병원에 진료를 받으러 갔는데 과거 진료기록이 사라졌다. 의사는 환자가 어떤 치료를 받았고 무슨 약을 처방받았는지 확인할 수 없다. 환자는 이전 처방 내역을 알아내기 위해 약국을 찾아가야 한다. 최근 부산의 한 병원에서 실제로 벌어진 일이다.
해외에서는 환자에게 공급할 혈액을 보관하는 냉동시설까지 해킹 공격을 받았다. 냉동고 온도 설정이 비정상적으로 조작됐지만, 다행히 경보 시스템이 작동해 혈액 손실은 발생하지 않았다.
금융기관과 온라인 플랫폼을 중심으로 발생하던 사이버 공격이 의료현장까지 파고들면서 환자 안전에 대한 우려가 커지고 있다. 특히 병원과 제약·바이오업계에 인공지능(AI) 도입이 확산하면서 의료정보뿐 아니라 진료와 의약품 생산에 필요한 각종 시스템까지 공격 대상이 될 수 있다는 경고가 나온다.
혈액 냉동고 온도 조작하고 환자 진료기록까지 마비
4일(현지시간) 프랑스24 등 외신에 따르면 프랑스 국립혈액원(EFS)이 이용하는 냉동 서비스 업체가 사이버 공격을 받아 혈액 보관시설 3곳의 감시·제어 시스템에 문제가 발생했다.
프랑스 주간지 '르 카나르 앙셰네'는 환자에게 투여할 혈액 검체와 의약품 제조용 혈장 등을 보관하는 냉동시설의 온도 설정이 영하 30도에서 110도로 조작됐다고 보도했다.
다행히 혈액 제제 손실이나 환자 피해는 없었다. EFS는 감시·경보 시스템이 즉각 작동해 혈액 공급에도 차질이 없었다고 밝혔다. 프랑스 국가사이버보안국(ANSSI)과 보건당국은 공격 경위를 조사하고 있다.
이번 사건은 지난 달 프랑스 대형마트에서 발생한 냉장고 해킹 사고 후 예견된 일이었다. 당시 해커는 원격 관리 시스템의 취약점을 악용해 냉장·냉동 설비의 온도를 최고 50도까지 상승시켰고 식품 대량 폐기 및 화재 피해를 유발했다.
과거 개인정보 유출로 대변되던 해킹이 이제 식료품 폐기를 넘어 환자 생명과 직결되는 의료시설 운영까지 위협할 수 있다는 점을 보여준다. 혈액과 혈장은 정해진 온도에서 보관해야 하는 만큼 온도 제어에 문제가 생기면 혈액 제제의 안전성과 공급에 영향을 미칠 수 있다.
국내에서는 사이버 공격으로 진료에 차질이 빚어졌다.
MBC 보도에 따르면 지난 2일 부산 사하구의 한 척추·관절 전문병원이 랜섬웨어 공격을 받아 환자 정보와 과거 진료기록을 확인할 수 없게 됐다. 랜섬웨어는 전산자료를 암호화하거나 시스템 접근을 차단한 뒤 복구를 대가로 금전을 요구하는 악성 프로그램이다.
해커는 자료 복구를 조건으로 거액의 비트코인을 요구한 것으로 전해졌다. 환자들은 과거 처방 내역을 확인하기 위해 약국에서 영수증을 발급받아 병원에 제출해야 했다. 병상 150개가 넘는 이 병원에서는 퇴원 환자의 진료비 정산과 신규 입원 접수도 사실상 중단됐다.
진료기록을 확인하지 못하면 환자의 과거 질환과 약물 복용 이력, 검사 결과 등을 파악하기 어렵다. 특히 신속하고 연속적인 치료가 필요한 응급환자나 만성질환자에게는 심각한 위험 요인이 될 수 있다.
의료기관 해킹 급증⋯중소 병·의원 보안체계 취약
의료기관을 겨냥한 사이버 공격은 병원의 규모를 가리지 않고 발생하고 있다.
국회 보건복지위원회 소속 더불어민주당 소병훈 의원이 지난달 한국사회보장정보원에서 제출받은 자료에 따르면 올해 1~9월 접수된 민간 의료기관 사이버 침해사고는 28건이었다. 지난해 전체 11건의 약 2.5배 수준이다. 이 가운데 병원에서 17건, 의원에서 8건이 발생했다.
특히 규모가 작은 의료기관은 전문 보안인력과 예산을 확보하기 어려워 사이버 공격에 취약하다는 지적이 나온다.
올해 9월 말 기준 사회보장정보원의 24시간 의료분야 보안관제 서비스에 가입한 기관은 비의료기관 2곳을 포함해 총 63곳이었다. 의료기관 중에서는 상급종합병원이 27곳, 종합병원 29곳, 병·의원이 5곳이었다.
병원 규모별 가입률 격차도 컸다. 상급종합병원은 가입 대상 35곳 중 27곳(77.1%)이 가입했지만 종합병원은 273곳 중 29곳(10.6%)에 그쳤다. 특히 가입 대상이 7만 ㄷ5660곳에 이르는 병·의원급 의료기관은 단 5곳(약 0.006%)만 가입했다.
병원부터 제약사까지⋯AI 확산에 보안 중요성 커져
의료계 전반에 AI 활용이 확대되면서 사이버 보안은 더욱 중요한 과제로 떠오르고 있다.
최근 의료기관에서는 AI를 활용한 영상 판독과 환자 상태 감시, 진료기록 분석 등이 확산하고 있다. 제약·바이오업계에서도 신약 후보물질 발굴과 임상시험 데이터 분석, 연구개발 과정에 AI 활용이 늘고 있다.
최근 바이오서밋 현장에서 만난 김우연 카이스트 화학과 교수는 "병원부터 제약업계까지 의료계 전반에 AI 도입이 활발해지면서 해킹 위험도 커지고 있다"며 "이러한 위험을 막기 위한 보안 대책 마련이 의료계의 가장 큰 과제 중 하나가 됐다"고 강조했다. 김우연 교수는 한국제약바이오협회 AI신약개발지원센터장을 지냈다.
의료정보와 각종 시스템이 디지털 기술로 연결될수록 사이버 공격에 노출될 수 있는 경로도 다양해지고 있다. 환자 진료정보와 신약 연구자료 등 민감한 데이터를 다루는 의료·제약 분야에서는 정보 유출뿐 아니라 시스템 장애에 따른 피해도 우려된다.
한국원격의료학회 부회장인 김헌성 서울성모병원 내분비내과 교수는 "한국의 자랑인 데이터 표준화는 해커들에게 시스템 구조를 파악하고 공격을 시도할 기회를 제공할 수 있다"면서 "여기에 대다수 병원은 한 번 구축한 전산 인프라를 장기간 사용하는 특성이 있어 지속적인 보안 점검이 중요하다"고 설명했다.
그러면서 "민감정보가 있는 만큼 외부망과 내부망을 분리하고 접속 기록을 관리하는 한편 독립적인 보안체계를 마련하는 등 다중 방어망을 구축해야 한다"고 강조했다.
