이 글은 실제 공개된 사고를 단순한 뉴스 재인용이 아니라 "이것을 어떻게 막을 수 있었을까?"라는 관점에서 살펴봅니다. 이 글은 **공개 기록(공식 조사위원회 보고서와 보도)**에 근거한 해설입니다. 출처는 글 끝에 정리했습니다. 공격 방법이나 개인을 식별할 수 있는 세부 정보는 포함하지 않습니다. 외주업체와 협력사의 이름은 핵심이 아니므로 이름 대신 역할로 설명합니다.
- 대상
- 오사카 종합의료센터(오사카부립병원기구). EMR을 포함한 병원 시스템
- 발견
- 2022년 10월 31일 이른 시간(외주업체 시스템 장애에 이어 병원 EMR 장애)
- 침입 경로(보고서 기준)
- 급식 서비스 외주업체 서버의 원격 유지보수용 VPN 장비가 패치되지 않은 상태였고 유출된 자격 증명으로 접속할 수 있었습니다. 병원과 외주업체가 상시 연결되어 있었기 때문에 공격자는 외주업체를 거쳐 병원에 도달했습니다
- 확산 원인(보고서 기준)
- 서버/PC 간 비밀번호 공유, 광범위한 관리자 권한, EMR 서버 백신 미설치, 약한 네트워크 분리, '폐쇄망은 안전하다'는 믿음
- 영향
- EMR 중단, 외래 진료·계획 수술·응급 접수 제한. 완전 복구까지 두 달 넘게 걸렸습니다. 병원은 몸값을 지불하지 않은 것으로 보도되었습니다
- 주요 대응
- 외주 연결 목록화 및 인터넷 노출 VPN 패치 / 자격 증명 재사용 중단 및 최소 권한 적용 / 네트워크 분리 / EDR 및 모니터링 / 의료 BCP(종이 대체 절차, 오프라인 백업, 반복 연습된 복구)
무슨 일이 있었나 (쉽게 정리하면)
랜섬웨어는 시스템을 암호화해 사용할 수 없게 만들고, 복구의 대가로 금전을 요구합니다. 이번 사건에서 처음 뚫린 곳은 병원 자체가 아니라 외주업체와의 연결이었습니다. 환자 급식을 공급하던 업체의 서버에 원격 유지보수용 VPN 장비가 있었습니다. 조사위원회 보고서에 따르면 이 장비는 패치되지 않은 상태였고, 과거에 유출된 자격 증명으로 접속할 수 있었습니다.
병원의 EMR과 외주업체 시스템은 식사 인원 등의 데이터를 주고받기 위해 상시 연결되어 있었습니다. 따라서 외주업체가 뚫리면 공격자는 병원 내부에 도달할 수 있었습니다. 외주업체의 취약점이 곧 병원의 취약점이 된 것입니다. 일단 내부에 들어오자 보고서는 피해가 EMR 전체로 번진 이유를 설명합니다. 로그인 자격 증명이 공유되었고, 많은 사용자가 관리자 권한을 가지고 있었으며, 핵심 서버에는 백신이 없었고, 네트워크가 충분히 분리되지 않았습니다. 공격자가 한 지점에서 침입하자 내부에서 이를 막을 장치가 거의 없었고, 암호화는 빠르게 퍼졌습니다. 외래 진료는 중단되었고, 계획된 수술은 취소되었으며, 응급 접수는 제한되었고, EMR 완전 복구에는 두 달 넘게 걸렸습니다.
'폐쇄망은 안전하다'는 것은 잘못된 믿음이며, 외주업체 연결도 공격 표면의 일부입니다
이번 조사의 핵심 지적 중 하나는 외부와 단절된 네트워크는 본질적으로 안전하다는 믿음이었습니다. 실제로는 폐쇄망에도 항상 외부로 향하는 연결이 있습니다. 유지보수 VPN, 상시 외주업체 연결, 원격 지원이 그것입니다. 이런 연결이 하나라도 있고 내부 분리가 없다면 한 번 침입한 공격자는 모든 곳에 닿을 수 있습니다. 외주업체나 유지보수 업체의 연결은 서류상으로는 다른 회사의 것일 수 있지만, 보안 측면에서는 자사 공격 표면의 일부이며 그렇게 목록화해야 합니다.
공격 단계별 차단 지점
이 사고 역시 모든 단계마다 차단할 수 있는 지점이 있었던 연쇄 사건입니다. 이를 공격 절차가 아니라 어디에서 끊을 수 있었는가의 관점으로 읽어 주십시오.
① 외주업체의 패치되지 않은 유지보수 VPN + 유출된 자격 증명으로 진입
인터넷에 노출된 유지보수 VPN이 패치되지 않았고, 과거에 유출된 자격 증명으로 접속할 수 있었습니다.
⊘ 차단: 인터넷 노출 VPN을 신속히 패치하고, 외주 연결을 목록화하며, MFA를 적용하고, 유출된 자격 증명을 폐기
② 병원과 외주업체의 상시 연결 → 내부 네트워크 도달
식사 데이터를 위한 상시 연결 때문에 외주업체가 뚫리자 병원 내부까지 영향이 미쳤습니다.
⊘ 차단: 외주 연결을 별도 구간으로 분리하고, 구간 간 트래픽을 최소화하며, 경계를 모니터링
③ 공유 비밀번호, 전원 관리자, 약한 분리 → 모든 서버로 확산
공유된 자격 증명과 광범위한 권한 때문에 암호화가 EMR 서버까지 빠르게 도달했습니다.
⊘ 차단: 자격 증명 재사용 중단, 최소 권한, 네트워크 분리, 로그인 모니터링 및 계정 잠금
④ 약한 백신/EDR과 부실한 복구 준비 → EMR 장기 중단
핵심 서버의 방어가 얇았고 복구에 시간이 걸려 진료가 몇 주 동안 제한되었습니다.
⊘ 차단: EDR/백신, 오프라인 백업과 반복 연습된 복구, 의료 BCP(종이 대체 절차)
공개된 타임라인
2022-10-31
이른 시간 외주업체 시스템 장애에 이어 병원 EMR 장애 발생. 랜섬웨어로 확인되었으며, 확산을 막기 위해 시스템을 차단했습니다.2022-11
외래 진료가 대부분 중단되었고, 계획 수술이 취소되었으며, 응급 접수는 중증 환자로 제한되었습니다. 종이 기록으로 진료를 이어갔습니다.2022-12
핵심 시스템이 단계적으로 재가동되었고, 외래 진료가 점차 재개되었습니다.2023-01-11
EMR을 포함한 시스템이 대부분 완전히 복구되었습니다. 완전 복구까지 두 달 넘게 걸렸습니다.2023-03-28
정보보안 사고 조사위원회가 보고서를 발표했습니다. 침입 경로, 확산 요인, 그리고 "폐쇄망은 안전하다"는 믿음을 지적했습니다.
근본 원인: 침입 지점뿐 아니라 외주 관리와 피해 확산 방식
이를 "병원의 VPN이 공격을 받았다"로만 정리하면 핵심을 놓치게 됩니다. 공격자는 외주업체를 통해 들어왔지만, 피해를 EMR 전체로 퍼뜨린 것은 내부 구성인 공유 자격 증명, 과도한 권한, 약한 네트워크 분리였습니다. 진짜 질문은 누군가 침입한 뒤에도 피해를 막을 수 있었는가입니다.
보고서가 지적한 취약점(당시)
- 외주업체의 패치되지 않은 유지보수 VPN + 유출된 자격 증명으로 진입
- 병원과 외주업체의 상시 연결로 외주업체의 약점이 내부에 닿음
- 서버/PC의 비밀번호 공유와 사용자에 대한 광범위한 관리자 권한
- 핵심 EMR 서버의 백신 미설치, 약한 네트워크 분리
- 방어를 느슨하게 만든 "폐쇄망은 안전하다"는 믿음
방어된 구성(예방)
- 외주 연결을 목록화하고, 인터넷 노출 VPN을 신속히 패치하며, MFA 적용
- 외주 연결을 분리하고 트래픽을 최소화
- 자격 증명 재사용 중단, 최소 권한, 로그인 모니터링 및 계정 잠금
- 핵심 서버의 EDR/백신, 네트워크 분리
- 의료 BCP: 종이 대체 절차, 오프라인 백업, 반복 연습된 복구
의료 BCP: 시스템이 멈춰도 진료는 계속되어야 합니다
일반 기업에게 "서비스 중단"은 그 자체로 끝일 수 있지만, 병원에게는 진료의 연속성이 핵심입니다. 따라서 의료 BCP는 EMR이 장기간 중단될 수 있다고 가정하고, 평상시에 환자 진료를 계속하기 위한 종이 대체 절차, 검사·투약·수납의 대체 흐름, 그리고 오프라인/버전 관리된 백업과 반복 연습된 복구를 준비해야 합니다. 몸값을 지불한다고 해서 복구가 보장되거나 데이터 유출이 없다는 보장은 없습니다. 사전에 준비한 네트워크 분리, 백업, BCP에 의존하십시오. (관련 사례: 오래된 VPN/네트워크 장비가 침입 경로였던 캡콤 사고, 부실한 네트워크 분리로 피해가 전사로 확산된 KADOKAWA 사고.)
자사 환경에서 재발을 막는 방법
이 내용은 병원에만 해당하지 않고 외주업체나 유지보수 연결이 있는 모든 조직에 적용됩니다. 우선순위 순서대로 정리했습니다.
외주/유지보수 연결을 자사의 공격 표면으로 목록화
어떤 업체의 어떤 장비가 어떤 경로로 연결되어 있는지 파악하십시오. 인터넷에 노출된 VPN 장비를 최우선으로 패치 상태로 유지하고, 사용하지 않는 연결은 끊으십시오. 계약과 실무 모두에서 외주업체에도 같은 패치 및 인증 기준을 요구하십시오.
자격 증명 재사용을 끝내고 최소 권한을 적용
서버/PC의 공유 비밀번호를 폐기하고 계정을 개별화하며, 일괄 관리자 권한을 없애 최소 권한을 적용하십시오. 가능한 곳에는 다중 인증(MFA)을 적용하고, 로그인 잠금과 모니터링을 추가하며, 유출된 자격 증명은 폐기하십시오.
중요도에 따라 네트워크를 분리
외주 연결, EMR, 업무 시스템을 별도 구간에 두고 구간 간 트래픽을 최소화하십시오. 폐쇄망이라고 해서 자동으로 안전한 것은 아니므로 폐쇄망 내부도 분리하십시오. 이를 조직 보안 기준선에 반영하십시오.
핵심 서버를 방어하고 의료 BCP와 복구 체계를 구축
EMR 같은 핵심 서버에 EDR/백신을 적용하십시오. 핵심 시스템이 장기간 중단되어도 평상시에 진료와 업무를 어떻게 이어갈지 정해 두십시오. 종이 절차, 오프라인 백업, 반복 연습된 복구를 준비하십시오. 몸값 지불로 복구가 보장되지 않는다고 가정하고 준비하십시오.
이 사이트의 설계 원칙과 겹치는 부분
핵심은 방어가 자사 조직에서 끝나지 않는다는 점입니다. 외주업체나 유지보수 연결은 자사 공격 표면의 일부가 됩니다. 이는 이 사이트가 중시하는 원칙, 즉 한 부분이 뚫려도 피해가 퍼지는 범위를 제한하고, 중요한 것을 격리하며, 연결과 권한을 최소화한다는 원칙과 정반대입니다. "폐쇄망은 안전하다"는 믿음은 하나의 공유 비밀번호가 모든 서버에 닿는 것이나 단일 실패 지점과 같은 위험을 지닙니다. 연결을 목록화하고, 재사용을 끝내고, 중요도에 따라 분리하며, 멈춰도 계속할 준비를 하십시오. 이것들은 규모나 업종과 관계없이 누구나 실행할 수 있는 방어입니다.
출처 (공개 기록)
여기의 사실은 아래 공개 정보에 근거합니다. 공격 방법, 개인을 식별할 수 있는 정보, 외주업체나 협력사의 이름은 포함하지 않았으며, 방어적 교훈만 담았습니다.
- 오사카부립병원기구, 오사카 종합의료센터 — "정보보안 사고 조사위원회 보고서"(2023년 3월 28일 발표) — gh.opho.jp
- 보도(외주업체 유지보수 VPN을 통한 침입, 비밀번호 공유, "폐쇄망은 안전하다"는 믿음, 2022–2023년 복구) — 공식 조사위원회 보고서에 근거
다음으로 읽을 글
- 2026년 병원: 사이버 공격으로 인한 진료 차질(미국, 벨기에, 일본)과 장애 시 업무 절차
- VPN이 침입 경로일 때: VPN 장비가 가장 큰 침입 경로 — 디지털청 침해 이후의 원격 접속 방어
- 용어 사전: 랜섬웨어란(작동 방식과 지불 회피) / EDR이란(엔드포인트/서버 탐지)
- 실무: 백업 기초(3-2-1 규칙) / 조직 보안 기준선(네트워크 분리, 최소 권한)
- 사례: 한다 병원 랜섬웨어(2021)(패치되지 않은 VPN 취약점과 백업 격리) / KADOKAWA 랜섬웨어(2024)(부실한 네트워크 분리로 전사 확산) / 캡콤 랜섬웨어(2020)(오래된 VPN 장비가 침입 경로) / Codecov 공급망 사고(2021)(신뢰된 경로의 악용)