대상: AdaptHealth로부터 CPAP 장비(수면무호흡증용), 당뇨 용품, 산소 또는 기타 가정용 의료기기를 받은 미국 거주자, 그 가족, 그리고 소속 기관이 계약업체에 시스템 접근 권한을 주는 모든 사람.
이 글은 AdaptHealth의 공지, 미국 증권거래위원회(SEC)에 제출한 보고서, 주 및 미국 보건복지부(HHS)의 공개 자료, 그리고 미국 정부 지침을 바탕으로 작성되었습니다. 공격 기법은 다루지 않습니다.
환자가 오늘 해야 할 일
서한을 확인하고 공식 번호만 사용하세요
회사는 현재 연락처 정보를 보유한 모든 영향 대상자에게 통지했다고 밝혔습니다. 문의는 공지에 나온 (844) 958-8963으로, 월요일부터 금요일, 중부 시간 오전 8시 00분부터 오후 5시 30분까지(미국 공휴일 제외) 하실 수 있습니다.
서한이 진짜인지 확신이 서지 않는다면 회사 웹사이트의 공지와 HHS 유출 신고 포털(ocrportal.hhs.gov)을 직접 열어 비교하세요. 방법은 2026년 미국 의료 데이터 유출 6건과 공지 확인 방법에 있습니다.
기한 전에 무료 모니터링에 등록하세요
회사는 신용 모니터링을 포함한 신원 보호 서비스를 최소 12개월 동안 무료로 제공한다고 밝혔습니다. 활성화 코드와 기한은 서한에 있습니다.
SSN이 노출되지 않았으므로 여기서는 세 개 신용평가사에 대한 신용 동결이 필수는 아닙니다. 다만 다른 유출 사건에서 SSN이 노출되었다면 지금이 신용 동결을 설정하기 좋은 때입니다.
알아보지 못하는 청구 내역은 급여 명세서(EOB)에서 확인하세요
급여 명세서(EOB)는 보험사가 보내는 명세서로, 누구에게 어떤 진료에 대해 얼마가 지급되었는지 보여 줍니다. 미국 연방거래위원회(FTC)는 받지 않은 진료에 대한 청구서와 알지 못하는 의료 채무에 대한 추심 전화를 의료 신원 도용의 경고 신호로 꼽습니다.
가정용 의료기기의 경우 받지 않은 장비나 용품이 있는지도 확인하세요. 메디케어는 명세서의 날짜와 서비스 내용을 본인의 기록과 비교하라고 안내합니다.
재주문과 관련해 전화한 사람에게 보험 번호를 알려주지 마세요
노출된 데이터에는 연락처 정보와 사용 중인 장비 등 건강 정보가 포함되어 있을 수 있습니다. 따라서 사용 중인 기기를 언급하면서 "교체 시기가 되었다"거나 "보험 확인이 필요하다"고 말하는 전화는 아무것도 증명하지 않습니다.
보험 번호나 메디케어 번호로 답하지 마세요. 전화를 끊고 AdaptHealth 청구서나 장비에 적힌 번호, 또는 처방 의사의 번호로 직접 거세요. 메디케어는 어떤 상품을 팔기 위해 전화하거나 집을 방문하지 않는다고 밝히고 있습니다. 이런 연락을 알아보는 기본 방법은 피싱이란 무엇인가?를 참고하세요.
이상한 청구를 발견하면 기록을 요청하고 신고하세요
FTC는 관련 의료기관에 기록을 요청하고, 오류는 서면으로 신고하며, IdentityTheft.gov에서 회복 계획을 세우라고 안내합니다. 메디케어 번호가 잘못 사용되고 있다고 생각되면 1-800-MEDICARE(1-800-633-4227)로 전화하세요.
무슨 일이 있었나 (AdaptHealth 공지 및 SEC 보고서 기준)
아래 내용은 AdaptHealth의 공지, SEC에 제출한 Form 8-K, 주 공개 자료, 그리고 뉴스 보도에 소개된 HHS 보고서를 바탕으로 합니다.
2026년 6월 5일
회사에 따르면 공격 발생일입니다.6월 15일
회사는 데이터를 확보했다고 주장하는 위협 행위자로부터 연락을 받았습니다. 회사는 이 날짜에 공격을 발견했다고 밝혔습니다.6월 27일
회사는 위험에 처한 데이터의 성격과 잠재적 규모 때문에 이 사고를 중대한 사안으로 판단했습니다.7월 2일
SEC에 Form 8-K를 제출해 원인과 탈취된 데이터 유형을 설명했습니다.8월 14일
회사 웹사이트에 공지를 게시해 영향 대상자에게 통지하고 최소 12개월의 무료 신원 보호 서비스를 안내했습니다.8월 21일경
버몬트 주 법무장관은 48,000명 이상의 버몬트 주민이 영향을 받았다고 발표했습니다(뉴스 보도 기준).9월 초
HHS 민권국(OCR) 유출 신고 포털에 4,115,802명이 기재되었습니다(뉴스 보도 기준).
- 회사
- CPAP, 당뇨 용품, 산소 등 가정용 의료기기 및 용품을 미국 환자에게 공급하는 AdaptHealth
- 노출된 데이터
- 이름, 연락처 정보, 인구통계 정보, 건강보험 정보, 건강 정보(8월 14일 공지)
- 포함되지 않은 정보
- SSN, 금융 계좌, 신용카드 또는 체크카드, 은행 계좌 정보. 회사는 영향을 받은 시스템에서 SSN을 수집하지 않는다고 밝혔습니다
- 원인(SEC 보고서)
- 성공적인 사회공학 공격(사람을 속여 정보나 접근 권한을 얻는 방식)으로 제3자 계약업체와 연결된 사용자 세션이 침해됨
- 접근이 이루어진 범위(동일 보고서)
- 내부 환자 관리 시스템과 문서 저장 플랫폼을 포함한 클라우드 기반 업무 애플리케이션. 보험 청구와 관련된 저장된 비밀번호 파일이 탈취되었고, 외부 전자의무기록 포털에 접근이 이루어짐
- 대응
- 계정 비활성화, 영향을 받은 자격 증명 재설정, 접근 통제 추가. 법 집행 기관에 신고하고 외부 전문가와 함께 조사. 회사는 운영과 환자 서비스에 중대한 영향은 없었다고 밝힘
- 문의
- (844) 958-8963, 월요일부터 금요일, 중부 시간 오전 8시 00분부터 오후 5시 30분까지(미국 공휴일 제외)
수치에 관하여
4,115,802명이라는 수치는 뉴스 보도에 따라 HHS 민권국 유출 신고 포털에 보고된 인원입니다. 회사의 8월 14일 공지에는 인원 수가 나와 있지 않습니다. 데이터를 가져간 사람들의 주장도 온라인에 떠돌지만, 이 글에서는 사용하지 않습니다. 통지 서한을 받지 않았다고 해서 영향이 없다는 뜻은 아닙니다. 연락처 정보가 오래되어 연락이 닿지 않았을 수 있기 때문입니다.
계약업체 계정 하나가 어디까지 닿았나
DentaQuest 사례(DentaQuest 데이터 유출)에서는 속임을 당한 사람이 회사 자체 직원이었고, 교훈은 MFA와 헬프데스크 신원 확인에 관한 것이었습니다. AdaptHealth 보고서에서 두드러지는 점은 다릅니다. 침입 경로가 외부 계약업체였으며, 거기서부터 접근이 회사 자체 클라우드를 넘어 다른 곳이 운영하는 시스템까지 확대되었습니다.
외부 계약업체와 연결된 사용자 세션
사회공학으로 침해됨
↓
회사의 클라우드 업무 애플리케이션
환자 관리, 문서 저장 → 환자 데이터 탈취
↓
보험 청구용 저장 비밀번호 파일
탈취 확인됨
↓
외부 전자의무기록 포털
접근 확인됨(회사 외부 시스템)
이 흐름에서 두 가지 일반적인 교훈을 얻을 수 있습니다. 계약업체 계정은 항상 직원 계정만큼 강하게 보호되는 것은 아닙니다. 그리고 파일에 저장된 공유 비밀번호는 하나의 침입을 파트너 시스템에 대한 접근으로 바꿉니다.
확산되기 쉬운 구조
- 계약업체가 종료일 없이 상시 계정을 보유함
- 계약업체가 업무에 필요한 것보다 많은 애플리케이션에 접근할 수 있음
- 파트너 포털 비밀번호가 공유 파일에 기록됨
- 여러 사람이 하나의 로그인을 공유함
차단하기 쉬운 구조
- 계약업체 접근은 작업별 종료일이 있고 작업이 끝나면 중단됨
- 계약업체는 업무에 필요한 애플리케이션과 데이터에만 접근함
- 공유 자격 증명은 사용 내역을 기록하는 비밀번호 관리 시스템에 보관됨
- 파트너 포털마다 개인별 계정을 두고 MFA를 적용함
환자 데이터를 보관하거나 계약업체를 쓰는 기관을 위한 안내
계약업체 계정과 각 계정이 접근할 수 있는 범위를 정리하세요
시스템에 들어올 수 있는 계약업체 계정을 모두 표로 만드세요. 업체명, 담당자, 애플리케이션, 볼 수 있는 데이터, 만료일을 적습니다. 만료일이 없거나 담당자가 불명확하거나 업무에 필요한 것보다 많은 접근 권한이 있는 계정부터 시작해 권한을 줄이거나 비활성화하세요.
계약업체에도 직원과 같은 MFA 요건을 적용하세요. 강력한 인증 방식을 고르는 방법은 다중 인증(MFA) 선택 방법을 참고하세요.
파일에 저장된 비밀번호를 찾아 비밀번호 관리자로 옮기세요
공유 드라이브, 문서 저장소, 스프레드시트에서 파트너 포털이나 보험 청구 사이트의 비밀번호가 담긴 파일을 검색하세요. 사용자별로 접근을 나눌 수 있는 비밀번호 관리 시스템(예: 업무용 비밀번호 관리자)으로 옮긴 뒤 해당 파일을 삭제하세요. 개인 사용 기준은 비밀번호 관리자 선택 방법에 있습니다.
침입이 확인되면 파트너 포털 비밀번호를 즉시 변경하세요
자체 시스템을 차단하더라도 탈취된 비밀번호를 파트너 시스템에서 사용하는 것은 막을 수 없습니다. 저장된 자격 증명 목록을 미리 만들어 두고, 각 파트너에게 알릴 연락처와 함께 모두 같은 날 변경하는 계획을 세우세요.
로그인 이후에도 계속 모니터링하세요
보고서에 따르면 사용자 세션이 침해되었습니다. 세션은 로그인 후에도 일정 시간 유효한 로그인 상태를 말하며, 로그인 시 MFA를 통과했다는 사실만으로는 이후에 무슨 일이 일어나는지 알 수 없습니다. 계약업체 세션 수명을 줄이고, 환자 데이터 대량 다운로드 같은 큰 작업에는 재인증을 요구하며, 한 계정이 평소보다 훨씬 많은 데이터를 읽으면 경고가 나오도록 하세요. 전반적인 접근 방식은 기관을 위한 보안 기준선에 있습니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 자료에서 가져왔습니다. 데이터를 가져간 사람들의 주장은 사용하지 않았습니다.
- AdaptHealth, "AdaptHealth Notice of Cybersecurity Incident"(2026년 8월 14일) — adapthealth.com
- AdaptHealth Corp., Form 8-K, Item 1.05(2026년 7월 2일자; classaction.org 게시본) — classaction.org (PDF)
- BleepingComputer, "AdaptHealth confirms 4.1 million people exposed in July cyberattack"(2026년 9월 9일) — bleepingcomputer.com
- SecurityWeek, "4.1 Million Impacted by AdaptHealth Data Breach"(2026년 9월 10일) — securityweek.com
- HIPAA Journal, "AdaptHealth Data Breach" — hipaajournal.com
- WCAX, "Data breach at health product company impacts 48,000 Vermonters"(2026년 8월 21일) — wcax.com
- Federal Trade Commission, "What To Know About Medical Identity Theft" — consumer.ftc.gov / IdentityTheft.gov
- Medicare, "Reporting Medicare fraud and abuse" — medicare.gov
업데이트 기록
2026-10-03: 최초 버전. AdaptHealth의 8월 14일 공지, 7월 2일자 Form 8-K, 뉴스에 보도된 HHS 인원 수 및 버몬트 공개 자료, 그리고 FTC와 메디케어 지침을 바탕으로 작성.
다음으로 읽을 글
- 공지가 진짜인지 확인하기: 2026년 미국 의료 데이터 유출 6건과 공지 확인 방법
- 속아서 접근 권한을 넘긴 사례: DentaQuest 데이터 유출(넘겨진 MFA 코드) / Carnival Corporation 데이터 유출
- 2026년 또 다른 의료 데이터 사례: Aesto Health(의료 데이터 보관 업체)
- 후속 사기에 대비하기: 피싱이란 무엇인가?
- 2026년 기타 사고: 데이터 유출 및 사이버 공격 목록(일본 및 전 세계)
- 기관을 위한 안내: 기관을 위한 보안 기준선