이 글은 실제 공개된 사고를 단순한 뉴스 재인용이 아니라 “이것을 어떻게 방어할 수 있는가?”라는 관점에서 살펴봅니다. 이 설명은 **공개 기록(공식 전문가 위원회 보고서와 보도)**을 바탕으로 합니다. 출처는 글 끝에 나열했습니다. 공격 방법이나 개인을 식별할 수 있는 세부 정보는 포함하지 않습니다. 벤더와 계약업체 이름은 본질이 아니므로 이름 대신 역할로 설명합니다.
- 대상
- 쓰루기 한다 병원(도쿠시마현). EMR을 포함한 병원 시스템
- 탐지
- 2021년 10월 31일 이른 시간(프린터에서 랜섬 노트가 출력됨, EMR 및 수납 시스템 중단)
- 침투 경로(보고서 기준)
- 인터넷에 노출된 VPN 장비가 CVE-2018-13379에 대해 패치되지 않은 상태였고, 유출된 자격 증명도 폐기되지 않았음
- 확산 및 복구 실패 원인(보고서 기준)
- 짧은 비밀번호, 계정 잠금 부재, 관리자 권한을 가진 사용자 → 측면 이동이 쉬움. 주 시스템과 백업이 같은 네트워크에 있었고 둘 다 암호화됨. “폐쇄망이면 안전하다”는 믿음
- 영향
- EMR 중단으로 진료에 큰 차질. 약 85,000명의 환자 기록에 접근 불가. 정상 진료는 약 2개월 뒤 재개
- 주요 대책
- 인터넷에 노출된 장비의 알려진 CVE를 모니터링하고 신속히 패치 / 유출·재사용된 자격 증명 폐기, MFA, 최소 권한, 계정 잠금 / 3-2-1 + 오프라인, 변경 불가능 백업 / 네트워크 분리 / 의료 BCP
무슨 일이 있었나 (쉽게 설명하면)
랜섬웨어는 시스템을 암호화해 사용할 수 없게 만든 뒤 복구 대가로 돈을 요구합니다. 이번 침투는 정교한 제로데이 공격이 아니었습니다. 병원이 인터넷에 노출한 VPN 장비에 2019년부터 공개되어 있던 취약점(CVE-2018-13379)이 여전히 패치되지 않은 상태였습니다. 더 나쁜 것은 이 취약점이 과거에 자격 증명 유출로 이어졌고, 병원의 장비도 유출 목록에 올라 있었다는 점입니다. 오래 패치되지 않은 공개 취약점과 폐기되지 않은 유출 자격 증명이 공격자의 침입을 쉽게 만들었습니다.
내부에 들어간 뒤 보고서는 왜 확산되었는지 설명합니다. 짧은 비밀번호, 로그인 잠금 부재, 관리자 권한을 가진 사용자가 있었습니다. 한 장비가 침해되자 공격은 관리자 권한으로 병원 전체에 퍼질 수 있었습니다. 가장 큰 문제는 주 시스템과 백업이 같은 네트워크에 있었고, 둘 다 암호화되었다는 것입니다. 있어야 할 백업이 운영 시스템과 함께 암호화되어 복구에 쓸 수 없었습니다. EMR은 계속 중단되었고, 정상 진료는 약 2개월 뒤에야 재개되었습니다.
‘백업이 있다’와 ‘복구할 수 있다’는 같은 말이 아닙니다
백업은 단지 존재한다고 해서 복구를 보장하지 않습니다. 운영 시스템과 같은 네트워크, 같은 권한에 두면 랜섬웨어는 운영 시스템과 백업을 함께 암호화합니다(한다 병원이 두 가지를 모두 잃은 방식이 바로 이것입니다). 효과가 있는 것은 운영 시스템과 격리되고, 오프라인 또는 원격지에 보관되며, 버전이 관리되고, 가능하면 변경 불가능하며, 실제로 복원을 연습해 본 백업입니다. 기본 원칙은 3-2-1 규칙에 오프라인 보관을 더하는 것입니다.
공격의 각 단계와 차단 방법
이 사건 역시 단계마다 차단할 수 있었던 지점이 있는 연쇄였습니다. 이를 공격 절차로 읽기보다는 어디에서 끊을 수 있었는지를 기준으로 보십시오.
① 인터넷에 노출된 VPN이 CVE-2018-13379에 대해 패치되지 않음 + 유출된 자격 증명 → 침입
2019년 취약점이 남아 있었고, 유출된 자격 증명은 폐기되지 않았습니다.
⊘ 차단: 인터넷 노출 장비의 CVE를 모니터링하고 신속히 패치; 유출된 자격 증명 폐기; MFA
② 짧은 비밀번호, 잠금 부재, 관리자 권한을 가진 사용자 → 병원 전체로 확산
한 장비가 침해되자 관리자 권한으로 병원 전반에 광범위하게 접근할 수 있었습니다.
⊘ 차단: 강력한 인증; 계정 잠금; 최소 권한; 네트워크 분리; 로그인 모니터링
③ 주 시스템과 백업이 같은 네트워크에 있음 → 둘 다 암호화
백업이 운영 시스템과 격리되지 않아 함께 암호화되었습니다.
⊘ 차단: 오프라인/원격지, 버전 관리, 변경 불가능한 백업(3-2-1)
④ EMR이 장기간 중단 → 진료에 큰 차질
복구에 약 2개월이 걸렸고, 지역 진료에도 큰 영향을 주었습니다.
⊘ 차단: 복구 연습; 의료 BCP(종이 기반 대체 절차); 신속한 사고 대응과 공개
공개된 타임라인
2021-10-31
이른 시간, 프린터에서 랜섬 노트가 출력되었고 EMR과 수납 시스템이 중단되었습니다. 같은 날 기자회견이 열렸습니다.2021-11
종이 기록으로 진료를 이어갔습니다. 조사와 복구 지원이 시작되었고, 데이터 복원이 가능하다고 보도되었습니다.2021-12
EMR 데이터 복원이 확인되었고, 복구 작업이 단계적으로 진행되었습니다.2022-01-04
시스템이 복구되고 정상 진료가 재개되었습니다. 감염 후 약 2개월이 지난 시점입니다.2022-06
전문가 위원회가 조사 보고서를 발표했습니다. 보고서는 침투 경로(패치되지 않은 VPN 취약점), 백업 설계, “폐쇄망은 안전하다”는 믿음을 지적했습니다.
근본 원인: 침투 지점만이 아니라 기본 통제의 누락
이것을 “병원의 VPN이 공격당했다”는 정도로 정리하면 핵심을 놓치게 됩니다. 사용된 것은 알려진 공개 취약점이었고, 새로운 정교한 공격이 아니었습니다. 침투, 확산, 복구 실패는 모두 패치, 자격 증명, 백업 격리라는 기본 사항을 소홀히 한 데서 비롯되었습니다. 보고서는 업데이트 없이 극도로 취약한 시스템을 판매하고 운영한 점을 강하게 비판했습니다(벤더 이름은 밝히지 않습니다). 그러나 변하지 않는 교훈은 이것입니다. 업무를 외주로 맡기더라도 위험은 여전히 당신의 조직에 남습니다.
보고서가 확인한 취약점(당시 기준)
- 인터넷에 노출된 VPN이 CVE-2018-13379에 대해 패치되지 않음
- 장비의 자격 증명이 유출되었으나 폐기되지 않음
- 짧은 비밀번호, 잠금 부재, 관리자 권한을 가진 사용자
- 주 시스템과 백업이 같은 네트워크에 있었고 둘 다 암호화됨
- “폐쇄망은 안전하다”는 믿음; IT 인력 부족
방어된 구성(예방)
- 인터넷에 노출된 장비의 CVE를 모니터링하고 신속히 패치; MFA
- 유출되거나 재사용된 자격 증명 폐기; 최소 권한; 계정 잠금
- 운영 시스템과 격리된 백업 — 오프라인/원격지, 버전 관리, 변경 불가능
- 중요도에 따라 네트워크를 분리(폐쇄망도 분리)
- 복구 연습과 의료 BCP(종이 기반 대체 절차)
귀하의 환경에서 재발을 막는 방법
이 내용은 병원에만 해당하지 않으며, 인터넷에 노출된 장비와 백업을 가진 모든 조직에 적용됩니다. 우선순위는 다음과 같습니다.
인터넷에 노출된 장비의 알려진 CVE를 모니터링하고 신속히 패치
인터넷에 노출된 장비(VPN, 방화벽)의 알려진 취약점(CVE)을 모니터링하고, 공개되면 즉시 수정 사항을 적용하십시오. “공개된 알려진 CVE가 방치되는” 상황이 구조적으로 생기지 않도록 CVE 대응 절차를 만드십시오.
유출되거나 재사용된 자격 증명을 폐기하고 최소 권한으로 전환
유출된 자격 증명을 폐기하고, 재사용을 중단하며, 가능한 곳에는 MFA를 적용하십시오. 계정 잠금과 로그인 모니터링을 추가하고, 관리자 권한을 함부로 부여하지 마십시오(최소 권한).
백업을 운영 시스템과 격리하고 오프라인으로 보관(3-2-1)
백업을 별도의 네트워크, 별도의 권한에 두고, 오프라인 또는 원격지에 보관하며, 버전을 관리하고 변경 불가능하게 유지하십시오. 그리고 백업 복원을 연습하십시오. 이것이 “백업이 운영 시스템과 함께 암호화되는” 사태에 대한 핵심 방어입니다.
네트워크를 분리하고 의료 BCP를 수립
중요도에 따라 네트워크를 분리하고(조직 보안 기준선), 핵심 시스템이 장기간 중단되어도 환자 진료를 계속할 수 있도록 BCP(종이 기반 대체 절차)를 준비하십시오. 한다 병원은 BCP를 신속히 발동하고 이를 투명하게 공개한 점이 평가되었습니다. 평소의 준비가 신속한 대응을 가능하게 했습니다.
이 사건이 이 사이트의 설계 원칙과 겹치는 지점
핵심은 정교한 공격이 아니라 소홀히 한 기본 사항이 피해를 키웠다는 점입니다. 알려진 CVE 패치, 자격 증명 적절히 관리하기, 백업 격리가 그것입니다. 이 중 새롭거나 어려운 것은 없습니다. 이는 이 사이트 자체의 원칙, 즉 알려진 취약점을 빠르게 고치고, 자격 증명을 재사용하지 않으며, 복구 가능한 구성을 유지하는 것과 정반대입니다. 특히 “백업은 있지만 운영 시스템과 같은 곳에 있다”는 상황은, 하나의 API 키가 모든 데이터셋에 닿을 때와 같은 위험을 지닙니다. 인터넷에 노출된 장비를 패치하고, 자격 증명을 엄격히 관리하며, 백업을 격리하고 복구를 연습하십시오. 이는 조직 규모나 업종과 관계없이 누구나 실행할 수 있는 방어입니다.
출처 (공개 기록)
여기의 사실은 아래 공개 정보에 근거합니다. 공격 방법, 개인 식별 정보, 벤더 및 계약업체 이름은 포함하지 않으며 방어적 교훈만 담았습니다.
- 쓰루기 한다 병원 — “컴퓨터 바이러스 감염 사고에 대한 전문가 위원회 조사 보고서”(2022년 발표) — handa-hospital.jp
- 보도 및 분석(패치되지 않은 VPN 취약점 CVE-2018-13379를 통한 침투, 같은 네트워크에 있던 백업, “폐쇄망은 안전하다”는 믿음, 2021–2022년 복구) — 공식 위원회 보고서를 바탕으로 함
다음으로 읽기
- 2026년의 병원: 사이버 공격으로 인한 진료 차질(미국, 벨기에, 일본)과 장애 시 절차
- VPN이 침투 경로일 때: VPN 장비는 가장 큰 침투 경로 — 디지털청 침해 이후의 원격 접속 방어
- 용어 사전: 랜섬웨어란 무엇인가(작동 방식과 대금 지불을 피하는 방법) / CVE란 무엇인가(알려진 취약점 관리)
- 실무: 백업 기본(3-2-1 규칙) / CVE 대응 플레이북 / 조직 보안 기준선
- 사례: 오사카 병원 랜섬웨어(2022)(계약업체의 VPN과 의료 BCP) / 캡콤 랜섬웨어(2020)(오래된 VPN 장비가 침투 경로) / KADOKAWA 랜섬웨어(2024)(느슨한 네트워크 분리로 전사에 확산)