오라클 헬스 산하 서너 서버 해킹, 환자 정보 탈취·암호화폐 갈취 사건

2025년 1월 22일 무렵 해커는 탈취한 고객 계정 자격증명을 이용해 오라클 헬스가 운영하던 옛 서너(Cerner) 데이터 이관용 레거시 서버에 침입했다. 이 서버는 오라클 클라우드로 아직 완전히 이관되지 않은 구형 시스템으로, 상대적으로 보안 관리가 느슨했던 것으로 드러났다. 해커는 이 서버에 저장돼 있던 데이터를 원격 서버로 대량 복사해간 것으로 조사됐다. 이 침입은 약 한 달 뒤인 2월 20일에야 오라클 헬스 측에 의해 공식적으로 인지됐으며, 이후 파장이 미국 전역의 병원으로 확산됐다.

오라클 헬스는 2025년 2월 20일경 서버 침해 사실을 공식적으로 인지했다고 밝혔다. 그러나 오라클 헬스는 자체 조사가 진행 중이라는 이유로 각 병원들에 환자 통보를 미뤄달라고 요청한 것으로 드러났으며, 이 때문에 일부 병원은 실제 침입이 발생한 지 거의 1년 가까이 지나서야 환자들에게 유출 사실을 알린 것으로 확인됐다. 유출된 데이터에는 환자 이름, 사회보장번호, 진료 기록, 임상 정보 등 민감한 개인·의료 정보가 광범위하게 포함된 것으로 파악됐다. 이 같은 통보 지연은 이후 소송에서 핵심 쟁점 중 하나로 부상했다.

2025년 3월 오라클은 서너 시스템을 사용하는 의료기관 고객사들에 침해 사실을 공식적으로 경고하는 통지를 보냈다. 통지에는 1월 22일 이후 해커가 회사 서버에 접속해 환자 데이터를 빼내갔다는 내용이 담겼다. 이 사실이 보도되면서 미국 전역의 수십 개 병원 시스템이 영향을 받았다는 사실이 드러나기 시작했다. 초기에는 16개 안팎의 병원이 거론됐으나, 이후 조사가 진행되며 영향을 받은 의료기관 수는 계속 늘어났다. 이는 헬스케어 업계 전반에 IT 벤더발 침해 리스크에 대한 경각심을 불러일으켰다.

'앤드류(Andrew)'라는 이름을 쓰는 해커가 유출된 환자 데이터 공개를 빌미로 오라클 헬스의 여러 의료기관 고객사에 암호화폐로 수백만 달러를 요구하는 갈취를 시도한 사실이 드러났다. 해커는 데이터가 공개되면 환자들과 의료기관 모두에 심각한 피해가 발생할 것이라 위협하며 지불을 압박했다. 미국 연방수사국(FBI)은 이 침해 사고와 갈취 시도에 대한 수사에 착수했다. 이 사건은 단순한 데이터 유출을 넘어 조직적인 사이버 갈취 범죄로 성격이 확대됐음을 보여줬다.

시간이 지나며 오라클 헬스의 서너 침해로 영향을 받은 것으로 확인된 의료기관 수는 샤프 트라이시티 메디컬센터, 크리스투스 헬스, 먼슨 헬스케어, 주피터 메디컬센터, 어드벤티스트헬스 등 최소 17개 이상으로 늘어났다. 유니언 헬스시스템 한 곳에서만 약 26만3000명의 정보가 영향을 받은 것으로 집계됐다. 여러 병원이 침해 발생 시점으로부터 상당한 시간이 지난 뒤에야 순차적으로 환자 통보를 진행하면서, 늦장 대응에 대한 환자들의 불만과 소송이 잇따라 제기되기 시작했다.

환자들이 오라클 헬스의 침해와 관련해 병원들을 직접 상대로 제기한 소송에서, 연방판사는 병원들이 전자의무기록(EHR) 벤더인 오라클 헬스의 책임만을 내세워 소송에서 벗어날 수 없다고 판결했다. 이에 따라 뱁티스트 헬스 사우스플로리다, 모자이크 라이프케어, 탤러해시 메모리얼 등을 포함한 8개 의료기관이 통합 소송에서 계속 피고로 남게 됐다. 이 판결은 의료기관이 IT 벤더에 데이터 보안을 위탁했더라도 환자 정보 보호에 대한 법적 책임을 벤더에게만 전가할 수 없다는 선례로 평가받았다.