한 제약 유통 대기업이 환자 기록을 노리는 해커들의 표적이 된 미국 의료 회사들의 증가하는 목록에 가장 최근에 이름을 올렸다. 2026년 8월 28일 공개된 맥케슨(McKesson) 데이터 유출 사건은 이미 수천만 달러 규모의 몸값 요구를 촉발했으며, 잠재적으로 수백만 명에 달할 수 있는 환자들의 민감한 의료 정보가 위험에 처하게 만들었다.
Summary
핵심 요약
- 맥케슨은 2026년 8월 25일 제3자 애플리케이션에 대한 무단 접근을 탐지했으며, SEC 공시를 통해 이 사건을 공개했다.
- 공갈 조직 ShinyHunters는 맥케슨의 Snowflake 및 Salesforce 환경에서 약 2억 8,400만 개의 데이터 레코드를 훔쳤다고 주장한다. 이 수치는 확인된 고유 환자 수가 아니라 데이터베이스 행(row)의 개수를 의미한다.
- 해커들은 비싱(vishing) 전화를 이용해 직원을 속이고 Okta 단일 로그인 계정을 탈취한 뒤, 8월 21일부터 8월 25일까지 4일간의 기간 동안 클라우드 시스템으로 횡적 이동을 했다고 말한다.
- ShinyHunters는 55,236,150달러의 몸값을 요구하며 맥케슨에 72시간의 응답 기한을 주었으나, 회사는 끝내 응답하지 않은 것으로 전해졌다.
- 맥케슨은 간헐적인 서비스 저하를 인정했지만, 얼마나 많은 사람이 영향을 받았는지나 어떤 몸값 요구를 받았는지에 대해서는 밝히기를 거부했다.
유출 사건과 ShinyHunters의 주장
맥케슨의 자체 공시는 신중한 표현으로 세부 정보는 부족했지만, 사건의 핵심은 확인했다. 침입자가 제3자 애플리케이션에 침투해 회사가 눈치채기 전에 데이터를 빼냈다는 것이다. 맥케슨 데이터 유출은 2026년 8월 25일 내부에서 처음 포착되었고, 회사는 증권거래위원회(SEC)에 제출한 문서에서 조사가 아직 “초기 단계”에 있으며, 이 사건이 재무적으로 중대한지 여부를 아직 판단하지 못했다고 덧붙였다.
맥케슨의 최고 정보·기술 책임자인 프란시스코 프라가는 고객들에게, 확인된 무단 접근과 데이터 유출이 “당사 종양 및 다전문 진료(Oncology & Multispecialty)와 의료·외과(Medical-Surgical) 사업 부문 내 일부 고객”에게 영향을 미쳤다고 알렸다. 그는 또한 회사가 선제적으로 시스템 연결을 끊고 있지 않으며, 고객이 조치를 취해야 한다고 보지는 않는다고 말했지만, 조사가 계속 진행 중임을 인정했다.
해커들은 어떻게 침입했나
지난 2년간 가장 활발한 데이터 공갈 조직 중 하나로 묘사되는 ShinyHunters는 Bleeping Computer와 TechCrunch에, 맥케슨 직원을 겨냥한 음성 피싱, 즉 비싱(vishing) 전화를 통해 접근 권한을 얻었다고 밝혔다. 이 그룹에 따르면, 이 캠페인은 회사의 내부 헬프데스크나 IT 팀을 사칭하기 위해 mckesson[.]claims라는 유사 도메인을 구축하는 데 의존했으며, 이는 ReliaQuest 연구원들이 이미 여러 표적 조직 전반에서 “.claims” 명명 규칙을 사용하는 공격 패턴으로 추적해 온 전술과 일치한다.
공격자들은 직원을 속여 자격 증명을 넘기게 한 뒤, Okta 단일 로그인 계정을 장악했다. 그 다음 ShinyHunters는 맥케슨의 Salesforce 및 Snowflake 클라우드 환경으로 이동했다고 주장하는데, 이곳은 회사의 환자 및 비즈니스 데이터 대부분이 저장된 곳이다.
그들이 훔쳤다고 주장하는 것
이번 사건이 특히 눈에 띄는 이유는 주장되는 탈취 규모 때문이다. ShinyHunters는 Bleeping Computer에 8월 21일부터 8월 25일까지 4일 동안 약 1테라바이트의 데이터를 유출했으며, Snowflake 환경에서만 약 2억 8,400만 개의 데이터 레코드를 확보했다고 말했다. 이 그룹은 이후 이 숫자가 확인된 고유 환자 수가 아니라 원시 데이터베이스 행(row)의 개수를 반영한 것이라고 설명했으며, 실제로 얼마나 많은 개인이 이 데이터에 포함되어 있는지 파악하기 위해 전체 데이터를 완전히 분석하지는 않았다고 인정했다.
이 차이는 중요하다. 이는 맥케슨 데이터 유출의 실제 범위가 해커들 스스로에게조차 여전히 불확실하다는 뜻이며, 맥케슨 역시 자체 추정치를 내놓지 않았다.
정확한 인원 수와 관계없이, 도난당했다고 주장되는 데이터 범주는 매우 광범위하다. ShinyHunters는 이 데이터 더미에 이름, 자택 주소, 생년월일, 사회보장번호, 환자 ID, 전화번호, 이메일 주소, 메디케이드 번호, 의무기록 번호, 복용 약물 및 알레르기 정보, 질병, 장애, 예약 정보, 의사 정보가 포함되어 있다고 말한다. 또한 이 그룹은 도난당한 파일이 사망자 및 말기 환자, 처방전 및 약품 배송 기록, 청구서, 내부 커뮤니케이션, 그리고 맥케슨의 서비스를 이용하는 의료 제공자 및 클리닉과 연관된 정보까지 포괄한다고 주장한다. TechCrunch는 유출된 데이터의 소규모 샘플을 공개 기록과 대조해 검증했다고 보도했지만, 이러한 광범위한 주장 전체는 외부 연구자나 맥케슨에 의해 독립적으로 확인되지 않았다.
환자 기록과는 별개로, 해커들은 맥케슨 직원 정보 — 자택 주소를 포함 — 역시 유출 과정에서 함께 빠져나가 회사 고객 기반을 넘어 피해 범위를 확장시켰다고 말한다.
5,500만 달러 ultimatium과 맥케슨의 대응
이번 사건의 최종 목적은 단순한 절도가 아니라 공갈로 보인다. ShinyHunters는 Bleeping Computer에, 8월 25일 데이터 탈취를 마친 직후 맥케슨에 연락해 정확히 55,236,150달러의 몸값을 요구하며 72시간의 응답 기한을 제시했다고 밝혔다. 이 그룹에 따르면, 맥케슨은 이 요구에 전혀 응하지 않았다.
공개적으로 맥케슨은 제한된 입장을 고수하고 있다. 대변인 크리스티나 창은 TechCrunch에 회사가 “모든 사업 부문에서 계속 운영 중”이며, 시스템 내부에서 지속적인 무단 활동이 있다고 보지 않는다고 말했다. 회사는 고객이 이번 사건과 관련된 간헐적인 서비스 저하를 겪을 수 있다고 인정했지만, 몸값 요구나 데이터가 영향을 받은 개인 수에 대한 구체적인 질문에는 답변을 거부했다.
이 같은 침묵 자체도 주목할 만하다. 왜 이것이 중요한가: 맥케슨처럼 환자 데이터를 대규모로 다루는 회사가 얼마나 많은 사람이 영향을 받았는지 확인해 주지 않을 때, 환자와 의료 제공자, 규제 당국은 실제 노출 규모를 추측할 수밖에 없으며 — 이러한 불확실성은 초기 헤드라인이 사라진 뒤에도 오랫동안 남는 경향이 있다.
확산되는 의료 분야 사이버 공격 패턴
맥케슨은 고립된 사례가 아니라, 미국 의료 및 의료기기(메드텍) 회사를 겨냥한 빠르게 확산되는 공격 물결의 최신 사례다. 바로 지난주에는 의료기기 제조사 보스턴 사이언티픽이 사이버 공격을 받아, 네트워크 상당 부분이 오프라인으로 전환되는 심각한 혼란을 겪었는데, 이는 해커들이 내부 도구를 악용해 수천 대의 직원 기기를 원격으로 초기화했던 동종 업체 스트라이커(Stryker)의 이전 사건을 떠올리게 한다.
애보트 래버러토리즈와 메드트로닉 역시 최근 몇 달 사이 사이버 공격을 겪었다. 데이터 유출은 헬스테크 기업 트라이제토(TriZetto)와 전자 환자 기록 제공업체 케어클라우드(CareCloud)에 영향을 미쳤으며, 각각 300만 명이 넘는 환자가 피해를 입었다. ShinyHunters는 아마존이 소유한 원 메디컬(One Medical)과 치과 보험사 덴타퀘스트(DentaQuest)의 침해, 그리고 메드트로닉, iRhythm, AdaptHealth에 대한 공격의 배후라고도 주장해 왔다.
Health-ISAC은 이미 의료 기관들에 경고를 발한 바 있는데, 이는 기업 계정과 클라우드 또는 SaaS 플랫폼을 겨냥한 사회공학을 기반으로 한 ShinyHunters 공격이 증가하고 있다는 내용이다. 이는 맥케슨을 상대로 사용되었다고 주장되는 전술과 정확히 일치한다. 가장 민감한 개인 데이터를 보관하는 산업에서, 동일한 비싱에서 클라우드 유출로 이어지는 패턴이 반복된다는 것은 공격자들이 지속적으로 통하는 방식을 찾아냈음을 시사하며, ShinyHunters 같은 그룹과 연관된 의료 분야 사이버 공격은 줄어들 기미를 보이지 않는다.
FAQ
맥케슨 데이터 유출의 책임자는 누구인가?
해킹 그룹 ShinyHunters가 이번 사이버 공격의 책임을 주장했으며, 맥케슨 직원을 겨냥한 비싱 전화와 사회공학을 통해 접근 권한을 얻었다고 밝혔다.
맥케슨에 대한 사이버 공격에서 어떤 종류의 데이터가 도난당했나?
ShinyHunters는 약 2억 8,400만 개의 데이터 레코드를 탈취했으며, 여기에는 개인 및 보호 대상 건강 정보와 함께 자택 주소와 같은 직원의 개인정보도 포함되어 있다고 주장한다. 이 수치는 확인된 고유 환자 수가 아니라 데이터베이스 행(row)의 개수를 반영한다.
해커들은 어떻게 맥케슨의 시스템에 접근했나?
해커들에 따르면, 비싱 전화를 통해 직원을 속여 자격 증명을 넘기게 했고, 이를 이용해 Okta 단일 로그인 계정을 탈취했다. 그 후 공격자들은 맥케슨의 클라우드 기반 Salesforce 및 Snowflake 환경으로 이동해 데이터를 추출했다.
맥케슨은 해커들이 요구한 몸값을 지불했나?
맥케슨은 몸값 지불 여부에 대한 세부 사항 공개를 거부했다. ShinyHunters는 72시간의 기한과 함께 55,236,150달러를 요구했으며, 맥케슨이 이 요구에 전혀 응답하지 않았다고 말한다.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”맥케슨 데이터 유출의 책임자는 누구인가?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”해킹 그룹 ShinyHunters가 이번 사이버 공격의 책임을 주장했으며, 맥케슨 직원을 겨냥한 비싱 전화와 사회공학을 통해 접근 권한을 얻었다고 밝혔다.”}},{“@type”:”Question”,”name”:”맥케슨에 대한 사이버 공격에서 어떤 종류의 데이터가 도난당했나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ShinyHunters는 약 2억 8,400만 개의 데이터 레코드를 탈취했으며, 여기에는 개인 및 보호 대상 건강 정보와 함께 자택 주소와 같은 직원의 개인정보도 포함되어 있다고 주장한다. 이 수치는 확인된 고유 환자 수가 아니라 데이터베이스 행(row)의 개수를 반영한다.”}},{“@type”:”Question”,”name”:”해커들은 어떻게 맥케슨의 시스템에 접근했나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”해커들에 따르면, 비싱 전화를 통해 직원을 속여 자격 증명을 넘기게 했고, 이를 이용해 Okta 단일 로그인 계정을 탈취했다. 그 후 공격자들은 맥케슨의 클라우드 기반 Salesforce 및 Snowflake 환경으로 이동해 데이터를 추출했다.”}},{“@type”:”Question”,”name”:”맥케슨은 해커들이 요구한 몸값을 지불했나?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”맥케슨은 몸값 지불 여부에 대한 세부 사항 공개를 거부했다. ShinyHunters는 72시간의 기한과 함께 55,236,150달러를 요구했으며, 맥케슨이 이 요구에 전혀 응답하지 않았다고 말한다.”}}]}
이 기사는 인공지능의 도움을 받아 제작되었으며, 편집팀의 검수를 거쳤습니다.
