대상: 메드트로닉 의료기기(예: 심장박동기)를 사용하는 미국 환자와 그 가족, 그리고 의료기기 환자 데이터를 다루는 모든 사람. 이 기사는 메드트로닉의 공식 성명과 SEC 제출 서류, 미국 주 법무장관 제출 자료와 통지서, 그리고 미국 기관(FTC, IRS, FDA 규정)의 공개 정보를 바탕으로 한다. 공격 방법은 다루지 않는다.
기기 환자가 지금 해야 할 일
기기 사용 방식을 바꾸지 말고, 우려 사항은 의사와 상의하라
2026년 6월 29일 업데이트에서 메드트로닉은 이번 사고가 어떤 메드트로닉 기기의 안전한 작동이나 의도된 치료 능력에도 영향을 주지 않았다고 재차 밝혔다. 유출 소식을 이유로 기기 설정을 바꾸거나 진료 예약을 스스로 취소할 필요는 없다.
기기 자체에 대해 걱정된다면 의사 또는 진료 기관과 상의하라. 회사는 질문이 있는 의사에게 지역 메드트로닉 담당자에게 연락하도록 안내하고 있다.
통지서를 확인해 본인에게 어떤 정보가 관련되었는지 살펴보라
회사는 2026년 6월 29일부터 정보가 영향을 받았을 수 있는 사람들에게 연락하기 시작했다. 캘리포니아주 법무장관에 제출된 통지서는 메드트로닉 의료기기를 사용하는 환자에게 보내진 것이다. 문의는 (888) 289-6806(월요일부터 금요일, 미국 동부시간 오전 9시부터 오후 9시까지)로 하면 된다.
기한 전에 무료 24개월 서비스에 등록하라
통지서는 24개월 동안 무료 신용 모니터링, 다크웹 모니터링, 신원 도용 복구 서비스를 제공한다. 등록 기한과 활성화 코드는 본인의 통지서에 인쇄되어 있다. 모니터링은 일이 일어난 뒤에 알려주므로 다음 단계와 함께 실행하라.
SSN을 보호하라: 3대 신용평가사에 신용을 동결하고 IRS IP PIN을 받아라
신용 동결은 무료이며, Equifax, Experian, TransUnion 각각에 신청해야 한다. IRS IP PIN은 다른 사람이 본인의 SSN으로 세금 신고를 하지 못하도록 막는 6자리 숫자다. 자녀와 가족 구성원을 포함한 미국 전체 점검표는 DentaQuest 회원이 해야 할 일을 참고하라.
건강 관련 정보가 포함되었으므로 의료비 명세서를 확인하라
FTC는 받지 않은 서비스에 대한 청구서나 의료비 명세서(Explanation of Benefits), 또는 갚을 의무가 없는 의료 부채로 연락하는 추심 전화를 의료 신원 도용의 징후로 꼽는다. 이런 내용을 발견하면 관련 의료기관과 보험사에 기록 사본을 요청하고, 오류는 서면으로 의료기관에 신고하라고 권장한다.
'기기'에 관한 전화나 이메일은 다시 걸어서 확인하라
유출된 데이터에는 연락처와 건강 관련 정보가 포함되므로 본인이 기기를 사용한다는 사실이 알려졌을 수 있다. "기기에 업데이트가 필요하니 신원을 확인하라"거나 "보증 처리를 위해 SSN이 필요하다"는 메시지는 이런 정보를 알고 있기 때문에 그럴듯하게 들린다.
통지서 자체도 예상치 못한 이메일, 문자 메시지, 전화로 개인 정보를 요구하는 경우를 조심하라고 경고한다. 전화를 끊고 이미 가지고 있는 번호로 다시 걸어라. 통지서, 기기 ID 카드, 또는 담당 의사의 진료 기관 번호가 해당된다(피싱이란 무엇인가? 참고).
기업 IT 시스템 = 접근됨
통지서 내용: 이름, 연락처 정보, 생년월일, SSN, 건강 관련 정보
회사 설명에 따른 분리된 네트워크
제품(기기)
안전한 작동과 치료에 대한 영향이 확인되지 않음
제조 및 유통
영향이 확인되지 않음
병원 네트워크
각 병원의 자체 IT 팀이 관리
환자가 할 일
기기를 계속 사용하고 → 신용 동결과 공식 번호로 다시 걸어 확인하는 방식으로 유출된 데이터(SSN, 연락처 정보)를 보호
무슨 일이 있었나(메드트로닉 성명과 주 당국 제출 자료 기준)
아래 내용은 메드트로닉의 공식 성명(2026년 4월 24일, 6월 29일 업데이트)과 SEC 제출 서류, 캘리포니아주 법무장관에 제출된 통지서, 인디애나주 법무장관의 침해 목록을 바탕으로 한다.
2026년 4월 13일
통지서에 따르면, 무단 행위자가 일부 기업 IT 시스템에 접근하기 시작한 날짜.4월 15일
회사가 일부 기업 IT 시스템에서 이상 활동을 인지하고 외부 사이버보안 전문가와 함께 조사를 시작했다.4월 19일
통지서에 따르면 접근 기간의 마지막 날.4월 24일
회사가 성명을 발표하고, 같은 날 SEC에 제출된 Form 8-K에 이를 첨부했다. 회사는 제품, 환자 안전, 고객과의 연결, 제조 및 유통, 재무 보고 시스템에 영향이 확인되지 않았다고 밝혔다.6월 29일
회사가 성명을 업데이트하고 영향을 받은 사람들에게 연락하기 시작했다. 인디애나주와 캘리포니아주 목록에는 같은 날짜가 기재되어 있다.
- 회사
- Medtronic Inc.(미국 의료기기 제조사, 모회사 Medtronic plc가 SEC에 보고서를 제출)
- 접근된 대상
- 일부 기업 IT 시스템의 데이터
- 관련 정보(통지서)
- 이름, 연락처 정보, 생년월일, 사회보장번호, 건강 관련 정보
- 회사가 데이터를 보유한 이유(통지서)
- 메드트로닉 기기를 사용하는 환자에게 중요한 제품 관련 업데이트를 제공하고 법적 의무를 이행하기 위해 수집
- 영향이 확인되지 않은 부분
- 제품 보안, 기기의 안전한 작동과 치료 능력을 포함한 환자 안전, 제조 및 유통, 환자와 고객의 필요를 충족하는 능력
- 공개 여부
- 회사는 정보가 공개적으로 게시되었거나 인터넷에 노출되었다는 증거가 없다고 밝힘
- 회사 대응
- 봉쇄, 사고 대응 절차, 외부 전문가, 추가 보안 조치. 법 집행기관과 협력했으며 관련 규제기관에 통지하고 있다고 밝힘
- 연락처
- (888) 289-6806(월요일부터 금요일, 미국 동부시간 오전 9시부터 오후 9시까지)
숫자와 지역 범위를 읽는 방법
이 기사에서는 인디애나주 법무장관 목록의 수치인 3,834,294명을 사용한다. 온라인에는 더 큰 숫자도 떠돌고 있지만, 이는 데이터를 탈취했다고 주장하는 측에서 나온 것이며 회사가 확인한 수치가 아니다.
회사는 미국 외 사람이 영향을 받았는지도 밝히지 않았다. 확인한 통지와 제출 서류는 미국 주 당국에 제출된 것이며, 일본의 기기 사용자를 대상으로 한 통지는 찾지 못했다.
기기 제조사가 왜 내 SSN을 가지고 있나?
자신의 병원이 아닌 회사가 왜 사회보장번호를 가지고 있는지 묻는 환자가 많을 것이다. 통지서 자체가 그 일부를 설명한다. 환자 데이터는 중요한 제품 관련 업데이트를 제공하고 법적 의무를 이행하기 위해 수집된다.
이 배경 중 하나가 미국의 기기 추적이다. FDA 규정(21 CFR Part 821)은 FDA 명령의 대상이 되는 기기 중, 1년 넘게 체내에 삽입되거나 고장 시 심각한 건강상 악영향을 초래할 가능성이 있는 등의 기준을 충족하는 기기를 다룬다. 이러한 기기에 대해 제조사는 공장에서 환자까지 기기를 추적할 수 있어야 한다.
목적은 리콜과 환자 통지 같은 조치가 작동하도록 하는 것이다. 필수 기록에는 환자의 이름, 주소, 전화번호, 그리고 (가능한 경우) 사회보장번호가 포함되며, 처방 의사 정보도 함께 기록된다.
이는 규정에 대한 일반적인 설명이다. 회사는 영향을 받은 시스템에 어떤 기록이 있었는지 밝히지 않았다. 다만 환자 입장에서 그림은 분명하다.
기기와 별도로 제조사가 보유한 환자 데이터
- 이름, 주소, 전화번호(기기 등록, ID 카드, 보증 및 지원)
- 생년월일과 SSN(신원 및 법적 기록)
- 건강 관련 정보(예: 사용 중인 기기)
- 노출되면 사칭과 그럴듯한 사기에 악용될 수 있음
기기 자체
- 기기가 작동하고 치료를 제공하는 방식
- 기기의 약점은 제조사의 제품 보안 정보와 진료 기관을 통해 처리됨
- 회사는 여기서 안전한 작동에 영향이 확인되지 않았다고 밝힘
- 환자 명단이 노출되었다고 해서 그것만으로 누군가가 기기를 제어할 수 있게 되는 것은 아님
이 사이트의 견해: 등록을 취소하기보다 유출된 데이터가 악용되지 않도록 하라
FDA 규정은 환자가 추적을 위해 이름, SSN 및 기타 식별 정보를 제공하지 않겠다고 거부할 수 있도록 허용한다(21 CFR 821.55). 등록 철회 여부는 유출 소식만으로 결정할 것이 아니라 의사와 함께 결정해야 한다. 추적은 리콜과 안전 통지를 환자에게 전달하기 위해 존재하며, 통지가 닿지 않을 위험은 노출된 SSN의 위험과 달리 신용 동결이나 PIN으로 막을 수 없다.
대신 유출된 데이터 유형마다 조치하라.
・SSN: 신용 동결과 IRS IP PIN으로 악용되지 못하게 하라
・연락처와 건강 관련 정보: 기기를 언급하는 모든 연락은 확인이 필요한 것으로 취급하라
・등록 정보: 이사하거나 전화번호를 바꿀 때마다 최신 상태로 유지하라
기기의 안전은 의사에게 묻고, 유출된 개인 데이터는 동결 등 직접 보호하는 조치로 대응한다는 구분을 기억하면 불필요한 공황을 피할 수 있다.
환자 데이터를 보유한 제조사와 기업을 위한 내용
회사는 제품, 제조, 기업 IT 네트워크가 분리되어 있다고 말한다. 이는 기기 안전을 위한 중요한 설계이지만, 영향을 받은 환자 데이터는 기업 IT에 보관된 데이터였다. 제품 외부에 있는 환자 데이터에 대해서는 다음 세 가지를 점검할 가치가 있다.
제품 외부에 있는 환자 데이터의 위치를 파악하라
기기 등록, 보증, 지원 전화, 앱 계정, 임상 연구, 마케팅. SSN이나 진단명을 포함한 환자 데이터가 제품 보안 검토가 닿지 않는 곳에 어디에 있는지 목록을 만들어라.
방법은 보안 인벤토리와 같다. 데이터가 어디에 있는지, 몇 건인지, 누가 볼 수 있는지 먼저 적어라.
SSN이 필요한 곳과 필요하지 않은 곳을 구분하라
법적으로 요구되는 기록과, 이름과 기기 일련번호만으로 처리할 수 있는 지원 통화 등의 업무를 나누고, SSN을 보관하는 시스템의 수를 줄여라. 보유하지 않은 데이터는 유출될 수 없다.
'내 기기는 안전한가?'라는 질문에 대한 답을 미리 준비하라
회사의 성명은 최초 공개 때부터 제품과 환자 안전에 대한 영향을 다뤘다. 환자와 접하는 제품을 가진 조직은 기업 IT 사고 후 환자가 가장 먼저 기기가 안전한지 알고 싶어 한다고 가정하고, 네트워크 분리 등 그 답변의 근거를 설명할 준비를 해야 한다.
전반적인 접근은 조직을 위한 최소 보안 기준을 참고하라.
출처(공개 기록)
이 기사의 사실은 아래 공개 정보를 바탕으로 한다. 데이터를 탈취했다고 주장하는 측이 제시한 수치와 외부 추정치는 사용하지 않았다.
- Medtronic, "Medtronic statement on unauthorized system access"(2026년 4월 24일, 6월 29일 업데이트) — news.medtronic.com
- Medtronic plc, Form 8-K(2026년 4월 24일, Exhibit 99.1) — sec.gov
- 캘리포니아주 법무장관, Medtronic Inc. 침해 목록(통지서 견본, 2026년 6월 29일) — oag.ca.gov
- 인디애나주 법무장관, "Data Breach Year to Date Report 2026"(Medtronic Inc: 3,834,294명 영향; 통지 발송 2026년 6월 29일) — in.gov
- Medtronic, "Product security"(제품 보안 정보 및 연락처) — medtronic.com
- Code of Federal Regulations, 21 CFR Part 821(의료기기 추적: 821.1, 821.25, 821.55) — ecfr.gov
- Federal Trade Commission, "What To Know About Medical Identity Theft" — consumer.ftc.gov / "Credit Freezes and Fraud Alerts" — consumer.ftc.gov / IdentityTheft.gov
- Internal Revenue Service, "Get an identity protection PIN" — irs.gov
업데이트 기록
2026-09-30: 첫 번째 버전. 메드트로닉의 성명(2026년 4월 24일, 6월 29일 업데이트)과 SEC 제출 서류, 캘리포니아주 및 인디애나주 법무장관의 공개 정보, FTC와 IRS 안내, FDA 규정을 바탕으로 작성했다. 회사가 추가 정보를 공개하면 업데이트할 예정이다.
다음으로 읽을 글
- 미국 전체 점검표(동결, IP PIN, 자녀): DentaQuest 유출(SSN과 Medicaid 번호)
- 운전면허 번호가 유출되었을 때 신고할 곳: AssuranceAmerica 유출(운전면허 번호)
- 거래한 적 없는 회사에서 온 통지: Aesto Health 유출(의료 기록 보관 업체)
- 유출 뒤에 이어지는 사기: 피싱이란 무엇인가?
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)
- 운영자를 위한 자료: 조직을 위한 최소 보안 기준 / 보안 인벤토리