크레소티 해킹, 230만 명 의료정보 대량 유출…2차 피해 우려 심각

---

의약품 구매결제 서비스 '크레소티'가 해킹 공격을 받아 약 230만 명의 민감한 의료정보가 유출되는 대형 침해사고가 발생했다. 처방전 정보와 건강 데이터 등 민감정보가 대거 포함되어 보이스피싱, 보험사기 등 2차 피해에 대한 우려가 커지고 있다.

---

사건 개요

2026년 6월, 의약품 구매결제 플랫폼 크레소티가 외부 해킹 공격을 받아 대규모 개인정보 유출 사고가 발생했다. 이번 사고로 유출된 정보는 약 230만 명에 달하며, 단순 연락처나 계정 정보를 넘어 처방전 정보, 복용 약물 내역, 건강 관련 데이터 등 고도의 민감정보가 포함된 것으로 확인됐다.

크레소티는 온라인을 통한 의약품 결제 및 배송 서비스를 제공하는 플랫폼으로, 서비스 특성상 이용자의 질병 이력과 처방 내역 등 의료정보를 필수적으로 수집해왔다. 이번 유출로 해당 정보가 외부에 노출되면서 의료 민감정보의 수집·보관 체계 전반에 대한 점검 필요성이 제기되고 있다.

---

핵심 쟁점 분석

1. 민감정보 유출의 심각성

개인정보보호법 제23조는 건강, 유전정보 등을 민감정보로 분류하고 별도 동의 및 강화된 보호조치를 요구한다. 이번에 유출된 처방전 정보와 건강 데이터는 대표적인 민감정보에 해당하며, 일반 개인정보보다 훨씬 엄격한 관리 의무가 적용된다.

2. 2차 피해 위험

의료정보는 한번 유출되면 변경이 불가능한 정보라는 점에서 피해가 장기화될 수 있다. 특히 다음과 같은 2차 피해가 우려된다.

• 맞춤형 보이스피싱: 실제 복용 약물 정보를 언급하며 신뢰를 확보하는 사기 수법
• 보험사기: 건강 이력을 악용한 허위 보험 청구
• 사회적 차별: 질병 정보 노출로 인한 취업·보험 가입 불이익

3. 플랫폼 보안 체계의 허점

의료 관련 플랫폼임에도 불구하고 해킹에 무방비로 노출된 점은 기술적·관리적 보호조치의 미흡을 시사한다. 암호화 수준, 접근통제, 침입탐지 체계 등 전반적인 보안 인프라 점검이 필요하다.

---

기업·기관 대응 방안

단기 조치 - 유출 피해자 개별 통지 및 한국인터넷진흥원(KISA) 신고 - 2차 피해 방지를 위한 모니터링 서비스 제공 - 비밀번호 변경 및 이상 거래 탐지 강화

중장기 대책 - 민감정보 암호화 수준 상향 (AES-256 이상) - 침입탐지시스템(IDS) 및 보안관제 24시간 운영 - 정기적 모의해킹 및 취약점 점검 실시 - ISMS-P 인증 취득을 통한 체계적 보안 관리

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

민감정보의 정의와 처리 제한 (개인정보보호법 제23조)

>

민감정보란 사상·신념, 노동조합·정당 가입·탈퇴, 정치적 견해, 건강, 유전정보, 범죄경력 정보 등 정보주체의 사생활을 현저히 침해할 우려가 있는 정보를 말한다. 민감정보 처리 시에는 별도의 동의를 받거나 법령에서 허용한 경우에만 가능하며, 일반 개인정보보다 강화된 기술적·관리적 보호조치(암호화 등)가 요구된다. 위반 시 과징금·과태료 등 행정처분과 함께 형사처벌 대상이 될 수 있다.

---

글 백남정 기자 | 개인정보보호 전문 데스크