미국 의료유통 대기업 맥케슨, 수백만 건 환자정보 유출 피해 발생

핵심 요약

- 미국 의료유통 대기업 맥케슨(McKesson)이 2026년 8월 해킹 공격을 받아 수백만 건의 환자 개인정보가 유출되었다고 공격자들이 주장 - 맥케슨은 미국 전역의 병원과 의료기관에 의약품·의료기기를 공급하는 핵심 공급망 기업으로, 해킹으로 간헐적 서비스 장애 발생 중 - 의료 공급망 기업의 보안 취약점이 다수 의료기관과 환자의 개인정보에 연쇄적 영향을 미치는 구조적 위험 노출

주요 내용

맥케슨(McKesson Corporation)은 2026년 8월 31일 자사가 해킹 공격을 받았으며, 이로 인해 간헐적인 서비스 저하가 예상된다고 공식 발표했다. 공격자들은 수백만 건의 환자 개인정보를 탈취했다고 주장하고 있으며, 이는 2026년 의료 분야에서 발생한 가장 대규모 데이터 유출 사고 중 하나로 기록될 전망이다.

맥케슨은 미국 최대 규모의 의약품 및 의료기기 유통업체로, 전국의 병원, 약국, 의료기관에 필수 의료 물품을 공급하는 핵심 공급망 역할을 수행하고 있다. 이러한 중앙집중식 유통 구조는 효율성을 제공하지만, 동시에 단일 취약점이 수많은 하위 의료기관과 그들이 관리하는 환자 정보에 연쇄적 영향을 미칠 수 있는 구조적 위험을 내포하고 있다.

현재 맥케슨 측은 유출된 데이터의 구체적인 범위, 공격 벡터, 침해 기간 등 세부 사항을 공개하지 않고 있으나, 해커들이 주장하는 "수백만 건"의 환자 정보에는 성명, 주민등록번호(SSN), 진료기록, 보험정보 등 민감한 개인정보가 포함되어 있을 가능성이 높다. 의료정보는 금융정보보다 다크웹에서 더 높은 가격에 거래되는 것으로 알려져 있어, 2차 피해 우려도 제기되고 있다.

이번 사고는 의료 공급망 생태계 전반의 보안 취약성을 드러냈다. 개별 의료기관이 아무리 강력한 보안 체계를 구축하더라도, 공급망 파트너의 보안 수준이 낮으면 간접 경로를 통한 개인정보 유출이 발생할 수 있음이 재확인되었다. 특히 의료 분야는 시스템 가용성이 생명과 직결되어 있어 랜섬웨어 공격에 취약하며, 공격자들이 선호하는 표적이 되고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 맥케슨 사고는 공급망 보안 관리의 중요성을 다시 한번 강조하는 사례다. 의료기관들은 자체 시스템 보안뿐만 아니라 제3자(공급업체, 유통업체, 클라우드 서비스 제공자 등)에 대한 보안성 검토와 지속적인 모니터링 체계를 구축해야 한다. 특히 환자 개인정보를 처리하거나 접근 권한을 가진 모든 외부 파트너에 대해서는 개인정보 처리 위탁 계약 체결, 정기적인 보안 점검, 사고 발생 시 통보 절차 등을 명확히 규정해야 한다.

국내 의료기관들도 유사한 공급망 구조를 가지고 있어 이번 사례를 교훈 삼아야 한다. 전자의무기록(EMR) 시스템, 의료영상저장전송시스템(PACS), 처방전달시스템(OCS) 등 핵심 시스템의 공급업체 및 유지보수 업체에 대한 보안 요구사항을 강화하고, 접근 권한을 최소화하며, 모든 접근 활동에 대한 로그를 중앙 집중식으로 관리·분석하는 체계가 필요하다. 또한 공급망 파트너의 보안 사고가 자사에 미치는 영향을 사전 평가하고, 비상 대응 계획(BCP)에 제3자 침해 시나리오를 포함해야 한다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 처리 위탁 관리 (개인정보보호법 제26조, ISMS-P 2.8.2)
개인정보처리자는 업무를 위탁하는 경우 위탁업체에 대한 관리·감독 책임을 진다. 위탁 계약 시 개인정보 안전성 확보 조치, 재위탁 제한, 손해배상 책임, 위탁 종료 후 정보 반환·파기 등을 명시해야 하며, 정기적인 보안 점검과 관리 현황 확인이 필수다. 맥케슨과 같은 대형 공급망 업체가 침해당할 경우, 계약 관계에 있는 모든 의료기관이 연대 책임 이슈에 직면할 수 있다.

2. 공급망 보안 위험 관리 (ISMS-P 2.4.2 위험 관리)
공급망을 통한 간접 위험은 정보보호 위험 평가 시 반드시 포함되어야 한다. 특히 의료정보와 같은 민감정보를 처리하는 제3자에 대해서는 자체 보안 수준 평가, 인증 보유 현황(ISMS-P, ISO27001 등) 확인, 보안 사고 이력 검토 등을 수행해야 한다. 또한 공급업체의 보안 사고가 발생했을 때 즉시 통보받고 영향 범위를 파악할 수 있는 체계를 사전에 구축해야 한다.