대상: 미국의 DentaQuest 회원, 전 회원, 자녀 회원의 부모, 그리고 기관에서 로그인, MFA 또는 헬프데스크를 운영하는 모든 사람. 이 글은 아래의 공개 출처를 바탕으로 하며 공격 기법은 다루지 않습니다.
- DentaQuest의 공식 통지문과 영향을 받은 사람들에게 보낸 안내문
- 미국 주 법무장관에 제출된 신고서
- 미국 정부 지침(FTC, IRS, 메디케어, CISA)
영향을 받은 회원이 오늘 해야 할 일
영향 여부를 확인하세요 — 안내문에 적힌 번호만 사용하세요
DentaQuest는 2026년 7월 17일부터 안내문 발송을 시작했습니다. 성인, 미성년자, 사망자에 대해 각각 다른 버전이 제출되었습니다. 회사는 연락이 닿지 않는 사람들을 위해 같은 정보를 웹사이트에도 게시했습니다. 문의 사항이 있으면 전용 콜센터 (844) 959-7163으로, 월요일부터 금요일까지 중부 표준시 오전 8시부터 오후 5시 30분까지 연락하세요. 데이터에 전화번호와 주소가 포함되어 있으므로, DentaQuest에서 왔다며 사회보장번호나 회원 번호를 "확인"하라고 요구하는 전화나 문자를 믿지 마세요. 대신 안내문에 인쇄된 번호로 전화하세요(피싱이란? 참고).
마감일 전에 무료 신원 모니터링에 등록하세요
안내문은 비용 없이 24개월 신원 모니터링을 제공하며, 신용 모니터링, 사기 상담, 신원 도용 복구 지원을 포함한다고 밝히고 있습니다. 안내문의 활성화 코드를 사용해 등록할 수 있는 기간은 안내문 발송일로부터 90일입니다. 모니터링은 사기가 일어난 뒤에 알려 주며, 새 계정이 개설되는 것을 막는 것은 다음 단계인 신용동결입니다.
Equifax, Experian, TransUnion에서 신용을 동결하세요
FTC에 따르면 신용동결이 설정되어 있는 동안에는 누구도 본인 명의로 새 신용계좌를 개설할 수 없습니다. 무료이며 신용점수에 영향을 주지 않고, 해제할 때까지 유지됩니다. 세 신용평가사에 각각 따로 연락해야 합니다. 신용이 필요할 때는 대출 기관이 사용하는 신용평가사에서 일시적으로 해제할 수 있습니다. 사기 경보는 대출 기관이 먼저 신원을 확인하도록 요청하는 가벼운 옵션이며, 초기 경보는 1년 동안 유지됩니다.
IRS 신원보호 PIN을 발급받으세요
IP PIN은 IRS에 따르면 다른 사람이 본인의 사회보장번호로 세금 신고서를 제출하는 것을 막는 6자리 번호입니다. 사회보장번호나 ITIN이 있고 본인 확인을 할 수 있는 사람은 신고 의무가 없더라도 등록할 수 있습니다. 가장 빠른 방법은 IRS 온라인 계정을 이용하는 것입니다. 부모와 보호자는 부양가족을 위해서도 요청할 수 있습니다.
의료비 명세서를 확인하고 메디케이드 또는 메디케어 번호를 살피세요
FTC는 의료 신원 도용을 다른 사람이 본인의 이름, 사회보장번호, 건강보험 번호 또는 메디케어 번호를 사용해 진료를 받거나 청구를 하는 것으로 설명합니다. 경고 신호에는 받은 적 없는 진료에 대한 청구서나 의료비 명세서, 또는 본인이 갚을 의무가 없는 의료 채무에 대해 채권추심 업체가 거는 전화가 포함됩니다. 누군가 메디케어 번호를 사용하고 있다고 의심되면 메디케어는 1-800-MEDICARE(1-800-633-4227)로 전화하라고 안내하며, 메디케어는 개인 정보를 요구하기 위해 먼저 연락하지 않는다고 밝혔습니다. 메디케이드 번호의 경우 FTC의 조언이 적용됩니다. 정보가 사용되었을 수 있는 건강보험사와 진료 기관에 연락해 기록을 요청하세요. 메디케어와 메디케이드 사기는 HHS 감찰관실(OIG) 핫라인(1-800-HHS-TIPS)에도 신고할 수 있습니다.
부모: 자녀의 신용도 동결하세요
DentaQuest는 미성년자를 위한 별도의 안내문을 제출했으므로, 자녀도 통지 대상에 포함되어 있습니다. FTC는 자녀가 16세 미만이라면 자녀 명의로 무료 신용동결을 요청할 수 있다고 밝혔습니다. 동결은 신용평가사에 해제를 요청할 때까지 유지되며, 각 신용평가사는 미성년자에 대해 별도의 절차를 가지고 있습니다. 18세 미만 자녀의 IP PIN은 IRS가 제시하는 대체 등록 방법 중 하나를 이용해야 합니다.
도용이 확인되면 IdentityTheft.gov에서 복구 계획을 세우세요
본인이 만들지 않은 계정, 세금 신고서 또는 의료 청구를 발견하면 IdentityTheft.gov에 신고하세요. FTC 사이트는 무슨 일이 있었는지 묻고 개인별 복구 계획을 만들어 줍니다. DentaQuest 안내문도 신원 도용이 의심되면 지역 경찰에 신고하라고 조언합니다.
사회보장번호 + 이름 + 생년월일
↓→
새 신용 개설, 허위 세금 신고
→ 세 신용평가사 신용동결 + IRS IP PIN
메디케이드 / 메디케어 / 회원 번호
↓→
본인 명의의 진료 또는 청구
→ 모든 의료비 명세서 확인; 1-800-MEDICARE 또는 건강보험사에 연락
이름 + 주소 + 제공자 및 진단명
↓→
그럴듯한 전화와 안내문
→ 전화를 끊고, 안내문이나 카드에 적힌 번호로 연락
무슨 일이 있었나 (DentaQuest 통지문과 주 신고서 기준)
아래 내용은 DentaQuest가 공개 통지문, 개인에게 보낸 안내문, 워싱턴주 법무장관에게 보낸 안내문에서 밝힌 내용이거나 주 규제 당국이 게시한 목록에 따른 것입니다.
2026년 5월 17일
회사에 따르면 사고가 시작되었습니다.5월 19일
워싱턴 신고서에 따르면 승인되지 않은 당사자의 모든 활동이 종료되었습니다. (공개 통지문은 사고가 "5월 20일까지" 종료되었다고 말합니다.)5월 20일
DentaQuest는 데이터를 가지고 있다고 주장하는 승인되지 않은 제3자가 있다는 것을 알게 되었고, 봉쇄 조치를 취했습니다. 외부 법률 자문을 통해 외부 포렌식 업체가 고용되었습니다.5월 21일
회사는 FBI에 알렸습니다.5월 26일
DentaQuest는 웹사이트에 데이터 유출 통지문을 처음 게시했습니다.5월 29일
회사는 데이터가 다크웹에 게시되었다는 것을 알게 되었습니다.7월 16–17일
주 법무장관에 제출된 신고서에서 1,500만 명 이상이 언급되었습니다. 회사는 HHS 시민권리국(OCR)에도 통지했다고 밝혔습니다. 7월 17일부터 안내문 발송.8월 3일
워싱턴 법무장관에 대한 수정 신고: 전국적으로 2,740만 명 이상; 검토는 진행 중입니다.
- 대상
- DentaQuest LLC는 건강보험사와 협력해 치과 및 시력 혜택을 제공합니다. 영향을 받은 사람에는 회원, 제공자, DentaQuest와 관련된 기타 사람들, 그리고 가입한 보험이 과거 DentaQuest와 협력했던 사람이 포함됩니다
- 관련 데이터
- 이름, 주소, 생년월일, 사회보장번호, 회원 ID 번호, 건강보험 번호, 메디케이드·메디케어 번호, 치과 또는 시력 관련 건강 정보(제공자 이름, 진단명, 치료, 청구 정보). 사람마다 다름
- 접근 방식(워싱턴 신고서)
- 사회공학 공격으로 직원 한 명이 자격 증명과 다단계 인증 코드를 넘겨주도록 속았습니다. 데이터는 네트워크 파일 공유 폴더에서 가져가졌습니다
- 조사에서 확인되지 않은 사항
- 신고서에 따르면 다른 계정이 침해되었다는 증거, 악성코드나 랜섬웨어, 권한 상승 또는 지속성의 증거는 발견되지 않았으며, 운영체제는 영향을 받지 않았습니다
- 온라인 게시
- 안내문은 개인 정보가 "접근되어 인터넷에 게시되었다"고 밝힙니다
- 회사 조치
- 보안 및 모니터링 통제 강화, 직원 교육 추가, 외부 사이버보안 전문가 활용
- 연락처
- (844) 959-7163, 월–금 중부 표준시 오전 8시–오후 5시 30분
숫자를 읽는 방법
검토가 계속되면서 인원 수가 늘었습니다. 7월 16일 신고에서는 1,500만 명 이상, 8월 3일 업데이트에서는 2,740만 명 이상이며, 회사는 검토가 진행 중이라고 밝혔습니다. 온라인에 떠도는 다른 수치는 외부 분석이나 데이터를 가져간 측의 주장에서 나온 것이며, 이 글은 회사가 직접 제출한 신고서만 사용합니다. 회원이면서 안내문을 받지 못했다고 해서 포함되지 않았다고 증명되는 것은 아닙니다.
코드만으로는 부족했던 이유와 막을 수 있었던 방법
신고서는 DentaQuest가 어떤 종류의 MFA를 사용했는지 밝히지 않으며, 이 글도 추측하지 않습니다. 신고서가 말하는 내용만으로도 일반적인 교훈은 충분합니다. 두 번째 인증 요소가 사람이 넘겨줄 수 있는 것이었다는 점입니다.
사람이 넘겨줄 수 있는 요소
- 비밀번호(입력하거나 읽어 줄 수 있음)
- SMS 또는 앱의 일회용 코드(6자리, 읽어 주거나 잘못된 페이지에 입력할 수 있음)
- 푸시 승인(한 번 누르면 다른 사람을 위해 승인할 수 있음)
실제 사이트에 묶여 있는 요소
- 패스키(FIDO/WebAuthn, 휴대폰이나 컴퓨터에 저장)
- FIDO2 보안키(물리적 키)
- PKI 스마트카드(인증서 기반)
CISA 지침은 MFA를 강한 것부터 약한 것 순으로 나열하며, 피싱에 강한 MFA를 "최고 기준(the gold standard)"이라고 부릅니다. 널리 쓸 수 있는 피싱 저항형 방식은 FIDO/WebAuthn 인증뿐이라고 설명하며, 일회용 비밀번호 앱은 피싱에 취약하다고 나열합니다.
차이는 구조에 있습니다. 패스키나 보안키는 응답하기 전에 요청하는 웹사이트가 어디인지를 확인하므로, 사람이 읽어 줄 코드가 없고, 공격자가 가로채서 실제 사이트에 입력할 수 있는 것도 없습니다. 본인 계정에 어떤 옵션이 적합한지는 다단계 인증 선택하기와 패스키란?에서 다룹니다.
이 사이트의 견해: 헬프데스크도 MFA의 일부입니다
기관은 흔히 패스키를 도입하고 나서 또 다른 침입 경로를 남겨 둡니다. 바로 재설정 절차입니다. "휴대폰을 잃어버렸다"고 헬프데스크에 전화한 사람이 유출된 파일(이름, 생년월일, 직원 ID)에 있는 정보로 질문에 답하고 새 인증 수단을 등록할 수 있다면, 강력한 인증 수단도 실제로는 침입자를 막지 못합니다. 재설정 절차를 로그인처럼 다루세요.
- 통화 외부에서 확인하세요: 전화를 끊고 인사 디렉터리에 있는 번호로 다시 걸거나, 별도 채널을 통해 직원의 관리자에게 확인하세요.
- "지식"을 증거로 받아들이지 마세요: 인사나 회원 파일에 있는 정보는 유출될 수 있습니다. 대면 확인, 배지 사진과 대조하는 화상 확인, 또는 이미 등록된 기기를 사용하세요.
- 위험이 높은 재설정은 속도를 늦추세요: 관리자, 재무, 헬프데스크 계정에 새 인증 수단이 추가되면 사용자의 다른 기기와 관리자에게 알림이 가고, 사용 가능해지기 전에 짧은 대기 시간을 두세요.
- 가장 권한이 높은 계정부터 시작하세요: 관리자, 헬프데스크 직원, 대량 데이터(공유 파일 저장소 등)에 접근할 수 있는 사람에게 먼저 피싱에 강한 MFA를 적용하세요. CISA는 관리자와 기타 고가치 표적이 먼저 전환할 것을 권고합니다.
회원 또는 환자 데이터를 보관하는 기관을 위한 안내
신고서는 데이터가 네트워크 파일 공유 폴더에서 가져가졌다고 밝힙니다. 파일 공유 폴더에는 주인이 없는 내보내기 파일과 보고서가 쌓이기 쉬우므로, 자사 환경에서 이 부분을 확인할 가치가 있습니다.
공유 드라이브에서 대량 내보내기 파일을 찾으세요
파일 공유 폴더와 공유 클라우드 폴더에서 사회보장번호, 회원 ID, 진단 코드가 포함된 스프레드시트와 내보내기 파일을 검색하세요. 각 파일에 대해 물어보세요. 이 파일이 누구에게 필요한가? 같은 작업을 접근이 기록되고 제한되는 원본 시스템 안에서 할 수 있는가?
로그인이 아니라 접근량에 대해 경고를 설정하세요
MFA를 통과한 도난 로그인은 정상 로그인처럼 보입니다. 눈에 띄는 것은 한 계정이 얼마나 많이 읽는가입니다. 파일 서버나 클라우드 스토리지 감사 로그에서 한 계정이 평소 일일 접근량보다 훨씬 많은 파일을 읽으면 경고를 설정하고, 그날 계정을 정지할 수 있는 담당자에게 알림이 가도록 하세요.
필요해지기 전에 통지 계획을 세우세요
DentaQuest는 성인, 미성년자, 사망자에 대해 별도의 안내문을 발송했으며, 데이터 검토가 진행되면서 인원 수가 늘었습니다. 많은 파일 속에서 사람들을 어떻게 식별할지, 연락처가 오래된 사람에게 어떻게 알릴지 미리 결정하세요. 보다 넓은 기준은 기관을 위한 최소 보안 기준에 있습니다.
직원이 속아서 침입 경로가 된 다른 사례는 여권 번호가 관련된 Carnival Corporation 유출을 참고하세요. 유럽에서 신분증 번호가 유출된 사례는 Odido 유출을 참고하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 데이터를 가져간 측이 밝힌 수치나 주장, 외부 추정치는 사용하지 않았습니다.
- DentaQuest, 데이터 유출 통지문(2026년 5월 26일 최초 게시; 2026년 7월 16일 업데이트) — dentaquest.com (보관본)
- 워싱턴 주 법무장관에 제출된 DentaQuest 안내문(2026년 7월 16일 통지와 2026년 8월 3일 업데이트, 견본 안내문 포함) — 워싱턴 AG 데이터 유출 포털(PDF) / atg.wa.gov
- 캘리포니아 법무장관, DentaQuest LLC 데이터 유출 목록(성인, 미성년자, 사망자 대상 통지문) — oag.ca.gov
- 오리건주 법무부, 데이터 유출 보고서(DentaQuest LLC, 15,000,000) — justice.oregon.gov
- FTC, 신용동결과 사기 경보 — consumer.ftc.gov / 의료 신원 도용에 대해 알아야 할 것 — consumer.ftc.gov / IdentityTheft.gov
- IRS, 신원보호 PIN 발급 — irs.gov
- 메디케어, 메디케어 카드 및 메디케어 사기·남용 신고 — medicare.gov / medicare.gov
- HHS 감찰관실(OIG), 사기·낭비·남용 신고 — oig.hhs.gov
- CISA, 피싱 저항형 MFA 구현(사실 시트, 2022년 10월) — cisa.gov (PDF)
업데이트 기록
2026-10-19: 기간 카드를 공식 통지문의 날짜로 바꿨습니다. 주 신고서의 5월 19일 종료와 통지문의 "5월 20일까지" 표현을 구분했습니다. 정확한 경과 시간은 추정하지 않았습니다. 사고 기록에서 5월 26일 최초 게시와 7월 17일부터 시작된 발송을 구분했습니다. 검색 설명, 요약, 도입부에서 인원 수는 전체 영향 인원이며, 사회보장번호와 보험 번호 같은 데이터 항목은 사람마다 다르다는 점을 명확히 했습니다.
2026-09-30: 최초 버전. DentaQuest 통지문(2026년 7월 16일 업데이트), 워싱턴, 캘리포니아, 오리건 규제 당국에 제출된 신고서(2,740만 명 이상을 다룬 2026년 8월 3일 업데이트 포함), 그리고 FTC, IRS, 메디케어, HHS-OIG, CISA 지침을 바탕으로 작성했습니다. 회사는 데이터 검토가 진행 중이라고 밝혔으며, 인원 수가 바뀌면 이 글을 업데이트하겠습니다.
다음으로 읽을거리
- 올해의 다른 건강 데이터 사례: Aesto Health(건강 데이터 보관) / Medtronic(의료기기)
- 두 번째 인증 수단 선택: 다단계 인증 선택하기 / 패스키란?
- 후속 사기 알아보기: 피싱이란?
- 직원이 속아서 시작된 2026년의 다른 사례: Carnival Corporation 유출(여권 번호)
- 유럽에서 유출된 신분증 번호: Odido 유출(네덜란드)
- 비밀번호: 비밀번호 관리자 선택하기
- 2026년의 다른 사고: 데이터 유출 및 사이버 공격 목록(일본 및 전세계)
- 운영자용: 기관을 위한 최소 보안 기준