국군병원 115만명 의료정보 DB서 8GB 분량 유출 정황

의무사 PACS, 해외IP에 해킹
침투 반년 뒤에야 장관에 보고

국립외교원 해킹 사태에 이어 지난해 말 국군의무사령부(의무사) ‘모바일 의료영상 저장전송시스템’(PACS)의 장병 의료정보 등이 해외 비인가자에 의해 외부로 유출됐을 가능성이 큰 것으로 드러났다. 의무사는 국군방첩사령부(방첩사)가 지난 4월 중앙보안감사를 진행할 때까지 5개월 이상 유출 사실조차 몰랐던 것으로 나타났다.

24일 국방부가 국회 국방위원회 임종득 국민의힘 의원에게 제출한 자료에 따르면, 국방부 사이버 합동조사팀은 지난해 11~12월 경기 고양·양주·포천·구리, 강원 강릉, 대구 등 6개 군 병원과 연계된 의무사 PACS를 통해 군 장병들의 엑스(X)선 영상 등 8GB 분량의 민감한 영상 의료정보가 대규모로 유출됐을 가능성이 크다는 결론을 내렸다. 합동조사팀은 침투 주체와 목적을 규명하진 못했으나, 해외 여러 국가에서 인터넷주소(IP)로 접속한 흔적이 나와 북한 사이버부대 해킹 가능성도 배제하지 않고 있다. 조사 결과는 사건 발생 6개월이 지난, 5월에야 안규백 장관에게 보고됐다.

비인가자가 접속한 데이터 8GB에는 환자의 이름과 성별, 나이, 진료일자 등이 포함됐다. X선과 컴퓨터단층촬영(CT), 자기공명영상(MRI) 자료 등 PACS 내 자료로 환산하면 약 1000장 분량에 해당된다. 피해를 본 6개 군병원은 장성·장교·부사관·병사 등 전 장병이 이용하며, 민간인도 이용할 수 있다. 비인가자 침투 당시 PACS에는 장병들을 포함해 총 115만 명분의 영상데이터가 축적돼 있었던 것으로 알려졌다. 해당 비인가자가 어떤 의료 영상자료를 열람했는지, 내려받았는지 여부는 확인되지 않았으며, 국방부는 데이터가 광범위하게 유출됐을 가능성을 배제하지 않고 있다.

의무사는 방첩사가 올해 4월 중앙보안감사를 진행할 때까지 이런 사실을 까마득히 모르고 있었다. 침투 경로가 된 통신 포트도 지난해 11월~올해 3월까지 외부자 접근이 가능한 상태였다. 방첩사는 사이버사령부와 조사·분석을 실시한 끝에 개인정보 유출 가능성이 크다고 결론 내리고 이를 국방부에 보고했다. 북한·중국 등이 사이버전 능력을 강화하는 가운데 외교·안보부처의 사이버 보안에 잇따라 구멍이 뚫린 셈이다. 임 의원은 “민간병원이 아닌 군병원에 침투했다는 건 단순히 경제적 이득을 노린 것 외에 군 장병들의 개인정보 수집 등 안보 목적도 배제할 수 없다”고 지적했다.

정충신 기자