대상: 프랑스에서 진료를 받는 모든 사람(외국인 거주자 포함), 그리고 클라우드 기반 진료 소프트웨어를 사용하는 진료소와 의사. 이 글은 Cegedim의 자체 보도자료(2026년 2월 26일), 프랑스 보건부에 귀속된 발언(보도 및 국회 서면 질의에서 인용된 내용), CNIL 안내를 바탕으로 한다. 공격 기법은 다루지 않는다.
환자가 오늘 해야 할 일
통지는 본인의 의사에게서 옵니다 — 그 외에 이 일로 연락해 오는 사람을 경계하세요
Cegedim에 따르면, 영향을 받은 의사들은 1월 초에 연락을 받았고, 원하는 경우 GDPR상 개인정보처리자로서 CNIL에 신고하고 환자에게 알리는 것을 도움받았습니다. 즉, 환자에 대한 공식 통지는 본인의 의사 또는 진료소에서 옵니다.
CNIL은 여러분의 데이터가 유출된 파일에 있는지 확인해 줄 수 없으며, 이를 주장하는 제3자 사이트도 권장하지 않는다고 밝혔습니다. 걱정된다면 평소 사용하는 연락처로 의사에게 직접 문의하세요.
의사, 보험사 또는 기관을 사칭한 이메일이나 문자의 링크는 클릭하지 마세요
이름, 생년월일, 전화번호, 주소, 이메일을 알고 있다면 "Dr X 진료소입니다" 또는 "건강보험 환급금이 있습니다"와 같은 그럴듯한 메시지를 보낼 수 있습니다. CNIL의 권고는 다음과 같습니다. 첨부 파일을 열지 말고, 답장하지 말고, 링크를 클릭하지 마시며, 공식 웹사이트 주소는 직접 입력하세요. 이런 메시지를 식별하는 방법은 피싱이란?에서 다룹니다.
메시지가 건강이나 사생활을 이용해 압박하면 응대하지 말고 증거를 보관하세요
일부 환자는 자유 텍스트 필드에 민감한 메모가 있었기 때문에, 건강이나 사생활 내용을 보여주며 돈을 요구하거나 행동을 강요하는 메시지가 올 가능성을 배제할 수 없습니다.
답장하거나 돈을 지불하지 마시고, 스크린샷과 이메일을 증거로 보관하세요. 그리고 CNIL의 조언에 따라 경찰서 또는 헌병대에 고소(plainte)하세요. 여러분이 잘못한 것은 없습니다.
신원이 도용되었다면: 경찰, 은행, 계좌 확인
신원 도용(usurpation d'identité)이 의심되면 CNIL은 다음을 권고합니다.
- cybermalveillance.gouv.fr에서 안내 확인하기
- 경찰서 또는 헌병대에 가능한 한 빨리 고소하기
- 거래 은행에 알리기
- 예를 들어 FICOBA(impots.gouv.fr 경유)를 통해 본인 명의로 계좌가 개설되었는지 확인하기
의사에게 본인에 대해 무엇이 기록되어 있는지 서면으로 물어보세요
GDPR상 열람권(droit d'accès)에 따라 진료소가 본인에 대해 어떤 정보를 보관하는지 요청할 수 있습니다. CNIL에 따르면 기관은 늦어도 1개월 이내에 답변해야 하며, 복잡한 경우 연장될 수 있습니다. 자유 텍스트 필드에 본인에 관해 무엇이 적혀 있는지 알면, 나중에 그 내용을 안다고 주장하는 메시지를 판단하는 데도 도움이 됩니다.
소프트웨어 업체 1곳 (MLM)
클라우드에 있는 모든 사용 의사의 환자 목록
↓
MLM을 사용하는 의사 3,800명
계정 1,500개에서 비정상 활동 (Cegedim)
↓
약 1,500만 명의 환자
행정 데이터: 이름, 생년월일, 연락처 (보건부)
↓
그중 약 1%
자유 텍스트 필드에 있는 민감한 정보에 관한 의사의 메모
회사는 구조화된 진료 기록은 손상되지 않았다고 말합니다
무슨 일이 있었나 (Cegedim 보도자료 및 보건부 기준)
아래 내용은 모두 Cegedim의 2026년 2월 26일 보도자료에서 밝힌 내용이거나, 뉴스 보도와 국회 서면 질의에서 프랑스 보건부에 귀속된 내용입니다.
2025년 말
Cegedim Santé는 MLM(MonLogicielMedical.com) 사용 의사 계정에서 비정상적인 애플리케이션 요청 활동을 확인했다. 회사는 사고가 탐지되자마자 필요한 조치를 취했고 사고를 봉쇄했다고 밝혔다. CNIL에 신고했고 검찰에 고소했다.2026년 1월 초
영향을 받은 모든 의사에게 연락했으며, 전담 팀이 원하는 의사들이 CNIL에 신고하고 환자에게 알리는 것을 도왔다.2월 26일
데이터 유출을 다룬 텔레비전 뉴스 보도 이후, Cegedim은 사실관계를 밝히는 보도자료를 발표했다.2월 말 – 3월
보건부는 영향을 받았을 수 있는 환자 수를 약 1,500만 명으로, 그중 약 1%가 민감한 메모와 관련된 것으로 보고 있다고 전해졌다. 3월에 국회의원 한 명이 정부에 보낸 서면 질의에서 보건부 수치를 인용했다.
- 누구
- Cegedim Santé는 프랑스 의료 전문가용 소프트웨어를 제공하는 Cegedim 그룹의 자회사다. 관련 제품은 의사용 소프트웨어 MLM(MonLogicielMedical.com)이다
- 발견 경위
- 2025년 말, 의사 계정에서 비정상적인 애플리케이션 요청 활동
- 관련 데이터
- 환자의 행정 파일에서만: 성, 이름, 성별, 생년월일, 전화번호, 주소, 이메일 주소, 그리고 의사가 자유롭게 작성한 행정 코멘트. 극히 일부 환자의 경우 이 코멘트에 민감한 정보에 관한 의사의 개인 메모가 포함되었을 수 있다
- 영향 없음
- 환자의 구조화된 진료 기록
- 신고
- CNIL 신고, 검찰 고소, 수사 협조
- 기타
- 회사는 책임 있는 측으로부터 연락을 받은 적이 없다고 밝혔다
수치 읽는 법: 1,500만 명과 1%의 출처
1,500만 명이라는 수치는 뉴스 보도에서 프랑스 보건부에 귀속되며, 국회 서면 질의에서 보건부 수치로 인용되었습니다. Cegedim의 2월 26일 보도자료에는 환자 수가 나와 있지 않습니다.
민감한 메모가 있는 환자 수는 뉴스 보도에서 약 169,000명, 서면 질의에서 인용된 보건부 수치에서는 164,000명으로 보도되었습니다. 따라서 이 글은 약 1%라는 표현을 사용합니다. 데이터를 가져간 측에 귀속된 수치는 사용하지 않습니다.
라벨은 "행정 코멘트"였지만, 그 필드에는 환자의 건강에 관한 메모가 들어갈 수 있었다
가장 놓치기 쉬운 부분은 민감한 데이터가 어느 필드에서 나왔는가입니다. 회사에 따르면, 구조화된 진료 기록(진단과 처방이 고정된 형식으로 기록되는 곳)은 손상되지 않았습니다.
유출된 것은 가장 민감해 보이지 않는 "행정 코멘트"였습니다. 그러나 자유 텍스트 입력란에는 입력하는 사람이 기록할 가치가 있다고 생각하는 무엇이든 들어갑니다.
구조화된 진료 기록
- 고정된 형식의 진단, 처방, 검사 결과
- 시스템이 각 필드에 무엇이 들어 있는지 알고 있음
- 회사에 따르면 이번 사고에서 손상되지 않음
행정 코멘트 (자유 텍스트)
- 의사가 무엇이든 쓸 수 있음
- 라벨은 가볍지만 내용은 작성자에 따라 달라짐
- 일부 환자의 민감한 메모를 담고 있었음 (회사 발표 기준)
데이터 보호는 보통 필드의 이름에 따라 보호 강도를 정합니다. "진료 기록"은 엄격하게, "연락처"나 "코멘트"는 느슨하게 다루는 식입니다. 자유 텍스트 필드는 이 방식을 무너뜨립니다. 실제 민감성은 그 안에 무엇을 입력했는지에 달려 있기 때문입니다. 필드의 이름이 아니라 실제로 담고 있는 내용으로 보호하세요. 이것이 이번 사례에서 진료소가 얻을 수 있는 가장 구체적인 교훈입니다.
클라우드 의료 소프트웨어를 사용하는 진료소를 위한 안내
환자에게 알리는 일은 업체가 아니라 진료소의 의무임을 알아두세요
Cegedim은 영향을 받은 의사들이 GDPR상 개인정보처리자로서 CNIL에 신고하고 환자에게 알리는 것을 도왔다고 말합니다. CNIL에 따르면, 개인정보처리자는 침해를 인지한 후 72시간 이내에 신고해야 하며, 위험이 높은 경우 해당 정보주체에게도 알려야 합니다.
처리자(소프트웨어 업체)는 침해를 발견하면 즉시 개인정보처리자에게 알려야 합니다. 계약서를 확인하세요. 업체가 몇 시간 이내에, 어떤 연락 경로로 알려 줄 것인가?
자유 텍스트 필드에 무엇을 넣을지 정하세요
환자의 건강이나 사생활에 관한 내용은 행정 코멘트가 아니라 진료 기록의 적절한 부분에 넣어야 합니다. 코멘트 필드에 넣어도 되는 것과 안 되는 것을 한 페이지 분량의 규칙으로 정하고, 접수 직원과 대체 근무 의사와 공유하세요.
우선 자신의 환자 몇십 명의 코멘트 필드를 다시 읽어 보며 이미 무엇이 들어 있는지 확인해 볼 수 있습니다.
사람마다 개별 계정을 주고 다중 인증을 켜세요
계정이 어떻게 사용되었는지는 공개되지 않았지만, 영향은 개별 의사 계정을 통해 나타났습니다.
- 접수와 의사가 하나의 로그인을 공유하지 마세요
- 소프트웨어가 지원한다면 모든 사용자에게 다중 인증을 켜세요
- 퇴사자 계정은 당일 비활성화하세요
방법 선택은 다단계 인증 선택하기을 참고하세요.
의사 계정의 비정상적인 활동을 누가 알아챌 수 있는지 업체에 물어보세요
Cegedim이 탐지한 것은 의사 계정의 비정상적인 요청 활동이었습니다. 소규모 진료소는 자체 모니터링을 운영하기 어려우므로, 업체에 세 가지를 물어보세요.
- 한 계정이 평소보다 훨씬 많은 환자 파일을 열면 경고가 발생하나요?
- 경고가 발생하면 진료소에 알려 주나요?
- 진료소가 자기 계정의 접근 기록을 볼 수 있나요?
예를 들어, 하루에 몇십 명을 진료하는 의사의 계정이 수천 명의 환자 기록을 읽어서는 안 됩니다. 사람의 진료로는 만들어질 수 없는 양으로 기준을 정하는 것이 현실적인 첫 규칙입니다.
사고를 어디에 신고할지 미리 알아두세요
CNIL 신고 외에도 의료 기관은 보건 분야 보안 대응팀인 CERT Santé에 문의할 수 있습니다(신고 포털: signalement.social-sante.gouv.fr). 누가 무엇을, 어디에, 몇 시간 이내에 신고하는지 적은 한 페이지짜리 문서가 있으면 업체에서 전화가 왔을 때 망설이지 않을 수 있습니다.
이 사이트의 견해: 데이터를 한 업체의 클라우드에 두면 보호하기는 쉬워지지만, 그곳에서 침해가 발생하면 피해는 더 커집니다
클라우드 진료 소프트웨어는 진료소마다 서버를 두는 것보다 보안을 관리하기 쉬운 경우가 많으며, 이를 선택하는 것이 그 자체로 잘못은 아닙니다. 그러나 한 업체가 수천 개 진료소의 환자 목록을 보관하게 되면, 한 곳의 취약점이 모두에게 동시에 영향을 미칩니다.
진료소는 자기 계정만 볼 수 있으며, 같은 플랫폼에 있는 수천 명의 다른 의사 계정에서 무슨 일이 일어나는지는 볼 수 없습니다.
따라서 소프트웨어를 고를 때 던져야 할 올바른 질문은 "안전한가?"가 아니라 "내 계정에서 비정상적인 일이 생기면 누가, 얼마나 빨리 알아채고, 어떻게 알려 주는가?"입니다.
답이 구체적이지 않다면, 그런 체계가 없을 수 있다고 가정하세요. 더 넓은 기준은 조직을 위한 최소 보안 기준선에 있습니다.
2026년에 공개된 또 다른 프랑스 사례인 국가 신분증 문서 포털과 관련해서는 ANTS(France Titres) 침해 사고를 참고하세요. 사이버 공격으로 진료에 차질을 빚은 병원들은 2026년 병원 사이버 공격 4건에서 비교합니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 데이터를 가져간 측의 주장, 유출 내용에 대한 언론의 묘사, 공개되지 않은 원인은 사용하지 않았습니다.
- Cegedim, Press Release "Statement regarding the report broadcast during France 2 TV's 8 p.m. news program on February 26, 2026" (영문 번역) — cegedim.com (PDF) / 프랑스어 원문 — cegedim.fr (PDF)
- French National Assembly, written question no. 13530 "Données médicales piratées : quelles garanties ?" (Journal officiel, March 10, 2026; 보건부 수치 1,500만 명과 164,000명 인용) — assemblee-nationale.fr
- Anadolu Agency, "15M French citizens affected by massive data breach following cyberattack on medical software" (보건부 수치 약 169,000명 보도) — aa.com.tr
- CNIL, "Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ?" — cnil.fr
- CNIL, "Les violations de données personnelles" (72시간 신고, 처리자 의무) — cnil.fr
- CNIL, "Le droit d'accès : connaître les données qu'un organisme détient sur vous" — cnil.fr
- CERT Santé (보건 분야 보안 대응팀), "Fuite de données" — cyberveille.esante.gouv.fr
업데이트 이력
2026-09-30: 첫 번째 버전. Cegedim의 2026년 2월 26일 보도자료, 국회 서면 질의와 뉴스 보도에서 인용된 보건부 수치, CNIL 및 CERT Santé 안내를 바탕으로 작성. 원인에 대한 기술적 세부 사항은 공개되지 않았으며, 공개될 경우 이 글을 업데이트할 예정입니다.
다음으로 읽을 글
- 동일한 패턴: MyDr(폴란드 의료 기록 소프트웨어)
- 올해의 또 다른 프랑스 사례: ANTS(France Titres) 침해 사고
- 의료 분야 사이버 공격: 2026년 병원 사이버 공격 4건과 환자 및 의료 제공자가 취해야 할 조치
- 정상 계정이 침입 경로가 될 때: 2026년 침해 사고는 정상 자격 증명을 악용해 발생했다
- 후속 사기 식별: 피싱이란? / 다단계 인증 선택하기
- 2026년 기타 사고: 침해 사고 및 사이버 공격 목록(일본 및 전 세계)