[헬스코리아뉴스 / 임도이] 의료기관을 겨냥한 사이버 공격이 실제 환자 진료 중단과 의료정보 손실로 이어지는 심각한 피해를 유발하는 것으로 확인됐다. 특히 일부 병원은 응급실 운영을 중단하거나 수술을 연기했고, 해커에게 금전을 지급하고도 환자 진료기록을 완전히 복구하지 못한 경우가 있었다. 

한국보건사회연구원이 발간한 '의료기관 사이버 보안 개선을 위한 정책 방안 연구'(연구보고서 2025-61)에 따르면 국내 의료기관에서 발생한 랜섬웨어 공격은 전자의무기록(EMR), 처방전달시스템(OCS), 의료영상저장전송시스템(PACS) 등 핵심 진료시스템을 마비시키는 피해를 낳았다.

연구진은 국내 의료기관의 사이버 침해사고 사례와 보안 실태를 분석해 의료정보 보호체계의 문제점을 진단했다. 보고서에는 의료기관 종별로 실제 발생한 침해사고의 공격 경로와 피해 규모, 복구 과정 등이 구체적으로 수록됐다.

2023년 국내 한 병원은 국제 랜섬웨어 조직 '블랙캣(BlackCat)'의 공격으로 주요 서버 9대가 감염됐다. 해커들은 보안 취약점이 보완되지 않은 가상사설망(VPN) 장비를 통해 내부 전산망에 침입했다.

그 결과 환자 진료기록과 의료영상, 검사 결과를 조회할 수 없게 되면서 응급환자를 인근 병원으로 이송하고 예약된 수술을 대거 연기했다. 의료진은 종이 차트와 수기 입력 방식으로 진료를 이어갔지만, 병원이 정상적인 진료 기능을 회복하기까지 약 1주일이 걸렸다.

2021년에도 한 병원이 '아바돈(Avaddon)' 랜섬웨어 공격을 받아 응급실 운영을 일시 중단했다. 공격자는 관리자 계정을 탈취한 뒤 전산시스템 전반으로 악성코드를 확산시켰다. 병원은 예약된 수술을 연기하고 일부 환자를 다른 의료기관으로 옮겼으며, 정상적인 시스템 복구에 수 주가 소요됐다.

의료영상 데이터가 영구적으로 손실된 사례도 있었다. 2024년 한 종합병원에서는 랜섬웨어 공격으로 EMR과 PACS, 검진 서버 등 주요 서버 5대가 감염됐다. 당시 PACS 서버에는 약 20TB의 환자 영상 데이터가 저장돼 있었다.

병원은 외부 보안업체를 동원해 복구에 나섰지만 일부 영상자료가 영구적으로 손실됐다. 의료진은 과거 검사 영상을 확인하지 못해 진단과 치료계획 수립에 차질을 빚었고, 일부 환자는 검사를 다시 받아야 했다.

해커에게 돈을 지급하고도 피해를 완전히 복구하지 못한 의료기관도 있었다. 2020년 한 의원에서는 진료기록 서버와 백업 서버, 외장하드까지 동시에 암호화됐다. 해당 의원은 약 3300만원을 지급하고 복구 키를 확보했지만 일부 데이터가 손상됐고 환자 진료도 며칠간 지연됐다.

2024년 또 다른 의원에서는 랜섬웨어 공격으로 EMR 서버가 암호화되자 약 126만원 상당의 비트코인을 지급했다. 그러나 복구 이후에도 일부 파일이 손상된 상태로 남았다.

이처럼 의료기관의 사이버 침해사고는 진료기록 유출과 전산장애를 넘어 환자 이송, 수술 연기, 재검사 등 실제 의료서비스 제공에 차질을 빚는 것으로 나타났다.

보안 대응을 위한 예산도 충분히 확보되지 않은 것으로 조사됐다. 연구진이 전국 상급종합병원 41곳과 종합병원 222곳 등 263개 의료기관을 조사한 결과, 2025년 정보보안 예산을 전혀 편성하지 않은 의료기관은 44곳(16.7%)이었다. 개인정보보호 예산이 없는 기관은 49곳(18.6%)이었고, 정보화·개인정보보호·정보보안 예산이 모두 없는 기관도 16곳(6.1%)으로 집계됐다.

헬스코리아뉴스 취재 결과를 종합하면 해외에서는 사이버 공격으로 수천 건의 진료와 수술이 연기되고, 1억 명이 넘는 환자의 개인정보가 유출되는 대규모 피해도 발생했던 것으로 나타났다.

2024년 6월 영국에서는 런던 지역 병원에 병리검사 서비스를 제공하는 시노비스(Synnovis)가 랜섬웨어 공격을 받았다. 이로 인해 킹스칼리지병원과 가이스·세인트토머스병원 등 주요 의료기관의 혈액검사 업무가 마비됐다.

영국 국민보건서비스(NHS)에 따르면 공격 발생 후 7월 중순까지 외래진료 7000건 이상과 수술 등 예정된 의료시술 1500건 이상이 연기됐다. 일부 암 치료도 차질을 빚었으며, 검사실의 업무 처리 능력이 크게 떨어져 환자들이 장기간 불편을 겪었다.

미국에서는 같은 해 2월 대형 의료정보 처리업체 체인지헬스케어(Change Healthcare)가 랜섬웨어 공격을 받아 전국적인 의료서비스 장애가 발생했다. 의료비 청구와 보험금 지급, 처방약 관련 업무가 차질을 빚었고, 대규모 환자 개인정보 유출로 이어졌다.

미국 보건복지부(HHS)에 따르면 2025년 7월 말 기준 피해자는 약 1억 9270만 명으로 집계됐다. 당시 미국 정부는 환자 진료와 개인정보 보호에 미친 피해 규모를 고려해 관련 기업에 대한 조사에 착수한 바 있다.

한국보건사회연구원 연구진은 "의료기관의 사이버 보안을 환자 안전과 진료 연속성 차원에서 관리해야 한다"며 "의료기관의 규모와 보안역량을 고려한 지원체계를 마련하고, 의료기관 평가·인증제도에 사이버 보안 항목을 단계적으로 반영해야 한다"고 강조했다.