환자 81만명 정보 빼낸 '서울대병원' 해킹도 북한 소행이었다

2021년 환자 진단명 등 민감정보 유출
경찰 "IP 세탁 등 北 수법과 동일" 결론
개보위, 안전의무 위반 병원에 과징금

2021년 6월 발생한 '서울대병원 개인정보 해킹 사건' 개요. 당시 환자 및 직원 83만여 명의 개인정보가 유출됐다. 경찰청 국가수사본부 제공

2021년 발생한 ‘서울대병원 개인정보 해킹 사건’이 북한 소행으로 확인됐다고 경찰청 국가수사본부(국수본)가 10일 밝혔다.

경찰에 따르면 그해 6월 서울대병원 서버가 악성코드에 감염돼 직원 PC 공유폴더에 저장된 파일 등이 외부에 유출됐다. 파일에는 환자 81만 명과 전ㆍ현직 직원 1만7,000명의 이름과 생년월일, 성별과 같은 개인정보가 들어 있었다. 특히 환자의 경우 진단명과 방문기록, 검사명, 검사 결과 등의 민감한 의료정보까지 통째로 새어나간 것으로 전해졌다.

수사에 착수한 경찰은 북한 해킹조직이 2021년 5, 6월쯤 국내외 소재 서버 7대를 장악해 공격 기반을 마련한 뒤 서울 종로구 혜화동 서울대병원 내부 전산망에 침입한 것으로 결론 내렸다. △공격 근원지 인터넷프로토콜(IP) 주소 △IP 주소 세탁 기법 △시스템 침입 수법 등이 기존 북한의 해킹 수법과 동일하다는 근거를 제시했다. 국수본 관계자는 “북한 해킹조직이 병원 내부망에 침입해 임의로 생성한 계정의 비밀번호를 확인했는데, 한글로 변환하면 ‘다치지 말라’라고 뜬다”며 “통일부에 확인해 보니 북한 시스템을 건드리지 말라는 의미”라고 설명했다.

경찰은 북한이 국내 주요 인사의 진료정보 등을 빼낼 목적으로 해킹한 것으로 판단하고 있다. 다만 아직 개인정보 유출에 따른 2차 피해는 확인되지 않았다. 개인정보보호위원회는 이날 서울대병원 측에 안전조치 의무 및 유출통지 의무 위반 등의 책임을 물어 과징금 7,475만 원과 과태료 660만 원을 부과했다. 경찰 관계자는 “북한이 의료 외 다른 분야 정보통신망도 계속 침입 시도를 할 것으로 예상되는 만큼, 보안시스템을 최신 버전으로 업데이트하고 개인정보 등의 중요 전산자료는 암호화해야 한다”고 당부했다.

박준석 기자 pjs@hankookilbo.com