Trace Id is missing

위험에 처한 미국 의료 서비스: 랜섬웨어 공격에 대한 복원력 강화

공유
태블릿을 보고 있는 의료 전문가들

의료 서비스 부문은 급속도로 증가하는 사이버 보안 위협에 직면해 있으며 랜섬웨어 공격이 가장 심각한 공격 중 하나로 떠오르고 있습니다. 귀중한 환자 데이터, 상호 연결된 의료 기기, 소규모 IT/사이버 보안 운영 직원으로 인해 집중적인 자원 보호가 어려운 현실 등 복합적인 이유로 의료 기관은 위협 행위자의 주요 표적이 될 수 있습니다. EHR(전자 건강 기록)에서 원격 의료 플랫폼, 네트워크화된 의료 기기에 이르기까지 의료 서비스 운영이 점점 디지털화됨에 따라 병원의 공격 표면은 더욱 복잡해지고 공격에 대한 취약성은 더욱 높아집니다.

다음 섹션에서는 의료 서비스 분야의 현재 사이버 보안 환경에 대한 개요를 소개하며 주요 표적이 된 의료 서비스 업계의 상황, 증가하는 랜섬웨어 공격의 빈도, 이러한 위협이 재정적 결과 및 환자 치료 결과에 미치는 심각한 영향을 중점적으로 살펴봅니다.

Microsoft의 위협 인텔리전스 전략 이사인 Sherrod DeGrippo가 진행하는 비디오 토론에서는 이 중대한 문제를 자세히 살펴보고 위협 행위자, 복구 전략, 의료 서비스 취약성에 대한 전문가의 인사이트를 제공합니다.

Microsoft 위협 인텔리전스 브리핑: 의료 서비스

Microsoft 위협 인텔리전스의 위협 인텔리전스 전략 이사인 Sherrod DeGrippo가 위협 인텔리전스 및 의료 서비스 보안 전문가와 함께 활발한 원탁 토론을 진행하며 의료 서비스가 랜섬웨어 공격에 취약한 이유, 위협 행위자 단체가 사용하는 전술, 복원력을 유지하는 방법 등을 자세히 살펴봅니다.
  • Microsoft 위협 인텔리전스에 따르면 의료 서비스/공중 보건 부문은 2024년 2분기에 가장 큰 영향을 받은 상위 10개 산업 중 하나였습니다.1
  • RaaS(서비스형 랜섬웨어)는 기술적 전문성이 부족한 공격자의 진입 장벽을 낮추었고, 러시아는 랜섬웨어 단체에게 '안전 항구'를 제공합니다. 그 결과, 랜섬웨어 공격은 2015년 이후 300% 급증했습니다.2
  • 이번 회계 연도에는 389개 미국 의료 기관이 랜섬웨어 공격을 받아 네트워크 중단, 시스템의 오프라인 상태 전환, 중요한 의료 절차의 지연, 예약 변경과 같은 피해를 입었습니다3. 이러한 공격은 막대한 손해 비용을 초래합니다. 한 업계 보고서에 따르면 의료 서비스 기관은 가동 중지 시간만으로 하루 최대 미화 900,000달러의 손실을 입는 것으로 나타났습니다.4
  • 몸값 지불을 인정하고 지불한 금액을 공개한 99개 의료 기관의 정보에 의하면 중위 지불액은 미화 150만 달러, 평균 지불액은 미화 440만 달러였습니다.5

환자 치료에 미치는 심각한 영향

랜섬웨어 공격으로 인한 의료 서비스 운영 중단은 영향을 받은 병원뿐만 아니라 응급실에서 옮겨진 환자를 흡수하는 인근 지역의 병원에서도 환자를 효과적으로 치료하는 능력에 심각한 영향을 미칠 수 있습니다.6

병원 네 곳(두 곳은 공격을 받았으며 두 곳은 영향을 받지 않음)을 대상으로 한 랜섬웨어 공격으로 인해 영향을 받지 않은 인근 병원 두 곳에서 응급실 환자 수가 증가하고, 대기 시간이 길어지고, 특히 뇌졸중과 같이 빠른 치료가 중요한 경우 자원에 추가적인 부담이 발생했음을 보여주는 최근 연구 결과를 살펴보세요.7
뇌졸중 사례 증가: 랜섬웨어 공격으로 인해 영향을 받지 않은 병원이 영향을 받은 병원의 환자를 흡수해야 했기 때문에 전체 의료 서비스 생태계에 심각한 부담이 되었습니다. 인근 병원의 뇌졸중 코드 발동 건수는 59건에서 103건으로 두 배 가까이 늘었고, 확인된 뇌졸중 건수는 22건에서 47건으로 113.6% 증가했습니다.
심정지 증가: 공격으로 인해 영향을 받지 않은 병원의 심정지 사례가 21건에서 38건으로 81% 급증함에 따라 의료 서비스 시스템이 압박을 받게 되었습니다. 이는 한 시설의 손상으로 인한 연쇄적인 영향을 반영하며 인근 병원이 더 심각한 환자를 받도록 강제합니다.
좋은 신경학적 예후의 생존율 감소: 공격 중 영향을 받지 않은 병원의 경우 병원 밖에서 발생하는 좋은 신경학적 예후의 심정지 생존율이 공격 전 40%에서 공격 단계 중 4.5%로 급격히 감소했습니다.
구급차 도착 증가: 공격 단계에서 '영향을 받지 않은' 병원에 도착하는 구급대가 35.2% 증가했는데, 이는 영향을 받은 병원에서 랜섬웨어로 인해 발생한 중단으로 인해 구급차 우회가 크게 늘었음을 시사합니다.
환자 수 급증: 공격으로 인해 지역 병원 네 곳(두 곳은 공격을 받았으며 두 곳은 영향을 받지 않음)이 침해를 받음에 따라 영향을 받지 않은 병원의 응급실에 상당한 환자 유입이 발생했습니다. 영향을 받지 않은 이러한 병원의 일일 환자 수는 공격 단계 동안 공격 전 단계 대비 15.1% 증가했습니다.
추가적인 진료 중단: 공격이 진행되는 동안 영향을 받지 않은 병원에서 진료를 받지 못하고 되돌아 간 환자의 수, 대기 시간, 입원 환자의 총 재원 기간이 눈에 띄게 증가했습니다. 예를 들어 중위 대기 시간은 공격 전 21분에서 공격 중 31분으로 늘어났습니다.

랜섬웨어 사례 연구

의료 서비스 분야의 랜섬웨어 공격은 표적이 된 조직뿐만 아니라 환자 치료 및 운영 안정성에도 치명적인 결과를 초래할 수 있습니다. 다음 사례 연구에서는 대규모 병원 시스템에서 소규모 농촌 의료 기관에 이르기까지 다양한 유형의 의료 서비스 조직에 대한 랜섬웨어의 광범위한 영향을 설명하고, 공격자가 네트워크에 침투하는 다양한 방식과 그에 따른 필수 의료 서비스 중단을 강조합니다.
  • 공격자는 손상된 자격 증명을 사용하여 다단계 인증이 없는 취약한 원격 액세스 게이트웨이를 통해 네트워크에 액세스했습니다. 이들은 이중 강탈 방식으로 중요한 인프라를 암호화하고 민감한 데이터를 반출하여 몸값을 지불하지 않으면 데이터를 공개하겠다고 위협했습니다.

    영향:     이 공격으로 인해 의료 서비스 제공업체와 약국의 80%가 보험을 확인하거나 보험 청구를 처리하지 못하는 등 혼란이 발생했습니다. 
  • 공격자는 패치되지 않은 병원 레거시 소프트웨어의 취약성을 악용하여 내부망에 침투해 환자 예약 정보 및 의료 기록을 손상시켰습니다. 이들은 이중 강탈 전술을 사용하여 민감한 데이터를 반출하고 몸값을 지불하지 않으면 공개하겠다고 위협했습니다.

    영향: 이 공격으로 인해 운영에 지장이 생겨 예약이 취소되고, 수술이 연기되고, 수동 프로세스로 전환됨에 따라 직원의 부담이 가중되고 치료가 지연되었습니다. 
  • 공격자는 피싱 이메일을 사용하여 병원 네트워크에 액세스하고 패치되지 않은 취약성을 악용하여 랜섬웨어를 배포해 EHR(전자 건강 기록) 및 환자 치료 시스템을 암호화했습니다. 이들은 이중 강탈 전술을 사용해 민감한 환자 및 재무 데이터를 반출하고 몸값을 지불하지 않으면 이를 유출하겠다고 위협했습니다. 

    영향:     이 공격으로 인해 병원 4곳과 진료소 30곳 이상의 서비스에 차질이 생겼으며, 데이터 노출 우려로 인해 치료가 지연되고 응급 환자는 다른 치료 기관을 찾아야 했습니다. 
  • 2021년 2월, 랜섬웨어 공격으로 인해 44개 병상을 갖춘 시골 병원의 컴퓨터 시스템이 마비됨에 따라 3개월 동안 수동 운영에 의존해야 했으며 보험 청구가 극심하게 지연되었습니다.

    영향:     병원이 적시에 지불금을 마련하지 못하여 재정적인 어려움을 겪었고, 농촌 지역 주민들이 중요한 의료 서비스를 받을 수 없게 되었습니다. 

미국 의료 서비스 부문은 광범위한 공격 표면, 레거시 시스템, 일관되지 않은 보안 프로토콜로 인해 금전적 이득을 노리는 사이버 범죄자들에게 매력적인 표적이 됩니다. 의료 기관은 디지털 기술과 민감한 데이터에 대한 의존도, 그리고 많은 기관이 직면하는 자원적 제약(종종 매우 낮은 이윤으로 인해 발생)으로 인해 사이버 보안에 적극적으로 투자하는 것이 쉽지 않아 특히 취약해집니다. 또한 어떤 비용을 치르더라도 환자 치료를 우선시하는 특성상 치료에 차질이 생기지 않도록 기꺼이 몸값을 지불하게 될 수 있습니다.

몸값을 지불할 것이라는 인식

랜섬웨어가 의료 서비스 부문에서 이렇게 심각한 문제가 된 이유 중 하나는 이 부문에서 몸값을 지불했던 전적 때문입니다. 의료 기관은 무엇보다도 환자 치료를 우선시하며, 수백만 달러를 지불하여 치료에 미치는 차질을 피할 수 있다면 기꺼이 그렇게 하는 경우가 많습니다.

실제로 402개 의료 기관 대상 설문을 기반으로 한 최근 보고서에 따르면 지난 1년 동안 67%의 기관이 랜섬웨어 공격을 받았습니다. 그중 2024년에 몸값을 지불했다고 인정한 기관은 53%인데, 이는 2023년의 42%보다 증가한 수치입니다. 이 보고서는 또한 인정된 평균 몸값 지불 금액이 미화 440만 달러에 달하는 현실을 통해 공격이 재정에 미치는 영향을 강조합니다.12

제한된 보안 자원 및 투자

또 다른 중요한 과제는 의료 서비스 부문 전반의 제한된 사이버 보안 예산과 자원입니다. 최근 CSC 2.0(미국 의회 산하 사이버 공간 솔라리움 위원회의 작업을 계속해서 진행하고 있는 그룹)의 Healthcare Cybersecurity Needs a Check-Up 보고서13에 따르면 의료 기관은 "예산이 부족하고 핵심 환자 서비스에 우선 지출해야 하기 때문에 사이버 보안에 투자할 자금이 부족한 경우가 많으므로 공격에 더욱 취약해집니다."

게다가 문제의 심각성에도 불구하고 의료 서비스 제공업체는 사이버 보안에 충분한 투자를 하지 않고 있습니다. 사이버 보안과 같이 눈에 띄지 않는 투자보다 즉각적인 임상 필요를 우선시하는 간접 지불 모델을 비롯해 다양한 복잡한 요인으로 인해 의료 서비스 분야는 지난 20년 동안 사이버 보안에 상당히 적은 비용을 투자했습니다.10

또한 HIPAA(Health Insurance Portability and Accountability Act)에 따라 데이터 기밀성에 대한 투자를 우선시하게 되었으며 데이터 무결성과 가용성은 부차적인 문제로 남겨지는 경우가 많습니다. 이러한 접근 방식을 취하면 조직 복원력, 특히 RTO(복구 시간 목표) 및 RPO(복구 지점 목표)를 낮추는 데 대한 집중도가 낮아질 수 있습니다.

레거시 시스템 및 인프라 취약성

사이버 보안에 대한 투자 부족으로 인한 결과 중 하나는 업데이트하기 어려운 오래된 레거시 시스템에 의존하게 된다는 점입니다. 이러한 시스템은 악용의 주요 표적이 됩니다. 또한 서로 다른 기술을 사용하면 보안에 허점이 있는 패치워크식 인프라가 형성되어 공격 위험이 높아집니다.

이러한 취약한 인프라는 의료 서비스 업계의 최근 합병 추세로 인해 더욱 복잡해지고 있습니다. 증가 추세에 있는 병원 합병(2022년 대비 23% 증가, 2020년 이후 최고 수준14)으로 인해 조직들은 여러 위치에 분산된 복잡한 인프라를 갖추게 됩니다. 사이버 보안에 대한 충분한 투자가 없으면 이러한 인프라는 공격에 매우 취약해집니다.

공격 표면 확장

연결된 기기와 의료 기술로 이루어진 임상적으로 통합된 치료 네트워크는 환자 임상 결과를 개선하고 생명을 구하는 데 도움이 되는 동시에 디지털 공격 표면도 확대했습니다. 위협 행위자는 바로 이 점을 점점 더 악용하고 있습니다.

병원은 그 어느 때보다 온라인화되어 CT 스캐너, 환자 모니터링 시스템, 주입 펌프와 같은 중요한 의료 기기를 네트워크에 연결하지만 환자 치료에 심각한 영향을 미칠 수 있는 취약성을 식별하고 완화하는 데 필요한 가시성 수준을 항상 갖추지는 못합니다.

캘리포니아 대학교 샌디에이고 의료 서비스 사이버 보안 센터의 공동 이사이자 공동 창립자인 Christian Dameff 및 Jeff Tully 박사는 평균적으로 병원 엔드포인트의 70%가 컴퓨터가 아니라 의료 기기라고 말합니다.   
의료 장비, 흰색 서랍, 파란색 커튼이 있는 병실.

의료 기관은 또한 방대한 양의 데이터를 전송합니다. Office of the National Coordinator for Health IT의 데이터에 따르면 88% 이상의 병원이 환자 건강 정보를 전자적으로 보내고 받고 있다고 보고했으며, 60% 이상이 해당 정보를 EHR(전자 건강 기록)에 통합한다고 보고했습니다.15

소규모 농촌 의료 기관에 닥친 고유한 문제

농촌 지역의 취약지 거점 병원은 보안 위험을 예방하고 해결할 수 있는 수단이 제한적인 경우가 많기 때문에 랜섬웨어에 특히 취약합니다. 이러한 병원은 서비스를 제공하는 지역 사회에서 수 킬로미터 범위에 걸쳐 유일한 의료 서비스 제공 기관인 경우가 많으므로 공격에 취약하다는 점은 지역 사회에 치명적일 수 있습니다.

Dameff와 Tully에 따르면 시골 병원은 일반적으로 대규모 도시 병원과 동일한 수준의 사이버 보안 인프라나 전문 지식이 부족합니다. 또한 이들 병원의 비즈니스 연속성 계획 중 다수가 오래되었거나 랜섬웨어와 같은 최신 사이버 위협을 해결하는 데 부적절할 수 있다고 말합니다.

많은 소규모 또는 시골 병원은 매우 적은 이윤으로 운영되면서 심각한 재정적 제약에 직면해 있습니다. 이러한 재정적 현실로 인해 강력한 사이버 보안 조치에 투자하기가 어렵습니다. 이러한 시설은 일상적인 기술 문제는 능숙하게 관리할 수 있지만 사이버 보안에 대한 전문 지식은 부족한 일반 IT 직원 한 명에게 의존하는 경우가 많습니다.

2015년 사이버보안법에 따라 창설된 미국 보건복지부의 보건산업 사이버보안 태스크포스의 보고서는 농촌 지역의 취약지 거점 병원 상당수에 사이버 보안에 초점을 둔 정규직 직원이 부족하다는 점을 강조하며 소규모 의료 서비스 제공업체가 직면한 보다 광범위한 자원 문제를 분명히 보여줍니다.

Dameff는 말합니다. "그저 네트워크와 컴퓨터 관리에 능숙한 이러한 일반 IT 직원은 '인쇄가 안 돼요. 로그인이 안 돼요. 암호를 잊었어요' 같은 문제를 처리하는 데는 익숙합니다. 이들은 사이버보안 전문가가 아닙니다. 동료 직원도 없고, 예산도 없고, 어디서부터 시작해야 할지조차 모릅니다."

일반적으로 사이버 범죄자의 공격 프로세스는 2단계 접근 방식을 따르는데, 먼저 주로 피싱이나 취약성 악용을 통해 네트워크에 대한 초기 액세스 권한을 얻은 다음 랜섬웨어를 배포하여 중요한 시스템과 데이터를 암호화합니다. 합법적인 도구의 사용과 RaaS의 확산 등 이러한 전술이 진화함에 따라 공격에 대한 접근성과 그 빈도가 높아졌습니다.

랜섬웨어 공격의 초기 단계: 의료 네트워크에 대한 액세스 권한 확보

이전에 Microsoft에서 엔터프라이즈 이메일 위협 인텔리전스 및 탐지 엔지니어링에 중점을 둔 팀을 이끌었던 Jack Mott는 "이메일이 여전히 랜섬웨어 공격을 위한 맬웨어 및 피싱 공격의 매개가 되는 가장 큰 벡터 중 하나"라고 말합니다.16

시골 병원을 포함하여 여러 운영 주체를 대표하는 13개 병원 시스템을 대상으로 한 Microsoft 위협 인텔리전스 분석에서 관찰된 악의적인 사이버 활동의 93%는 피싱 작전 및 랜섬웨어와 관련되었으며 대부분의 활동은 이메일 기반 위협인 것으로 나타났습니다.17
"이메일은 여전히 랜섬웨어 공격을 위한 맬웨어 및 피싱 공격의 매개가 되는 가장 큰 벡터 중 하나입니다."
Jack Mott 
Microsoft 위협 인텔리전스

의료 기관을 대상으로 한 작전에서는 매우 구체적인 미끼를 사용하는 경우가 많습니다. Mott는 그 예로 위협 행위자가 부검 보고서 내용을 언급하는 등 의료 관련 전문 용어를 사용한 이메일을 작성하여 신뢰도를 높이고 의료 전문가를 성공적으로 속이는 방법을 강조합니다. 

특히 의료 서비스와 같은 압박이 심한 환경에서 이와 같은 소셜 엔지니어링 전술은 의료계 종사자가 흔히 느끼는 긴급성을 악용하여 잠재적인 보안 실수를 저지르도록 유도합니다. 

Mott는 공격자가 탐지를 회피하기 위해 종종 "실명, 합법적인 서비스, IT 부서에서 일반적으로 이용하는 도구(예: 원격 관리 도구)"를 사용하는 등 공격 방법이 점점 더 정교해지고 있다는 점도 지적합니다. 이러한 전술은 보안 시스템이 악의적인 활동과 합법적인 활동을 구별하기 어렵게 만듭니다. 

Microsoft 위협 인텔리전스 데이터를 보면 공격자가 과거에 식별된 적 있는 조직의 소프트웨어나 시스템의 알려진 취약성을 악용하는 경우가 많다는 것 또한 알 수 있습니다. 이러한 CVE(공개 취약점 및 노출)는 문서화가 잘 되어 있고 공개된 패치 또는 수정 버전이 있으며 공격자들은 많은 조직이 아직 이러한 약점을 해결하지 않았다는 것을 알고 있기 때문에 이러한 오래된 취약점을 표적으로 삼는 경우가 많습니다.18 

공격자는 초기 액세스 권한을 얻은 후 네트워크 정찰을 수행하는 경우가 많으며 이는 비정상적인 검사 활동과 같은 지표로 식별될 수 있습니다. 이러한 작업은 위협 행위자가 네트워크를 파악하여 전략을 세우고, 중요한 시스템을 식별하고, 공격의 다음 단계인 랜섬웨어 배포를 준비하는 데 도움이 됩니다.

랜섬웨어 공격의 마지막 단계: 랜섬웨어를 배포하여 중요한 시스템 암호화

일반적으로 이메일을 통한 피싱이나 맬웨어 전달을 통해 초기 액세스 권한을 얻은 위협 행위자는 두 번째 단계인 랜섬웨어 배포로 넘어갑니다.

Jack Mott는 RaaS 모델의 등장이 의료 서비스 부문에서 랜섬웨어 공격 빈도 증가에 크게 기여했다고 설명합니다. Mott는 "RaaS 플랫폼은 정교한 랜섬웨어 도구에 대한 액세스를 대중화하여 최소한의 기술적 역량만으로도 매우 효과적인 공격을 시작할 수 있도록 한다"고 말합니다. 이 모델은 공격자의 진입 장벽을 낮추어 랜섬웨어 공격에 대한 접근성과 효율성을 높입니다.
"RaaS 플랫폼은 정교한 랜섬웨어 도구에 대한 액세스를 대중화하여 최소한의 기술적 역량만으로도 매우 효과적인 공격을 시작할 수 있도록 합니다." 
Jack Mott 
Microsoft 위협 인텔리전스

Mott는 RaaS의 운영 방식에 대해 자세히 설명하면서 다음과 같이 말합니다. "이러한 플랫폼은 암호화 소프트웨어, 지불 처리, 심지어 몸값 지불액 협상에 대한 고객 서비스를 비롯하여 포괄적인 도구 제품군을 포함하는 경우가 많습니다. 이런 턴키 방식으로 인해 더 광범위한 위협 행위자가 랜섬웨어 작전을 실시할 수 있으므로 공격 횟수와 그 심각도가 높아지게 됩니다."

또한 Mott는 이러한 공격의 조직화된 특성을 강조하며 "랜섬웨어가 배포되면 공격자는 일반적으로 몇 시간 내에 중요한 시스템과 데이터를 암호화하기 위해 빠르게 움직입니다. 이들은 환자 기록, 진단 시스템, 심지어 청구 작업 도구와 같은 필수 인프라를 표적으로 삼아 의료 기관이 랜섬을 지불하도록 그 영향력과 압박을 극대화합니다."라고 말합니다.

의료 분야의 랜섬웨어 공격: 주요 위협 행위자 단체 개요

의료 서비스 부문의 랜섬웨어 공격은 고도로 조직화되고 전문화된 위협 행위자 단체에 의해 실시되는 경우가 많습니다. 금전적 이득을 노리는 사이버 범죄자와 높은 수준의 국가 단위 위협 행위자 모두를 포함하는 이러한 단체들은 고급 도구와 전략을 사용하여 네트워크에 침투하고, 데이터를 암호화하고, 조직에 몸값을 요구합니다.

이러한 위협 행위자 중 독재 국가의 정부 지원 해커는 랜섬웨어를 사용하고 심지어 첩보 목적으로 랜섬웨어 단체와 협력한 것으로 알려졌습니다. 예를 들어 중국 정부의 위협 행위자들은 첩보 활동을 은폐하기 위해 랜섬웨어를 점점 더 많이 사용하고 있다는 의혹을 받고 있습니다.19

2024년에는 이란의 위협 행위자가 가장 적극적으로 의료 기관을 표적으로 활동하는 것으로 보입니다.20 실제로 2024년 8월 미국 정부는 의료 서비스 부문에 Lemon Sandstorm이라고 불리는 이란 기반 위협 행위자에 대한 경고를 발령했습니다. 이 단체는 "의료 기관을 포함한 미국 조직에 대한 무단 네트워크 액세스를 활용하여 러시아 계열 랜섬웨어 범죄 조직의 향후 랜섬웨어 공격을 촉진하고 실행하며 그로부터 이익을 얻고 있었습니다."21

다음 개요는 의료 기관을 표적으로 금전적 이득을 노리는 가장 악명 높은 랜섬웨어 단체에 대한 인사이트를 제공하고, 이들의 방법, 동기, 해당 활동이 업계에 미치는 영향을 자세히 설명합니다.
  • Lace Tempest는 의료 기관을 대상으로 하는 랜섬웨어 단체입니다. RaaS 모델을 사용하여 제휴 조직이 랜섬웨어를 쉽게 배포할 수 있도록 합니다. 이 단체는 중요한 환자 데이터를 암호화하고 몸값을 요구하는 등 병원 시스템에 큰 영향을 미치는 공격에 연루되어 있습니다. 이중 강탈을 일삼는 이들은 데이터를 암호화할 뿐만 아니라 데이터를 반출하여 몸값을 지불하지 않으면 민감한 정보를 유출하겠다고 위협합니다.
  • Sangria Tempest는 의료 기관을 대상으로 한 고급 랜섬웨어 공격으로 악명이 높습니다. 이들은 정교한 암호화를 사용하여 몸값을 지불하지 않으면 데이터를 복구하는 것이 거의 불가능하도록 만듭니다. 또한 이중 강탈 수법으로 환자 데이터를 빼내고 이를 유출하겠다고 위협합니다. 이들의 공격은 광범위한 운영 중단을 초래해 의료 시스템이 자원을 다른 곳으로 돌리게 만들어 환자 치료에 부정적인 영향을 미칩니다.
  • 주로 DDoS(분산 서비스 거부) 공격을 가하던 Cadenza Tempest는 점차 의료 기관을 대상으로 한 랜섬웨어 작전으로 전환하고 있습니다. 친러시아 핵티비스트 그룹으로 확인된 이들은 러시아의 이익에 반하는 지역의 의료 시스템을 표적으로 삼습니다. 이들의 공격은 병원 시스템을 제압하여 중요 운영 시스템을 마비시키고 혼란을 야기하며, 특히 랜섬웨어 작전과 결합될 경우 이러한 문제는 더욱 심각해집니다.
  • 2022년 7월부터 활동하며 금전적 이득을 노리는 Vanilla Tempest는 최근 RaaS 제공업체를 통해 조달한 INC 랜섬웨어를 사용하여 미국 의료 서비스를 표적으로 삼기 시작했습니다. 이들은 취약점을 악용하고, 사용자 지정 스크립트를 사용하고, 표준 Windows 도구를 활용하여 자격 증명을 탈취하고, 내부망에 침투하고, 랜섬웨어를 배포합니다. 또한 시스템의 잠금을 풀고 도난당한 데이터의 유출을 막으려면 몸값을 지불하라고 요구하는 이중 강탈 수법도 사용합니다.

점점 더 정교해지는 랜섬웨어 공격 위험에 직면한 의료 기관은 사이버 보안에 대한 다각적인 접근 방식을 채택해야 합니다. 환자 치료의 연속성을 유지하면서 사이버 인시던트에 저항 및 대응하고 그로부터 복구할 준비가 되어 있어야 합니다.

다음 지침은 복원력을 강화하고, 신속한 복구를 보장하고, 보안 중심 인력을 육성하고, 의료 부문 전반에 걸쳐 협업을 촉진하기 위한 포괄적인 프레임워크를 제공합니다.

거버넌스: 준비성과 복원력 확보

구름이 있는 푸른 하늘 아래에 창문이 많은 건물이 있는 모습

랜섬웨어 공격에 대비하고 대응하려면 의료 서비스 사이버 보안의 효과적인 거버넌스가 필수적입니다. 캘리포니아 대학교 샌디에이고 의료 서비스 사이버 보안 센터의 Dameff와 Tully는 명확한 역할, 정기적인 교육, 학제 간 협력을 통해 강력한 거버넌스 프레임워크를 구축할 것을 권장합니다. 이를 통해 의료 기관은 랜섬웨어 공격에 대한 복원력을 강화하고 심각한 중단 상황에서도 환자 치료의 연속성을 보장할 수 있습니다.

이 프레임워크의 주요 측면은 임상 직원, IT 보안 팀, 응급 관리 전문가 간의 사일로를 허물고 응집력 있는 인시던트 대응 계획을 개발하는 것입니다. 이러한 부서 간 협력은 기술 시스템이 손상되었을 때 환자의 안전과 치료의 질을 유지하는 데 필수적입니다.

Dameff와 Tully는 인시던트 대응 계획을 검토하고 업데이트하기 위해 정기적으로 만남을 가지는 전담 거버넌스 기구 또는 위원회의 필요성 또한 강조합니다. 이들은 이러한 거버넌스 기구가 현실적인 시뮬레이션과 훈련을 통해 대응 계획을 테스트할 수 있도록 지원하여 종이 기록에 익숙하지 않을 수 있는 젊은 임상의를 포함한 모든 직원이 디지털 도구 없이도 효과적으로 운영할 수 있도록 준비시킬 것을 권장합니다.

더 나아가 Dameff와 Tully는 외부 협업의 중요성을 강조합니다. 이들은 대규모 인시던트 발생 시 병원이 서로 지원할 수 있는 지역적 및 국가적 프레임워크를 주창하며, 손상된 시스템을 일시적으로 대체할 수 있는 "국가 차원의 전략적 기술 비축"의 필요성을 강조합니다.

복원력과 전략적 대응

의료 서비스 사이버 보안의 복원력이란 단순히 데이터를 보호하는 것 이상으로, 전체 시스템이 공격을 견디고 그로부터 복구할 수 있도록 보장하는 것을 포함합니다. 환자 데이터를 보호하는 것뿐만 아니라 의료 서비스 운영을 지원하는 전체 인프라를 강화하는 데도 중점을 두는 복원력에 대한 포괄적인 접근 방식이 필수적입니다. 여기에는 네트워크, 공급망, 의료 기기 등 전체 시스템이 포함됩니다.

랜섬웨어 공격을 효과적으로 저지할 수 있는 계층화된 보안 태세를 구축하려면 심층 방어 전략을 채택하는 것이 중요합니다.

랜섬웨어 공격을 효과적으로 저지할 수 있는 계층화된 보안 태세를 구축하려면 심층 방어 전략을 채택하는 것이 중요합니다. 이 전략에는 네트워크에서 엔드포인트, 클라우드에 이르기까지 의료 서비스 인프라의 모든 계층을 보호하는 것이 포함됩니다. 의료 기관은 여러 방어 계층을 마련함으로써 성공적인 랜섬웨어 공격의 위험을 줄일 수 있습니다.

Microsoft 고객을 위한 이러한 계층화 접근 방식의 일환으로 Microsoft 위협 인텔리전스 팀은 악의적 동작을 적극적으로 모니터링합니다. 그러한 활동이 탐지되면 직접 알림이 제공됩니다.

이는 유료 또는 특정 계층에 제공되는 서비스가 아니며 모든 규모의 기업이 동일한 알림을 받습니다. 목표는 랜섬웨어를 포함한 잠재적인 위협이 탐지되면 즉시 경고를 제공하고 조직을 보호하기 위한 조치를 취하는 데 도움을 주는 것입니다.

이러한 방어 계층을 구현하는 것 외에도 효과적인 인시던트 대응 및 탐지 계획을 세우는 것이 중요합니다. 계획을 세우는 것만으로는 충분하지 않습니다. 의료 기관은 실제 공격 시 계획을 효율적으로 시행하여 피해를 최소화하고 빠르게 복구할 수 있도록 준비되어야 합니다.

마지막으로, 지속적인 모니터링과 실시간 탐지 기능은 잠재적인 위협을 즉시 식별하고 해결할 수 있도록 하는 강력한 인시던트 대응 프레임워크의 필수 구성 요소입니다.

의료 서비스 분야의 사이버 복원력에 대해 자세히 알 수 있도록 미국 HHS(보건복지부)는 의료 기관이 영향력이 큰 사이버 보안 관행 구현의 우선순위를 파악하는 데 도움을 주는 자발적인 의료 서비스 특화 CPG(사이버 보안 성과 목표)를 발표했습니다.

일반적인 업계 사이버 보안 프레임워크, 지침, 모범 사례, 전략을 사용하여 공동의 공공/민간 파트너십 프로세스를 통해 만들어진 CPG는 의료 기관이 사이버 준비성을 강화하고, 사이버 복원력을 개선하고, 환자 건강 정보 및 안전을 보호하는 데 사용할 수 있는 사이버 보안 관행의 하위 집합으로 구성됩니다.

신속한 운영 복원과 공격 후 보안 강화를 위한 단계

랜섬웨어 공격으로부터 복구하려면 향후 인시던트를 예방하는 동시에 정상 운영으로 신속하게 복귀할 수 있는 체계적인 접근 방식이 필요합니다. 다음은 피해를 평가하고, 영향을 받은 시스템을 복원하고, 보안 조치를 강화하는 데 도움이 되는 실행 가능한 단계입니다. 의료 기관은 이러한 지침을 따름으로써 공격의 영향을 완화하고 향후 위협에 대한 방어력을 강화할 수 있습니다.
영향 평가 및 공격 억제

영향을 받은 시스템을 즉시 격리하여 추가 확산을 방지합니다.
파악된 양호한 백업에서 복원

운영을 복원하기 전에 클린 백업이 가능하고 검증되었는지 확인합니다. 오프라인 백업을 유지하여 랜섬웨어 암호화를 방지합니다.
시스템 재구축

남아 있는 맬웨어를 제거하려면 패치하는 대신 손상된 시스템을 재구축하는 것이 좋습니다. 시스템을 안전하게 재구축하는 방법에 대한 Microsoft 인시던트 대응 팀의 지침을 활용하세요. 
공격 후 보안 제어 강화

취약점을 해결하고, 시스템을 패치하고, 엔드포인트 탐지 도구를 개선하여 공격 후 보안 태세를 강화합니다.
인시던트 후 검토 수행

외부 보안 업체와의 협력을 통해 공격을 분석하여 약점을 식별하고 향후 인시던트에 대한 방어를 강화합니다.

보안 중심 인력 구축

여자의 얼굴을 바라보는 남자와 여자.

보안 중심 인력을 양성하려면 여러 분야에 걸친 지속적인 협업이 필요합니다.

보안 중심 인력을 양성하려면 여러 분야에 걸친 지속적인 협업이 필요합니다. IT 보안 팀, 응급 관리자, 임상 직원 간의 사일로를 허물고 응집력 있는 인시던트 대응 계획을 개발하는 것이 중요합니다. 이러한 협력이 없으면 병원의 나머지 부분은 사이버 인시던트 발생 시 효과적인 대응이 가능하도록 적절하게 준비되지 않을 수 있습니다.

교육 및 인식

효과적인 교육과 확실한 보고 문화는 의료 기관의 랜섬웨어 방어에 필수적인 요소입니다. 의료 전문가는 환자 치료를 우선시하는 경우가 많으므로 사이버 보안에 항상 주의를 기울이지는 않을 수 있으며, 이로 인해 사이버 위협에 더 취약해질 수 있습니다.

이 문제를 해결하려면 피싱 이메일을 파악하고, 의심스러운 링크를 클릭하지 않으며, 일반적인 소셜 엔지니어링 전술을 인식하는 방법과 같은 사이버 보안 기본 사항을 지속적인 교육에 포함해야 합니다.

Microsoft의 사이버 보안 인식 리소스가 도움이 될 수 있습니다.

"직원들이 비난에 대한 두려움 없이 보안 문제를 보고하도록 장려하는 것이 핵심입니다." Microsoft의 Mott는 설명합니다. "보고는 빠를수록 좋습니다. 실제 공격으로 파악된다면 이것이 최선의 시나리오입니다."

또한 정기적인 훈련과 시뮬레이션은 피싱이나 랜섬웨어와 같은 실제 공격을 모방해야 직원이 통제된 환경에서 대응하는 법을 연습하는 데 도움이 될 수 있습니다.

정보 공유, 협력, 집단적 방어

랜섬웨어 공격의 빈도는 일반적으로 증가하고 있기 때문에(Microsoft 고객 사이에서 전년 대비 2.75배 증가한 것으로 나타남16), 집단적 방어 전략이 필수적입니다. 내부 팀, 지역 파트너, 광범위한 국가/글로벌 네트워크 간의 협력은 의료 서비스 운영 및 환자 안전을 확보하는 데 매우 중요합니다.

이러한 그룹을 모아 포괄적인 인시던트 대응 계획을 설계하고 구현하면 공격 중 운영상의 혼란을 막을 수 있습니다.

Dameff와 Tully는 별도로 구분되어 일하는 경우가 많은 의사, 응급 관리자, IT 보안 직원과 같은 내부 팀을 통합하는 것이 중요하다고 강조합니다. 이러한 그룹을 모아 포괄적인 인시던트 대응 계획을 설계하고 구현하면 공격 중 운영상의 혼란을 막을 수 있습니다.

지역 수준에서 의료 기관은 의료 시설이 수용 능력과 자원을 공유할 수 있도록 파트너십을 구축하여 일부 병원이 랜섬웨어의 영향을 받는 경우에도 환자 치료가 계속될 수 있도록 해야 합니다. 이러한 형태의 집단 방어는 환자 쏠림을 관리하고 여러 의료 서비스 제공자에게 부담을 분산시키는 데도 도움이 될 수 있습니다.

지역적 협력을 넘어서는 국가 및 글로벌 정보 공유 네트워크가 중추적인 역할을 합니다. Health-ISAC와 같은 ISAC(정보 공유 및 분석 센터)는 의료 기관이 중요한 위협 정보를 주고받을 수 있는 플랫폼 역할을 합니다. Health-ISAC의 최고 보안 책임자인 Errol Weiss는 이러한 조직을 회원 조직이 공격 및 입증된 완화 기술에 대한 세부 정보를 신속하게 공유할 수 있는 "가상 이웃 감시 프로그램"이라고 표현합니다. 이러한 정보 공유는 다른 이들이 유사한 위협에 대비하거나 해당 위협을 제거하는 데 도움이 되며 더 큰 규모로 집단 방어를 강화합니다.

  1. [1]
    Microsoft 내부 위협 인텔리전스 데이터, 2024년 2분기
  2. [2]
    (CISO를 위한 종합 요약: 현재 및 신흥 의료 서비스 사이버 위협 환경, Health-ISAC 및 AHA(미국병원협회))  
    (https://go.microsoft.com/fwlink/?linkid=2293307)
  3. [3]
    "대화록: Microsoft의 사이버 보안 부족을 평가하기 위한 하원 위원회 청문회", Tech Policy Press, 2024년 6월 15일
  4. [4]
    "의료 기관이 랜섬웨어 공격으로 인한 가동 중지로 입는 손실, 평균적으로 하루 미화 90만 달러에 달해", Comparitech, 2024년 3월 6일
  5. [5]
    "지속적으로 증가하는 의료 서비스 랜섬웨어 공격의 수와 그 심각도", The HIPAA Journal, 2024년 9월
  6. [6]
    세밀한 해킹, 병원과 환자에 대한 랜섬웨어 공격의 영향 - https://go.microsoft.com/fwlink/?linkid=2292916
  7. [7]
    미국 인근 응급실의 중단과 관련된 랜섬웨어 공격 - 미국 인근 응급실의 중단과 관련된 랜섬웨어 공격 | 응급 진료 | JAMA Network Open | JAMA Network
  8. [8]
    https://go.microsoft.com/fwlink/?linkid=2293508
  9. [9]
    "Ascension 랜섬웨어 공격으로 인한 재정 회복 피해", The HIPAA Journal, 2024년 9월 20일
  10. [10]
    "UC San Diego Health에 대한 피싱 공격에 노출된 환자 데이터", The HIPAA Journal, 2024년 3월 13일
  11. [11]
    "일리노이주 시골 병원 폐쇄 결정의 핵심 요인이 된 랜섬웨어 공격", The HIPAA Journal, 2023년 6월 14일
  12. [12]
    "지속적으로 증가하는 의료 서비스 랜섬웨어 공격의 수와 그 심각도", The HIPAA Journal, 2024년 9월
  13. [13]
    https://go.microsoft.com/fwlink/?linkid=2293219
  14. [14]
    2023년 증가한 병원 합병과 재정적 어려움으로 인해 더 많이 일어나는 거래(chiefhealthcareexecutive.com)
  15. [15]
    2021년 병원 간 상호 운용성 및 교류 방식 | HealthIT.gov
  16. [16]
    Microsoft 디지털 방어 보고서 2024, Microsoft, 27페이지
  17. [17]
    Microsoft 위협 인텔리전스 원격 분석, 2024
  18. [18]
    "알려진 악용 취약점 카탈로그", CISA, 2024
  19. [19]
    https://go.microsoft.com/fwlink/?linkid=2293016
  20. [20]
    의료 부문 사이버 위협에 대한 Microsoft 위협 인텔리전스 데이터, 2024년
  21. [21]
    https://go.microsoft.com/fwlink/?linkid=2293213
랜섬웨어 사이버 범죄

보안 관련 자료 더 보기

사이버 복원력 예방 조치 가이드

기본적인 사이버 예방 조치는 전체 사이버 위협의 98%로부터 조직의 ID, 디바이스, 데이터, 앱, 인프라, 네트워크를 보호하는 가장 좋은 방법입니다. 종합 가이드에서 실용적인 팁을 살펴보세요.
자세한 정보

병원을 혼란에 빠뜨리고 생명을 위협하는 해커에 대항하기

Microsoft 위협 데이터 및 연구를 통해 최신 위협에 대해 알아보세요. 추세에 대한 분석과 실행 가능한 지침을 받아 1차 방어선을 강화하세요.
자세한 정보

신뢰 경제를 이용한 소셜 엔지니어링 사기

신뢰가 곧 돈이며 취약점이기도 한 진화하는 디지털 환경을 살펴보세요. 사이버 공격자가 가장 많이 사용하는 소셜 엔지니어링 사기 기법을 알아보고, 인간의 본성을 이용하도록 고안된 소셜 엔지니어링 위협을 식별하고 저지하는 데 도움이 되는 전략을 확인하세요.
자세한 정보

Microsoft Security 팔로우