대상: 폴란드 의료기관에서 진료를 받은 적이 있는 모든 사람(과거와 현재의 외국인 거주자 포함), 그리고 의료기관용 클라우드 소프트웨어를 제공하거나 사용하는 모든 사람. 이 글은 폴란드 정부, 개인정보 보호 당국 및 MyDr 자체의 발표를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
영향을 받을 수 있는 사람이 오늘 해야 할 일
bezpiecznedane.gov.pl에서 PESEL 포함 여부 확인
정부 확인 사이트 bezpiecznedane.gov.pl에 mObywatel(공식 정부 앱), Profil Zaufany(정부 전자신원 로그인), 전자신분증(e-dowód) 또는 온라인 뱅킹으로 로그인하세요. 본인의 PESEL이 이번 사건과 연결되어 있는지 알려줍니다.
트래픽이 많을 때는 대기열이 생기는 것으로 알려져 있습니다. 주소를 직접 입력하고, 이메일이나 문자 메시지의 링크로 열지 마세요.
명단에 있는지와 관계없이 PESEL 예약
PESEL 예약(zastrzeżenie PESEL)은 정부 등록부에서 PESEL을 예약 상태로 표시하는 무료 절차입니다. 2024년 6월 1일부터 은행, 대출 기관, 공증인, 중복 유심을 발급하는 통신사 및 기타 기관은 계약 체결 전에 이 등록부를 확인해야 합니다.
정부에 따르면 예약에도 불구하고 대출이 실행된 경우, 신원이 도용된 사람은 이를 상환할 필요가 없습니다. mObywatel 앱에서 "서비스"를 선택한 후 "PESEL 예약"을 선택하세요. 본인이 대출을 받아야 할 때는 앱에서 일시적으로 해제할 수 있습니다(변경 사이에 30분 대기 시간이 있습니다).
mObywatel을 사용할 수 없다면 시·군·구청 방문
PESEL이 있는 외국인도 같은 시스템을 이용할 수 있습니다. mObywatel 앱이나 웹사이트에 로그인할 수 없다면 모든 시·군·구청(urząd gminy)에서 PESEL을 예약할 수 있습니다.
mObywatel에서는 어떤 회사와 기관이 본인의 PESEL을 조회했는지도 확인할 수 있습니다. 가끔 확인하여 모르는 조회 기록이 있는지 살펴보세요.
건강을 언급하며 돈을 요구하는 메시지에 응답하지 않기
유출되었을 수 있는 항목에는 건강 데이터와 처방 정보가 포함됩니다. 따라서 본인의 질병이나 약물을 알고 있다는 내용을 보여주며, 가족이나 고용주에게 알리겠다고 위협하면서 돈을 요구하는 메시지를 받을 수 있습니다.
답장하거나 돈을 보내지 마세요. 대화 내용과 메시지를 스크린샷으로 보관하고 경찰에 신고하세요. 진단명을 안다고 해서 발신자의 주장이 사실이라는 뜻은 아니며, 이 모든 것은 본인의 잘못이 아닙니다.
의료기관, NFZ, 경찰 또는 은행의 연락은 직접 찾은 번호로 확인
폴란드 경찰은 의료기관, 은행 또는 국가기관(경찰과 국민건강보험공단(NFZ) 포함)을 사칭하여 도난당한 의료 데이터를 이용해 개인 정보나 금융 정보를 더 알아내려는 연락에 대해 경고하고 있습니다.
진짜처럼 들리더라도 전화를 끊고 공식 웹사이트에 있는 번호로 다시 전화하세요. 의심스러운 문자 메시지는 CERT Polska(폴란드 국가 컴퓨터 보안 사고 대응팀)가 운영하는 8080번으로 전달할 수 있으며, 기타 의심스러운 연락은 incydent.cert.pl에 신고할 수 있습니다(피싱이란? 참조).
건강 포털 비밀번호를 변경하고 2단계 인증 설정
보건부와 경찰은 의료 포털과 온라인 건강 계정의 비밀번호를 변경하고, 재사용하지 않으며, 2단계 인증(다중 인증)을 켜도록 권고합니다. MyDr 환자 계정과 같은 비밀번호를 다른 곳에서도 사용하고 있다면 그곳의 비밀번호도 변경하세요(비밀번호 관리자 선택하기).
자세한 내용은 방문한 의료기관에 문의
GDPR(EU 개인정보 보호 규정)에 따라 의료기관이 환자 데이터의 관리자(controller)이며, MyDr은 그 위탁을 받아 처리하는 수탁자(processor)입니다. 환자에 대한 공식 통지는 방문한 기관에서 옵니다. MyDr은 기관에 영향을 받은 환자 목록과 당국과 협의하여 작성한 통지문 초안을 보냈습니다.
해당 기관에 본인의 어떤 데이터가 포함되었는지 문의하세요. MyDr은 이번 사건 전용 문의 창구도 마련했습니다(아래 출처의 환자 페이지 참조).
무슨 일이 있었나 (정부, 당국 및 MyDr 발표 기준)
MyDr sp. z o.o.는 바르샤바에 본사를 둔 회사로, 의사와 의료기관을 위한 전자 진료기록 소프트웨어인 MyDr EDM을 제공합니다. 클라우드에서 예약, 전자 처방, 병가 증명서 및 의뢰서를 처리합니다. 아래 내용은 디지털부, 보건부, 개인정보 보호청(UODO) 및 MyDr의 발표에 따른 것입니다.
2026년 8월 10일
MyDr은 일부 시스템에 영향을 미친 데이터 사고를 공개하고 조사를 시작했습니다.8월 12일
MyDr은 의도적인 외부 범죄 행위의 대상이 되었다고 확인했습니다. 디지털부는 회사가 2024년 4월까지의 과거 데이터에 대한 무단 접근을 확인했으며, 최대 1,880만 명과 12,000개 이상의 기관에 영향을 줄 가능성이 있다고 밝혔습니다. 보건부는 중앙 국가 전자보건 서비스는 침해되지 않았다고 밝혔습니다. UODO는 회사를 조사하기로 결정했습니다.8월 14일
전자보건센터(CeZ)는 국가 전자처방 시스템과 통신하는 데 사용되는 인증서가 침해되지 않았으며, 예방 조치로 MyDr 관련 인증서를 교체할 것이라고 밝혔습니다.8월 24일
MyDr의 최고경영자는 사과하고, 영향을 받은 환경에 데이터가 있던 모든 사람을 의도적으로 포함하여 약 1,800만 명에게 통지할 것이라고 밝혔습니다.8월 29일
영향을 받은 PESEL 번호가 bezpiecznedane.gov.pl에 추가되어 사람들이 확인할 수 있게 되었습니다.9월 2일
MyDr은 복사된 것은 2024년 4월 12일 이전의 데이터와 일부 제한된 인원의 취소된 전자 의뢰서 데이터라고 밝혔습니다. 게시된 증거는 발견되지 않았다고 말했습니다.9월 5–11일
의료기관에 대한 통지가 단계적으로 진행되었으며, 영향을 받은 환자 목록, 당국에 제출할 보고서 초안 및 환자 통지문 초안이 전달되었습니다.
- 대상
- MyDr을 사용하는 의료기관의 환자. 주로 2024년 4월 12일 이전의 과거 데이터이며, 일부 제한된 인원의 경우 그 이후 발행되어 취소된 전자 의뢰서의 데이터도 포함
- 항목
- 이름, 주소, 연락처, PESEL(국가 식별번호) 및 건강 데이터, 사회보험 정보, 고용주 정보(제공된 경우), 기타 식별 데이터. 회사는 모든 항목이 모든 환자에게 해당하지는 않는다고 말합니다
- 복사된 내용
- 회사 클라우드에 저장된 데이터베이스의 내용. 환자 페이지는 백업 데이터베이스에 대한 무단 접근과 2024년 4월 12일자 백업의 확보를 설명합니다
- 공개 여부
- 회사는 게시된 증거를 발견하지 못했으며, bezpiecznedane.gov.pl에 나타났다는 것이 데이터가 온라인에 공개되었다는 뜻은 아니라고 밝혔습니다
- 영향을 받지 않은 부분
- 중앙 국가 전자보건 서비스(보건부). 진료 및 처방 접근은 영향을 받지 않았습니다. MyDr은 시스템이 정상적으로 운영되고 있다고 말합니다
- 원인
- 공개되지 않음. 중앙사이버범죄국(CBZC)이 검찰 감독 아래 수사 중입니다
- 당국
- UODO는 회사의 기술적·조직적 조치와 그 조치가 정기적으로 테스트되었는지 조사하고 있습니다. UODO는 8월 말까지 약 1,000건의 침해 신고를 받았다고 밝혔습니다
해석: '게시된 증거 없음'은 '안전함'을 뜻하지 않습니다
MyDr은 데이터가 게시되었다는 증거를 찾지 못했다고 말합니다. 이는 지금까지 아무것도 발견되지 않았다는 뜻이지, 데이터가 절대 사용되지 않는다는 뜻은 아닙니다.
PESEL에는 생년월일과 성별이 담겨 있으며, 원칙적으로 바뀌지 않습니다. 진료 기록 역시 마찬가지입니다. 대비는 수년 단위로 계획하세요. PESEL 예약은 본인이 해제할 때까지 유지됩니다.
8월 이후 폴란드의 다른 의료 소프트웨어 업체와 의료 기업들도 무단 접근을 공개했으며, UODO는 의료 분야에 대한 조사를 강화하고 있다고 보도되었습니다.
한 소프트웨어 업체의 침해가 이렇게 넓게 퍼지는 이유
소프트웨어 업체 한 곳(MyDr)
고객 기관 모두의 환자 데이터, 클라우드에 보관
↓
2024년 4월 12일자 백업
2년 이상 지난 데이터에도 환자 정보가 남아 있음
↓
12,000개 이상의 의료기관
각 기관은 GDPR상 관리자로서 당국에 보고하고 환자에게 통지
↓
최대 1,880만 명의 환자
PESEL, 건강 데이터, 연락처 등
프랑스에서는 2026년 2월에 공개된 침해로 의사용 MLM 소프트웨어를 통해 약 1,500만 명의 환자 데이터가 노출되었습니다(Cegedim Santé 환자 데이터 유출 사건). 같은 구조입니다. 한 클라우드 소프트웨어 업체가 수천 개 기관의 환자 데이터를 보관하면, 하나의 취약점이 모두에게 동시에 영향을 미칩니다.
이번 사건에는 두 가지 특징이 있습니다. 첫째, 복사된 것은 2년 이상 된 백업이었습니다. 둘째, 국가 식별번호와 건강 데이터가 같은 기록에 나란히 있었습니다.
폴란드: PESEL
- 생년월일과 성별을 담으며, 원칙적으로 바뀌지 않음
- 의료기관이 환자를 식별하는 데 널리 사용됨
- 따라서 진료 기록과 PESEL이 같은 데이터베이스에 함께 있음
- 대응 수단으로 PESEL을 국가 등록부에 예약할 수 있음
일본: 마이넘버(My Number)
- 사용 범위는 법률로 제한됨(마이넘버법)
- 마이넘버 카드를 이용한 건강보험 확인은 12자리 번호가 아니라 카드 칩의 전자 인증서를 사용함(후생노동성)
- 따라서 진료 기록은 마이넘버를 담도록 설계되어 있지 않음
- 폴란드 PESEL 예약에 해당하는 전국 제도는 없음
일본 독자에게 교훈은 "마이넘버는 진료 기록에 들어가지 않으니 괜찮다"로 끝나지 않습니다. 일본에서도 클라우드 기반 전자 진료기록이 널리 쓰이고 있으며, 수천 개 진료소의 환자 명단, 진단명, 처방, 연락처를 한 업체가 보관하는 구조는 폴란드와 같습니다.
이름, 생년월일, 주소, 진단명이 유출되면 마이넘버가 없어도 건강 관련 위협과 신원 도용에 악용될 수 있습니다. 일본에는 PESEL 예약에 해당하는 제도가 없으므로, 허위 계약에 대한 주요 방어 수단은 신용정보기관에 대한 사기 경보 등록입니다(절차는 Times Car 침해 사건 기사 참조).
의료기관용 클라우드 소프트웨어를 제공하거나 사용하는 사람들을 위해
MyDr은 침입 방법을 공개하지 않았으므로, 이 섹션은 원인을 추측하지 않습니다. 회사가 공개한 사실, 즉 2024년 4월의 백업 데이터베이스가 복사되었다는 점에서 출발하여, 모든 제공자가 점검할 수 있는 항목을 나열합니다.
백업과 스냅샷 목록 작성
운영 데이터베이스뿐 아니라 백업, 마이그레이션 중 만든 사본, 테스트용으로 복제한 데이터베이스도 목록에 넣으세요. 어디에 있는지, 몇 개인지, 각각 어느 시점의 데이터를 담고 있는지 확인하세요.
오래된 백업에는 운영에서 제외된 환자와 떠난 기관의 환자 데이터도 들어 있습니다. 목록에 없는 사본은 보호할 수 없습니다.
백업도 운영 환경과 같은 수준으로 보호
백업은 "복구할 때만 쓰는 것"이라는 이유로 보호 수준이 운영 환경보다 느슨해지기 쉽습니다. 다음 세 가지를 운영 환경과 비교해 보세요.
- 백업을 읽을 수 있는 계정 수(운영 담당 계정과 분리)
- 암호화 키(백업과 같은 장소에 저장하지 않음)
- 읽기 기록과 경고(대량 읽기가 알림을 발생시키는가?)
백업에도 보관 기한 설정
의료 기록의 법적 보관 기간과 장애 복구에 필요한 기간은 서로 다릅니다. 복구에 필요한 세대 수를 정하고, 오래된 세대는 자동으로 삭제되도록 설정하세요. 법적으로 보관해야 하는 기록은 접근 통제가 더 엄격한 별도 저장소에 두세요.
이런 소프트웨어를 쓰는 기관은 업체에 세 가지 질문하기
GDPR에 따라 의료기관이 환자 데이터의 관리자입니다. UODO는 수탁자에서 침해가 발생하더라도 관리자는 72시간 내에 신고해야 한다고 안내했습니다. 계약 전과 갱신 때마다 다음을 물어보세요.
- 환자 데이터 백업은 어디에 있으며, 몇 년치를 보관하나요?
- 침해가 발생하면 몇 시간 내에, 어떤 연락 수단으로, 어떤 정보(예: 영향을 받은 환자 목록)와 함께 알려주나요?
- 계약을 해지하면 백업을 포함한 데이터가 언제까지 삭제되나요?
본 사이트의 견해: 삭제했다고 생각한 데이터가 백업에 남아 있습니다
환자가 다른 진료소로 옮기거나 기관이 소프트웨어 계약을 해지하면, 데이터는 화면에서 사라집니다. 2년 전의 백업에는 그 환자들이 그대로 남아 있습니다. 그래서 이번 사건이 "2024년 4월까지의 과거 데이터"에 영향을 준 것으로 설명됩니다.
운영 환경의 보호가 강화될수록 백업은 상대적으로 약한 지점으로 남습니다. 백업 목록, 보관 기한, 대량 읽기 경고는 작은 업체도 오늘 바로 시작할 수 있는 세 가지입니다. 조직을 위한 최소 보안 기준은 조직을 위한 최소 보안 기준에서 다룹니다.
출처(공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 침입을 주장하는 측의 수치와 주장, 공개되지 않은 원인은 사용하지 않았습니다.
- 폴란드 디지털부, "Komunikat po spotkaniu Połączonego Centrum Operacyjnego Cyberbezpieczeństwa"(2026년 8월 12일, 폴란드어) — gov.pl
- 폴란드 보건부, "Informacja w związku z incydentem dotyczącym firmy MyDr"(2026년 8월 12일, 폴란드어) — gov.pl
- 전자보건센터(CeZ), "Działania prewencyjne po incydencie dotyczącym firmy MyDr"(2026년 8월 14일, 폴란드어) — cez.gov.pl
- MyDr, "Incydent MyDr"(기관용 일정 및 9월 2일 설명, 폴란드어) — pro.mydr.pl / 환자 페이지 — pacjent.mydr.pl
- 개인정보 보호청(UODO), "Administrator musi zgłosić wyciek, do którego doszło w podmiocie przetwarzającym"(2026년 8월 12일, 폴란드어) — uodo.gov.pl / "Wyciek danych – co dalej?" — uodo.gov.pl
- UODO 월간 소식지, "Podsumowanie miesięcy: lipiec–sierpień 2026 r."(조사 및 약 1,000건의 신고, 폴란드어) — nowybiuletyn.uodo.gov.pl
- 폴란드 정부, "Zastrzeż PESEL i zabezpiecz się przed oszustami. Nowe przepisy od 1 czerwca"(폴란드어) — gov.pl
- 시비드니차 군 경찰, "Komunikat dotyczący wycieku danych pacjentów z systemu informatycznego"(2026년 8월 19일, 후속 사기 경고 및 신고처 안내, 폴란드어) — policja.gov.pl
- Notes from Poland, "Poland hit by theft of 19 million patients' data from medical platform"(2026년 8월 13일, 뉴스 보도) — notesfrompoland.com
- 일본 후생노동성, 마이넘버 카드를 건강보험증으로 사용하는 것에 관한 안내(일본어) — mhlw.go.jp
업데이트 기록
2026-10-03: 디지털부, 보건부, CeZ, UODO의 발표와 MyDr의 일정(9월 11일까지)을 바탕으로 한 첫 버전. 침입 경로와 원인은 공개되지 않았으며, 공개되면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 구조의 사건: Cegedim Santé 환자 데이터 유출 사건(프랑스 의사용 소프트웨어, 약 1,500만 명) / Aesto Health(미국 의료 데이터 보관, 954만 명)
- 의료 관련 사고: 2026년 미국 의료 데이터 유출 / 2026년 사이버 공격으로 중단된 병원
- 후속 사기: 피싱이란? / 다중 인증 선택하기
- 2026년 기타 사건: 침해 및 사이버 공격 목록(일본 및 전 세계)