시노비스 랜섬웨어 공격발 NHS 런던 병원 대란 (2024)

러시아어권 랜섬웨어 조직 킬린(Qilin)이 런던 남동부 지역 NHS 병원들에 혈액검사·병리서비스를 위탁 운영하던 시노비스의 IT 시스템을 랜섬웨어로 암호화하는 공격을 감행했다. 시노비스는 가이스 앤드 세인트 토머스, 킹스칼리지병원 등 런던의 주요 NHS 재단신탁과 협력해 병리 서비스를 제공하는 업체였다. 공격자는 파일을 암호화하기에 앞서 방대한 분량의 데이터를 먼저 빼돌린 것으로 확인됐다. 공격 직후 병원들의 혈액검사와 수혈, 이식 관련 시스템 운영에 즉각적인 차질이 빚어졌다. 이는 이후 영국 의료 역사상 최악의 사이버공격 사례 중 하나로 기록됐다.

가이스 앤드 세인트 토머스 NHS 재단신탁과 킹스칼리지병원 NHS 재단신탁이 시노비스 공격 여파로 중대사고(critical incident)를 공식 선포했다. 혈액형 판정과 수혈 검사가 불가능해지면서 응급환자들이 인근 다른 병원으로 이송되는 사례가 속출했다. O형 음성 혈액 재고 부족 사태까지 겹쳐 병원들은 비상 수혈 프로토콜을 가동해야 했다. 암 수술을 포함한 대기 수술과 외래 진료가 연쇄적으로 취소되기 시작했다. 이는 단일 사이버공격으로 인한 영국 의료체계 마비 사례 가운데 가장 광범위한 규모로 평가됐다.

공격 발생 2주 만에 런던 지역 NHS 병원들에서 취소되거나 연기된 외래 진료와 수술 건수가 1,500건을 넘어섰고, 이후 집계에서는 1만 건 이상의 외래 진료와 1,700건 이상의 정규 수술이 영향을 받은 것으로 확인됐다. 이 중에는 시기를 놓치면 치명적일 수 있는 암 관련 수술 수백 건도 포함돼 있었다. NHS 지도부는 완전한 정상화까지 수개월이 걸릴 수 있다고 우려를 표했다. 병원들은 대체 검사기관을 확보하고 수기 기반 임시 절차를 도입하며 버텼다. 이 시기 혼란은 남동런던 지역 의료체계 전반의 운영 방식을 뒤흔들었다.

킬린 조직은 5,000만 달러 상당의 몸값을 요구했으나 협상이 결렬되자 예고한 시한이 지난 뒤 탈취한 약 400기가바이트 분량의 데이터를 자신들의 다크웹 유출 사이트와 텔레그램 채널에 공개했다. 유출된 자료에는 환자 이름과 생년월일, NHS 고유번호, HIV·성병·암 검사 결과를 포함한 혈액검사 내역 등 매우 민감한 정보가 포함돼 있었다. 이는 3억 건이 넘는 NHS 환자 접촉 기록에서 파생된 데이터로 파악됐다. NHS는 즉각 해당 데이터의 진위를 확인하는 조사에 착수했다. 이 유출은 영국 의료기관을 상대로 한 역대 최대 규모의 환자정보 유출 사고 중 하나로 기록됐다.

공격 발생 약 5개월 만에 시노비스는 런던 지역 7개 거점에 걸친 방대한 병리 인프라를 재건하고 75종이 넘는 응용프로그램을 복구했다고 밝혔다. 그러나 완전한 정상 가동 수준까지는 여전히 시간이 더 필요하다는 평가가 나왔다. 같은 시기 디지털헬스 등 매체는 이번 공격으로 최소 5건의 '중등도' 환자 피해 사례가 발생했다고 보도했다. NHS 내부적으로는 사고 이후에도 수개월째 지속되는 업무 부담과 인력 소진 문제가 부각됐다. 재건 작업이 진행되는 동안에도 병리 데이터 처리 적체는 계속 쌓여갔다.

공격 발생과 데이터 유출로부터 거의 1년이 지나도록 시노비스가 개인정보 유출 피해자들에게 이 사실을 통보하지 않았다는 문제가 불거졌다. 탐사보도 매체 더 레코드와 데이터브리치스닷넷은 90만 명이 넘는 환자가 영향을 받았음에도 상당수가 자신의 정보가 다크웹에 공개된 사실조차 모르고 있었다고 보도했다. 시노비스 측은 방대한 데이터 분석과 법적 검토에 시간이 걸리고 있다고 해명했다. 환자단체와 개인정보보호 전문가들은 통보 지연이 피해자들의 대응권을 침해한다고 비판했다. 이 문제는 이후 영국 정보보호당국의 별도 조사로 이어졌다.

킹스칼리지병원 NHS 재단신탁이 2024년 시노비스 공격 여파로 환자 1명이 사망했다고 공식 확인하며, 이는 사이버공격이 사망의 원인 또는 기여 요인으로 공개 인정된 영국 최초의 사례가 됐다. 병원 측은 해당 환자가 혈액검사 결과를 받기까지 공격으로 인한 지연이 사망에 영향을 미친 여러 요인 중 하나였다고 밝혔다. 환자안전 조사에서는 이 밖에도 여러 요인이 함께 지목됐다. 이 발표는 랜섬웨어 공격이 단순한 정보유출을 넘어 실제 인명피해로 이어질 수 있음을 보여준 상징적 사건으로 받아들여졌다. NHS는 이후 유사 공급망 공격에 대비한 비상 프로토콜 정비에 나섰다.

시노비스는 사고 발생 약 18개월 만에 포렌식 조사를 마무리하고 영향받은 90만 명 이상의 개인에게 순차적으로 유출 통보를 시작했다고 밝혔다. 조사에서는 환자 이름, 생년월일, NHS 번호 외에 일부에서는 연락처 정보까지 유출된 것으로 확인됐다. 통보 대상에는 애초 파악되지 않았던 에식스 지역 NHS 신탁 소속 환자들까지 추가로 포함되며 피해 범위가 더 넓어졌다. 시노비스는 통보 지연에 대해 방대한 데이터 규모와 복잡한 법적 절차 때문이라고 재차 해명했다. 이로써 2024년 6월 공격 이후 약 1년 5개월 만에 공식적인 피해자 통보 절차가 마무리 단계에 들어섰다.

사고 발생 1년 반이 지난 2026년 초까지도 시노비스 관련 시스템에는 16만 건이 넘는 병리 보고서가 환자 기록에 입력되지 못한 채 남아 있는 것으로 나타났다. 같은 기간 이번 공격과 연관된 환자안전 사고는 수백 건까지 누적 집계됐으며 이 중 일부는 중대 등급으로 분류됐다. 전문가들은 초기 대응 실패로 인한 여파가 예상보다 훨씬 오래 지속되고 있다고 평가했다. NHS는 병리 데이터 처리 적체를 해소하기 위한 별도 인력과 예산을 투입하기로 했다. 이 사건은 의료 공급망 사이버보안 강화 필요성을 보여주는 대표 사례로 계속 인용되고 있다.