 공개되지 않았다.
외부 포렌식 전문가를 통해 사고를 조사했고, 2026년 8월 21일부터 피해자 개별 통보를 시작했다. Experian을 통한 24개월 신원 도용 보호 서비스 등록 지원을 제공 중이다.
의료 데이터를 위탁 관리하는 SaaS(서비스형 소프트웨어) 공급업체의 클라우드 인프라 보안을 점검하고, 제3자 벤더의 침해 사고 시 탐지·통보 절차가 계약에 명시되어 있는지 확인해야 한다.
본문
의료 데이터 관리 기업 Aesto LLC(이하 Aesto Health)가 최근 발견된 데이터 침해 사고로 950만 명 이상의 개인 정보가 영향을 받았다고 공개했다.
이 민간 기술 기업은 의료기관이 전자건강기록(EHR) 시스템을 교체하거나 의료 기관을 인수할 때 환자 데이터를 마이그레이션·아카이브하고 접근할 수 있도록 지원하는 SaaS(서비스형 소프트웨어) 솔루션을 제공하고 있다.
회사는 6월 24일 자사 웹사이트에 공지를 게시하며 Amazon Web Services 인프라의 "일부"가 침해됐다고 처음으로 대외에 알렸다.
그러나 침입은 2025년 12월에 발생했으며, 외부 전문가의 포렌식 조사를 거쳐 5월 26일에야 내부적으로 확인됐다.
Aesto Health의 공식 발표문에는 다음과 같이 기재되어 있다. "광범위한 포렌식 조사와 수동 문서 검토를 통해, 2025년 12월 2일경부터 12월 18일경 사이에 Aesto 네트워크 내에 저장된 다양한 적용 대상 기관(Covered Entity) 고객의 환자 보호 건강정보(PHI)가 권한 없는 행위자에 의해 열람 및/또는 탈취되었을 가능성이 있음을 2026년 5월 26일 확인했습니다."
Aesto Health는 미국 보건복지부(HHS)에 제출한 보고서에서 이번 침해가 9,540,683명에게 영향을 미쳤다고 밝혔다.
"유출된 정보에는 전체 이름, 생년월일, 의료 정보, 운전면허 번호, 금융 계좌 번호, 건강보험 정보, 개인 납세자 식별 번호(ITIN), 기타 정부 발행 식별 번호, 그리고 사회보장번호(SSN)가 포함됩니다."
HIPAA Journal에 따르면, 이번 사고는 VillageMD, Everside Health(Marathon Health), Marana Health, Together Women's Health를 포함한 29개 의료 제공기관에 간접적인 피해를 입혔다.
8월 21일부터 회사는 피해 당사자들에게 사고 경위를 안내하고, Experian을 통한 24개월 신원 도용 보호 및 신용 모니터링 서비스 등록 방법을 안내하는 개별 통보를 시작했다.
Aesto Health의 이번 침해 사고는 iRhythm, Xolis, Medronic, MCBS, Unlimited Technology Systems, CareCloud, Nutex Health, McKesson 등 다른 헬스테크 소프트웨어 기업에서 발생한 유사 사고들에 이어 일어난 것이다.
현재까지 어떤 위협 그룹도 Aesto Health 공격을 공개적으로 주장하지 않은 상태다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
