앤섬 유출 사건을 기준으로 보안 인식 달라질 듯

[보안뉴스 주소형] 최근 5년 사이에 의료 개인정보 유출로 인한 피해 규모가 상당히 커졌다. MIFA(Medical Identity Fraud Alliance)가 보안 컨설팅업체인 포네몬(Ponemon)사에 의뢰하여 의료 개인정보 유출 실태를 조사한 결과에 따르면 지난해 관련 사건이 전년대비 21.7% 늘었다.

보안의 중요성에 대한 인식이 높아지고 그에 대한 투자도 활발해지고 있는 금융시장에 비해 의료시장은 아직까지 보안 환경이 많이 뒤쳐져 있다. 상황이 이렇다보니 의료 정보 유출로 인한 피해자들의 금전적인 부담이 큰 것으로 파악됐다. 의료 정보 유출로 인한 피해자들이 이를 해결하기 위해 쓰는 비용을 따져보니 피해자 65%가 한 사람당 평균 1만 3,450달러 정도를 지출한 것으로 조사됐다. 해당 비용은 피해자들의 건강관리사, 보험사, 신용서비스, 법률 상담사 등을 위한 비용이 포함된 가격이다.

대부분의 피해자들의 연수입이 5만 불 이하인 것을 고려하면 상당히 높은 액수다. 비용 뿐 아니라 피해자의 45%는 해당 사고로 명예가 훼손 됐으며, 86%의 피해자는 개인적인 의료기록이 노출되어 수치심을 느꼈다고 답했다. 뿐만 아니라 19%의 피해자는 유출 건으로 경력에 금이 갔고 피해자의 3%는 실제로 직장을 잃었다.    

게다가 대부분의 피해자들은 이를 해결하기 위해 200시간 이상을 소요했는데 오직 10%만이 그 결과에 만족했다. 금융업계의 경우 적극적으로 보안 강화를 실천하면서 개인정보 유출로 인한 개인 피해를 낮췄지만, 의료업계는 그러지 못했다는 지적이 나온다.

금일 모의 해킹(Penetration testing) 업체인 레드스핀(Redspin)이 또 다른 보고서를 발표했는데, “헬리코박터 전문기업인 PHI에서 164건의 유출사고 있었다고 보고됐는데 총 900만명의 환자 기록이 164번에 걸쳐 유출됐다”고 나와있다. 중요한 건 이들의 절반 이상이 “해킹 공격”으로 인해서였다는 것.

또 특이한 건 의료 정보 사기는 피해자의 지인에 의해 벌어지기도 한다는 점이다. MIFA/포네몬(Ponemon) 보고서에 따르면, 피해자의 25%가 “가족이나 친구가 그들의 개인정보를 의료 서비스를 받는 데 사용했고, 24%는 가족 중 한명이 피해자의 동의 없이 피해자의 의료 혜택을 누리고 있다”고 고백했다. 이미 범인이 누군지 알고 있기 때문에 굳이 사기 당했다는 보고도 하지 않는다고 답한 이는 47%였다.

보고서에 의하면 평균적으로 개인정보 탈취를 발견하기까지는 3달 정도가 걸린다. 담당 건강관리사나 보험업자가 사고에 대해 고객에게 통보해주는 경우는 거의 없다시피 했다. 그럼 어떻게 발생한 사고에 대해 알게 되는 것일까? 예약하는 과정에서 알게 된 경우가 12%고, 9%는 회사로부터 통보를 받았으며, 5%는 “주의” 알림을 받았다고 조사됐다.

그럼 그 나머지는? 고객들의 대부분은 스스로 유출사고 여부에 대한 진실을 찾아냈다. 1/3의 고객들은 청구서를 살펴보다가 오류를 발견했고, 28%는 갑자기 날아들어온 채권추심 경고문으로 알아챘다. 24%는 의료기록이 이상한 것에서, 24%는 보험사 뉴스레터를 읽다가 수상한 경우를 보고, 14%는 신뢰등급 조회를 통해서였다고 한다.

이런 응답들에 대해서는 건강관리사들이 주목해야 할 필요가 있다. 게다가 절반 이상의 응답자가 개인정보를 도둑맞았을 때 담당 관리사를 바꿀 것이라고 답했으며, 80%가 피해를 완화시킬 수 있는 배상을 원한다고 답했다.

위 두 개의 보고서는 최근 앤섬(Anthem)사의 의료정보 유출사건이 터지기 전에 작성된 것이다. 보안업계는 앤섬 유출사고에 대한 고객들의 반응을 흥미롭게 지켜보고 있다. 앤섬사는 쉬쉬하려는 타 기업들과 달리 유출사고에 대한 정보를 8일 이라는 짧은 기간 내에 대중에게 공표했기 때문이다.

@DARKReading

[국제부 주소형 기자(sochu@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>