의료기관들을 대상으로 한 랜섬웨어 공격이 환자 치료 뿐 아니라 데이터 보안에 이르기까지 심각한 위협요인으로 부각되고 있는 것으로 나타났다.

미국 텍사스州 오스틴에 소재한 의료 컨설팅기업 소프트웨어 어드바이스社(Software Advice)는 21일 공개한 ‘소프트웨어 어드바이스 2024년 의료 사이버 보안 설문조사’ 보고서에서 이 같이 지적했다.

랜섬웨어 공격사례들의 25%가 환자 치료에 직접적인 영향을 미친 데다 이로 인해 의료 서비스 제공에 지장이 초래되었고, 데이터 손실, 환자 안전의 약화 등으로 귀결되었다는 것이다.

소프트웨어 어드바이스가 의료 분야의 사이버 보안 전문가들을 대상으로 진행한 설문조사 결과를 보면 현재 의료기관에서 보유‧축적하고 있는 자료의 87%가 디지털 자료인 것으로 나타났다.

게다가 이로 인한 취약성은 의료기관들이 관리하고 보호해야 하는 자료의 복잡성과 엄청난 자료의 양으로 인해 더욱 악화되고 있는 것으로 분석됐다.

이 때문일까? 조사대상 의료기관들의 50%에서 자료가 유출된 전력이 있는 것으로 나타난 가운데 32%는 최근 3년 이내의 기간 동안 한차례 자료유출을 겪은 것으로 조사됐다.

지난 5월 8일 일리노이州 시카고 소재 어센션 병원에서 발생한 사이버 공격의 경우 사이버 보안 강화조치의 시급성을 환기시켜 준 사례라고 소프트웨어 어드바이스는 지적했다.

실제로 조사결과를 보면 42%의 의료기관들이 랜섬웨어 공격을 경험한 것으로 나타났고, 48%는 랜섬웨어 공격이 환자 자료에 영향을 미친 것으로 드러났다.

또한 랜섬웨어 공격사례들의 27% 환자 치료에 직접적인 영향을 미친 것으로 평가됐다.

소프트웨어 어드바이스社의 콜린 쿠이 의료 애널리스트는 “대부분의 기업에서 사이버 공격으로 인해 작동이 멈춘 시간들은 생산과 이윤은 말할 것도 없고 해당기업의 명성에까지 심각한 영향을 미치기 마련”이라면서 “하지만 그 같은 작동중단이 의료기관에서 발생할 경우 의료기록에 대한 접근성이 차단되고, 각종 의료장비들이 작동을 멈추고, 긴박한 수술이 미뤄지는 결과로 귀결되고 있다”며 주의를 환기시켰다.

이에 따라 대응태세의 구축과 임직원 훈련을 포함해 포괄적인 사이버 보완 조치들의 이행이 환자들에 미칠 위험성을 완화하기 위해 필수적이라 할 수 있을 것이라고 쿠이 애널리스트는 설명했다.

하지만 설문조사 결과를 보면 이처럼 높은 위험성에도 불구, 사이버 보안 대응계획을 수립한 의료기관들은 63%에 불과한 것으로 나타났다.

37%의 의료기관들은 사이버 위협에 대응하기 위한 공식적인 전략이 아예 부재한 것으로 드러났을 정도.

이처럼 공식적인 전략이 부재한 의료기관들의 경우 실제로 랜섬웨어 공격이 발생했을 때 대응하는 시간이 지연되고 자료 손실 위험성을 증가할 수 밖에 없을 것이라고 쿠이 애널리스트는 꼬집었다.

조사결과를 보더라도 34%의 의료기관들은 랜섬웨어 공격에 노출된 후 환자 자료를 복구하는 데 실패한 것으로 조사됐다.

자료 유출이 발생하는 주된 이유로는 담당자의 실수와 자료 보안 시스템에 대한 표적공격이 지목됐다.

그럼에도 불구, 조사대상 의료기관들의 74%는 지난 2023년 한해 동안 IT 보안과 데이터 프라이버시를 위한 임직원 교육을 진행하는 데 5시간 미만을 배정한 것으로 나타났다.

심지어 35%는 여기에 배정한 시간이 2시간에도 미치지 못했던 것으로 드러났다.

이밖에도 55%의 의료기관들은 내부 관계자들이 역할을 수행하는 데 필요한 범위를 넘어서는 다량의 자료에 대한 접근권을 허용하고 있는 것으로 나타났다.

쿠이 애널리스트는 “사이버 보안 위협을 완화하기 위해 의료기관들이 대응계획을 수립하고 유지하면서 정기적으로 업데이트를 진행해야 할 것”이라면서 “예를 들면 역할과 책임을 명확하게 규정하고, 커뮤니케이션을 위한 프로토콜을 확립하며, 우선순위 리스트를 작성해야 한다”고 결론지었다.

한편 조사결과를 보면 랜섬웨어 공격에 노출되었을 때 금전을 지급하고 자료를 복구한 경우는 13%에 불과했던 것으로 나타났다.

반면 금전을 지급하고도 자료복구에 실패한 경우도 4%에 달했다.

이와 함께 금전을 지급하지 않고 자료 암호를 변환해 공격한 랜섬웨어를 제거한 경우가 35%, 자료 손실이 발생했지만 데이터 백업을 사용해 공격받은 자료를 복구한 경우가 27%, 자료 영구손실이 3%, 기타 17%, 불분명(Not Sure) 1% 등의 순으로 집계됐다.