대상 독자: 의료기관을 이용했고 이름을 알지 못하는 Aesto Health에서 편지를 받은 미국 거주자, 그 가족, 그리고 환자 기록을 외부 업체에 맡기는 의료기관과 기업.
이 기사는 Aesto의 공식 통지서, 미국 보건복지부(HHS) 유출 포털, 주 검찰총장에게 제출된 통지 편지, 그리고 미국 기관(FTC, IRS, 연방 규정)의 안내와 규정을 기반으로 합니다. 공격 방법은 다루지 않습니다.
편지를 받은 분이 오늘 해야 할 일
통지 페이지에서 의료기관 확인하기
Aesto의 통지서는 이 통지가 대상 기관을 대신해 제공되며, 해당 기관을 확인하는 항목이 있다고 밝힙니다. 캘리포니아 주 검찰총장에게 제출된 샘플 편지도 마찬가지로 Aesto가 고객 의료기관을 대신해 발송했으며 그 의료기관의 이름을 기재하고 있습니다. 회사 이름을 모른다는 이유로 편지를 버리지 마십시오. 실제로 이용한 의료기관의 이름을 찾아보십시오.
통지서에 적힌 번호만 이용하기
전용 번호는 833-918-8060(월요일–금요일, 중부시간 오전 8시–오후 8시, 미국 주요 공휴일 제외)이며, 통지서는 접수 번호를 준비하도록 요청합니다. 노출된 데이터에는 연락처와 보험 정보가 포함되므로, "Aesto입니다" 또는 "병원의 보관 기록에 관한 것입니다"라고 하면서 SSN이나 계좌번호를 묻는 전화나 이메일을 믿지 마십시오(피싱이란 무엇인가? 참고).
받은 편지의 모니터링 혜택 확인하기
캘리포니아에 제출된 샘플 편지에서 고객 의료기관은 12개월 무료 신용 모니터링 멤버십을 제공합니다. 제공 주체가 의료기관이므로 세부 내용과 마감일은 편지마다 다를 수 있습니다. 받은 편지의 등록 절차와 마감일을 따르십시오.
SSN과 ITIN 보호: 세 신용평가사 신용동결과 IRS IP PIN 받기
신용동결은 무료이며, Equifax, Experian, TransUnion 각각에 신청해야 합니다.
IRS IP PIN은 6자리 번호로, IRS에 따르면 다른 사람이 여러분의 SSN 또는 ITIN으로 세금 신고를 하지 못하도록 막아 줍니다. 이번 노출 데이터 목록에 ITIN이 포함되어 있으므로, ITIN으로 신고하는 분에게도 해당됩니다. IP PIN은 1년 동안 유효하며 매년 새로 발급됩니다. 자녀를 포함한 미국 전체 체크리스트는 DentaQuest 회원이 해야 할 일을 참고하십시오.
의료 및 보험 정보: 진료비 명세서 확인하고 기록 요청하기
FTC는 받지 않은 진료에 대한 청구서나 진료비 명세서(EOB), 또는 갚을 의무가 없는 의료 채무로 연락해 오는 추심 전화를 의료 신원 도용의 신호로 꼽습니다. Aesto의 통지서도 마찬가지로 EOB를 검토하고, 확인되지 않는 항목은 보험사나 의료기관에 문의하며, 필요하면 잠재적 접근 시점부터 현재까지의 진료 기록 사본을 요청하라고 권합니다.
면허번호나 계좌번호가 관련되었다면 해당 절차도 밟기
운전면허번호는 신용동결로 막을 수 없는 방식으로 악용될 수 있습니다. FTC가 권하는 주 자동차 관리 기관에 문의하는 방법은 AssuranceAmerica 유출 사건에서 설명합니다. 금융 계좌번호가 관련되었다면 명세서를 검토하고 거래 은행에 알리십시오.
환자(여러분)
진료를 받은 의료기관을 알고 있음
↓ 진료→
의료기관(covered entity)
오래된 기록의 이전과 아카이빙을 맡김
↓ 업체→
아카이빙 업체(business associate)
클라우드 환경 일부에 접근
통지 순서
업체 → 의료기관(2026년 6월 26일부터) → 환자(Aesto가 의료기관을 대신해 발송한 통지와 편지)
환자가 보통 모르는 것: 의료기관이 기록을 업체에 넘겼다는 사실
발생한 일(Aesto 통지서와 공개 기록 기준)
아래 내용은 Aesto의 통지서(2026년 6월 24일자), HHS 민권국 유출 포털, 캘리포니아 주 검찰총장에게 제출된 샘플 통지 편지를 바탕으로 합니다.
2025년 12월 2일경
회사에 따르면, 정보가 접근 또는 취득되었을 수 있는 기간의 시작일입니다.12월 18일경
회사는 클라우드 인프라 일부에 영향을 준 네트워크 보안 사고를 탐지하고 봉쇄했으며, 외부 사이버보안 전문가와 함께 조사를 시작합니다.2026년 5월 26일
포렌식 조사와 수동 문서 검토 후 회사는 관련 정보를 확인합니다.6월 24일
회사가 통지서를 공개합니다.6월 26일
회사는 접근 또는 취득되었을 수 있는 파일에 환자 정보가 있었던 대상 기관 고객에게 통지하기 시작합니다.7월 31일
HHS 포털 제출일(영향 인원 9,540,683명).8월 25일
캘리포니아 주 검찰총장에게 제출된 샘플 통지 편지의 날짜(고객 의료기관 한 곳의 사례).
- 회사
- Aesto, LLC(Aesto Health), 앨라배마주 버밍엄. 대상 기관 고객에게 의료 데이터 이전과 아카이빙을 제공
- 영향을 받은 환경
- 클라우드 인프라의 제한된 일부
- 관련 정보
- 이름, 생년월일, 의료 정보, 운전면허번호, 금융 계좌번호(계좌번호만), 건강보험 정보, ITIN, 기타 정부 발급 신분번호. 일부 소수 인원의 SSN. 개인별로 다름
- 악용
- 회사는 이번 사건과 관련된 신원 도용이나 금융 사기의 증거가 없다고 밝힘
- HHS 포털 기재 사항
- 기관 유형: Business Associate / 유형: Hacking/IT Incident / 위치: Network Server
- 연락처
- 833-918-8060(월요일–금요일, 중부시간 오전 8시–오후 8시, 미국 주요 공휴일 제외)
날짜 읽는 법
탐지일(2025년 12월 18일경)부터 정보 확인일(2026년 5월 26일)까지 회사는 포렌식 조사와 수동 문서 검토를 진행했다고 밝혔습니다. 확인한 개인 대상 샘플 편지는 2026년 8월 25일자입니다. 이 기사는 그 기간을 평가하지 않지만, 독자가 할 일은 분명합니다. 편지를 받았다면 여러분의 정보가 몇 달 동안 다른 사람 손에 있었을 수 있다고 보고, 신용동결과 점검을 먼저 하십시오.
들어본 적 없는 회사가 내 기록을 가지고 있었던 이유는?
Aesto는 자신의 사업을 의료 데이터 이전과 아카이빙으로 설명합니다. 의료기관이 전자의무기록이나 청구 시스템을 교체하거나 다른 조직과 합병할 때, 이전 시스템의 기록을 그냥 버릴 수는 없습니다. 그래서 조회를 위해 계속 보관해 줄 외부 아카이빙 서비스에 오래된 기록을 넘길 수 있습니다.
환자는 이런 이동을 보지 못합니다. 병원이나 의원에 갔을 뿐, 기록이 다음에 어디로 갔는지 아무도 알려주지 않습니다.
미국 의료 개인정보 규정(HIPAA)에서 이런 업체는 비즈니스 어소시에이트(business associate)라고 부릅니다. 연방 규정은 순서를 정합니다. 비즈니스 어소시에이트가 유출을 발견하면 의료기관에 알리고(45 CFR 164.410), 의료기관이 개인에게 알립니다(45 CFR 164.404). 그래서 편지가 여러분이 이용한 의료기관의 이름과 함께 Aesto의 이름으로 도착하는 것입니다.
환자가 볼 수 없는 것
- 의료기관이 어느 업체에 기록을 넘겼는지
- 그 기록이 얼마나 오래 보관되는지
- 업체의 클라우드 환경
- 통지가 들어본 적 없는 회사 이름으로 도착한다는 점
환자가 할 수 있는 것
- 통지 페이지에서 의료기관 목록 확인하기
- 동결과 IP PIN으로 SSN과 ITIN을 쓸모없게 만들기
- 진료비 명세서와 기록 사본으로 의료 정보 확인하기
- 통지서에 인쇄된 번호만 이용하기
이 사이트의 견해: 보관 기록은 거의 열어보지 않지만 개인정보가 통째로 담겨 있습니다
오래된 기록의 보관소는 일상 진료에서 거의 열리지 않지만, 이름, 생년월일, 보험 정보, SSN, 계좌번호의 전체 묶음을 여러 해 동안 담고 있을 수 있습니다. 여기서 노출된 데이터 목록은 바로 그런 전체 묶음과 매우 비슷합니다. 데이터를 덜 쓸수록 그것이 있다는 사실을 기억하는 사람도 줄고, 누가 언제까지 보관할지 결정하지 않은 채 방치될 가능성이 커집니다.
아카이빙은 삭제 결정을 미룹니다. 그리고 미룰수록 보관소가 유출되었을 때 영향을 받는 사람이 많아집니다. 의료기관에게 더 강한 암호화보다 앞서는 첫 단계는, 넘긴 기록을 목록으로 만들고 반환하거나 폐기할 날짜를 정하는 것입니다.
의료기관과 기업을 위한 안내: 업체 목록과 아카이브 기록의 반환 또는 폐기 날짜
환자 데이터를 보관하는 모든 업체 목록 만들기
EHR 및 청구 시스템 이전, 레거시 기록 보관, 청구 서비스, 문서 스캔 등. 어느 부서가 계약을 맺었는지와 관계없이 환자 데이터를 보관하는 모든 업체를 나열하고, 각 업체에 대해 보관 기간(연수), 인원 수, 포함된 항목(SSN이나 계좌번호 포함), 사용하는 클라우드를 적으십시오.
이번 사건처럼 여러 고객 의료기관에 걸친 사고에서는 이 목록이 영향 여부를 따지기 시작하는 출발점이 됩니다. 접근 방식은 보안 자산 목록 작성과 같습니다.
보관 기록의 반환 또는 폐기 날짜 정하기
법률과 계약으로 정해진 보관 기간을 확인하고, 기간이 지난 기록을 삭제하는 절차를 계약서와 운영 절차에 넣으십시오.
연방 규정은 비즈니스 어소시에이트 계약에 계약 종료 시 비즈니스 어소시에이트가 가능한 경우 모든 보호 대상 건강정보를 반환하거나 폐기하고 사본을 보관하지 않는다는 내용을 담도록 요구합니다(45 CFR 164.504(e)(2)(ii)(J)). 계약이 끝나면 반환이나 폐기가 실제로 이루어졌는지 확인하십시오.
외부 아카이브로 보내는 데이터 줄이기
오래된 시스템에서 기록을 옮길 때, SSN과 계좌번호도 정말 함께 옮겨야 하는지 항목별로 물어보십시오. 조회에 필요 없는 항목을 빼면 유출될 수 있는 범위가 줄어듭니다. 보관과 백업 일반에 대해서는 백업 기본 원칙을 참고하십시오.
누구의 기록이 어디에 있는지 신속히 말할 수 있도록 준비하기
회사는 관련 정보를 확인하는 데 수동 문서 검토가 필요했다고 밝혔습니다. 넘긴 모든 기록에 대해 어느 파일에 어떤 사람의 기록과 어떤 항목이 있는지 알고 있다면, 사고 후 영향받은 사람을 더 빨리 찾고 연락처가 오래된 사람에게 어떻게 연락할지 계획할 수 있습니다. 전체적인 접근 방식은 조직을 위한 최소 보안 기준을 참고하십시오.
출처(공개 기록)
이 기사의 사실은 아래 공개 정보를 바탕으로 합니다. 언론의 추정이나 공개되지 않은 원인에 대한 추측은 사용하지 않았습니다. 의료기관은 이 기사에서 역할로 기술합니다.
- Aesto, LLC d/b/a Aesto Health, "Notice of Data Security Incident"(데이터 보안 사고 통지, 2026년 6월 24일) — aestohealth.com
- HHS 민권국(Office for Civil Rights), "Breach Portal: Cases Currently Under Investigation"(유출 포털: 현재 조사 중인 사건)(Aesto, LLC: 9,540,683명 영향; 2026년 7월 31일 제출) — ocrportal.hhs.gov
- 캘리포니아 주 검찰총장, Aesto 통지 편지 샘플(고객 의료기관 한 곳의 사례로 제출, 2026년 8월 25일) — oag.ca.gov
- 연방규정집(CFR), 45 CFR 164.404 및 164.410(유출 통지)과 164.504(e)(비즈니스 어소시에이트 계약) — ecfr.gov
- 연방거래위원회(FTC), "What To Know About Medical Identity Theft"(의료 신원 도용에 대해 알아야 할 것) — consumer.ftc.gov / "Credit Freezes and Fraud Alerts"(신용동결과 사기 경보) — consumer.ftc.gov / IdentityTheft.gov
- 미국 국세청(IRS), "Get an identity protection PIN"(신원 보호 PIN 받기) — irs.gov
업데이트 기록
2026-10-19: 검색용 제목이 950만 명 전원의 SSN이 관련되었다는 인상을 주지 않도록 수정했습니다. 공식 구분을 유지했습니다. 개인별로 항목이 다르며, SSN은 일부 소수 인원에 대해서만 관련되었을 수 있습니다.
2026-09-30: 최초 버전. Aesto 통지서(2026년 6월 24일자), HHS 민권국 유출 포털(2026년 7월 31일 제출), 캘리포니아 주 검찰총장에게 제출된 통지 편지 샘플, FTC와 IRS 안내, 연방 규정을 바탕으로 작성했습니다. 회사나 규제 기관이 추가로 공개하면 업데이트하겠습니다.
다음으로 읽을 글
- 2026년 미국 의료 데이터 유출 정리: 환자가 직접 거래하지 않은 회사의 유출 사건
- 미국 전체 체크리스트(신용동결, IP PIN, 자녀): DentaQuest 유출 사건(SSN과 Medicaid 번호)
- 운전면허번호가 유출되었을 때: AssuranceAmerica 유출 사건
- 의료기기 제조사가 보유한 환자 데이터: Medtronic 유출 사건
- 기타 2026년 사건: 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자를 위해: 백업 기본 원칙 / 조직을 위한 최소 보안 기준