프랑스의 개인정보보호 감독기관 CNIL이 Hôpital privé de la Loire(HPL) 병원에 50만 유로(약 8억 원)의 과징금을 부과했습니다. 2025년 여름, 해커가 의사 한 명의 계정을 탈취한 뒤 병원 전자 진료기록 시스템에 침투해 환자 52만여 명과 보호자 등 20만여 명, 총 72만 7,000명의 민감한 개인정보를 빼냈습니다. 조사 결과 VPN·다단계 인증(MFA) 미적용, 과도한 접근 권한, 실시간 모니터링 부재 등 GDPR(유럽 개인정보보호 규정) 위반 사항이 다수 확인됐습니다. 해커는 며칠에 걸쳐 대량의 데이터를 유출했지만 병원은 이를 즉시 감지하지 못했으며, 훔친 데이터는 2,000~5,000유로에 단독 판매를 시도했으나 실제로 팔리거나 공개되지는 않은 것으로 알려졌습니다. 이번 사건은 의료기관의 접근통제·모니터링 체계 미비가 대규모 개인정보 침해로 이어질 수 있음을 보여주는 대표적 사례입니다.
2025년 여름, 'Marak'이라는 닉네임의 10대 해커가 외부 의사 계정 한 개를 탈취해 HPL 병원 전자 진료기록 시스템에 접근, 72만 7,000명의 민감 정보를 수일에 걸쳐 무단 추출했다.
환자 524,867명과 보호자 등 202,246명의 개인정보가 유출됐으며, 병원은 CNIL로부터 €500,000(약 5억 8천만 원)의 GDPR 위반 과징금을 부과받았다.
외부 사용자에 대한 VPN·MFA 미적용, 단일 계정으로 전체 환자 레코드에 접근 가능한 과도한 권한 설정, 실시간 모니터링·경보 체계 부재가 복합적으로 작용했다.
CNIL이 조사 후 GDPR 제32조(기술적·관리적 보호조치)·제34조(정보주체 통지) 위반을 확인하고 과징금을 부과했다. 병원은 절차 진행 중 여러 보안 강화 조치를 취했으나, 보호자 202,246명에게는 직접 통지를 하지 않은 점이 추가 지적됐다.
의료기관은 외부 접속 계정에 반드시 MFA와 VPN을 적용하고, 최소 권한 원칙에 따라 접근 범위를 제한해야 한다. 또한 대량 데이터 추출을 탐지할 수 있는 실시간 이상행위 모니터링(SIEM·DLP)을 갖추는 것이 필수적이다.
본문
프랑스 개인정보보호 감독기관(CNIL)이 Hôpital privé de la Loire에 환자 및 보호자 데이터를 적절히 보호하지 못한 이유로 €500,000(약 580,000달러)의 과징금을 부과했다.
CNIL은 이번 보안 실패로 인해 2025년 여름 데이터 침해가 발생, 환자 524,867명과 보호자로 지정된 202,246명의 민감한 데이터가 노출됐다고 밝혔다.
Hôpital privé de la Loire(HPL)는 생테티엔(Saint-Étienne)에 위치한 종합병원으로, Ramsay Santé 의료그룹 소속이며 내과·외과·산부인과·암·중환자실·응급 서비스를 제공한다.
이 병원은 의사 180명을 포함한 직원 650명을 고용하고 있으며, 5개 임상 부서에 333개 병상을 운영하고 연간 약 6만 명의 환자를 진료하는 것으로 알려져 있다.
지난해 공격자가 병원의 전자 진료기록 시스템에 접근해 HPL에서 진료받거나 환자를 동행·지원한 727,000명 이상의 민감 데이터를 탈취했다.
사건 이후 CNIL은 조사를 실시했으며, 병원이 일반 개인정보보호 규정(GDPR) 의무를 준수하지 않은 여러 결함을 확인했다.
CNIL 조사에서 확인된 주요 결함은 다음과 같다:
- 개인 개업의를 포함한 외부 사용자가 VPN 또는 다단계 인증(MFA) 없이 시스템에 접근할 수 있었다.
- 부적절한 접근 통제로 인해 침해된 계정이 전체 병원 환자의 기록에 접근할 수 있었다.
- 병원에 실시간 또는 근실시간 모니터링·경보 체계가 없어, 공격자가 수일에 걸쳐 시스템을 탐색하고 대량의 데이터를 유출하는 동안 탐지되지 않았다.
- 병원은 피해 환자에게는 통지했으나, 데이터가 도난된 보호자 202,246명에게는 직접 통지하지 않았다.
위 위반 사항은 GDPR 제32조 및 제34조와 관련된다. 위원회는 또한 HPL이 절차 진행 중 여러 보안 강화 조치를 취했다는 점도 언급했다.
"Marak"이라는 별명을 사용하는 10대 해커가 범행을 자인하며, 당시 프랑스 매체 Le Progrès에 텔레그램으로 연락해 의사 계정 한 개 침해에서 공격이 시작됐고 이를 통해 HPL 내부 시스템 전체에 접근했다고 밝혔다.
해커는 훔친 데이터를 단독 구매자에게 €2,000~€5,000에 판매하려 시도했으나, 이후 보도에 따르면 데이터는 판매되거나 공개되지 않은 것으로 전해졌다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
