대상: 2023년 Perry Johnson & Associates(PJ&A) 유출에 관한 통지를 받은 사람, 그리고 전사·코딩·청구를 외주로 맡기는 의료 기관. 이 글은 뉴욕, 코네티컷, 뉴저지 주 법무장관의 보도자료를 바탕으로 하며, 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
2023년 Perry Johnson & Associates(PJ&A) 유출에 관한 통지를 받은 사람, 그리고 전사·코딩·청구를 외주로 맡기는 의료 기관.
- 확인된 영향 범위표 보기 ↓
- 대상 인원
- 노출된 정보
- 아직 확인되지 않은 사항
- 미시간 주의 보도자료와 그 건수
- 합의 문서에서 회사들의 책임이 어떻게 다뤄지는지
- 위탁 의료 기관별 해당 건수
1개 더 보기
- 합의 이후 추가 통지나 지원이 있는지
- 지금 할 일절차 보기 ↓
- 신용 동결이 아직 유지되는지 확인하세요
- 받지 않은 진료가 급여 명세서에 있는지 확인하세요
- 진단과 검사 결과가 노출됐다고 가정하고 협박에 대비하세요
2개 더 보기
- 합의를 구실로 한 메시지를 의심하세요
- 통지한 의료 기관에 왜 이 회사가 내 데이터를 가졌는지 물어보세요
- 확인처(출처)출처 전체 ↓
- 뉴욕주 법무장관, "Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data"(2026년 11월 6일)
- 마지막 확인
- 2026년 11월 8일 기준
후속 발표 예정과 확인 기록
보도자료에는 후속 정보에 관한 언급이 없습니다. 2026년 11월 8일 기준으로 이 사이트가 확인한 것은 뉴욕, 코네티컷, 뉴저지의 보도자료입니다. 미시간의 보도자료는 확인하지 못했습니다.
통지를 받았다면 오늘 해야 할 일
신용 동결이 아직 유지되는지 확인하세요
노출된 항목에 사회보장번호가 있으므로 가장 효과적인 단계입니다. Equifax, Experian, TransUnion에서 무료로 보안 동결을 걸 수 있습니다. 2023년 통지 뒤에 걸었다면 해제되지 않았는지 확인하세요. 방법은 출처에 있는 미국 연방거래위원회(FTC) 페이지에 나와 있습니다.
받지 않은 진료가 급여 명세서에 있는지 확인하세요
이름, 생년월일, 보험 정보, 병원 계정 번호가 함께 있으면 남의 이름으로 진료를 받거나 청구하는 데 쓰일 수 있습니다. 보험사의 급여 설명서에서 기억에 없는 진료, 처방, 장비가 있는지 보세요. 있으면 보험사와 해당 의료 기관에 연락하세요.
진단과 검사 결과가 노출됐다고 가정하고 협박에 대비하세요
전사 파일에는 검사 결과와 약 이름이 포함돼 있었습니다. 누군가 진단을 안다며 돈을 요구하면 지급하지 말고 FTC나 경찰에 상담하세요. 보도자료는 그런 연락이 있었다고 말하지 않습니다. 일반적으로 일어날 수 있는 일이므로 대비하는 것입니다.
합의를 구실로 한 메시지를 의심하세요
보도자료는 피해자에게 돈이 지급된다고 말하지 않습니다. "합의금 지급", "계정 확인", "수수료"에 관한 전화나 메시지는 먼저 연락해 온 순간부터 의심스럽습니다. 해당 주 법무장관의 공식 웹사이트를 직접 열어 확인하세요(구별법: 피싱이란?).
통지한 의료 기관에 왜 이 회사가 내 데이터를 가졌는지 물어보세요
뉴욕 보도자료에 따르면 PJ&A는 전국의 의료 기관에 코딩, 청구, 녹음 같은 서비스를 제공했습니다. 환자 입장에서는 계약한 적 없는 회사입니다. 진료한 의료 기관이나 통지한 기관에 내 데이터가 위탁 업체에 어디까지 공유됐는지 문의할 수 있습니다.
무슨 일이 있었나 (법무장관 보도자료 기준)
이 절은 뉴욕, 코네티컷, 뉴저지 주 법무장관의 2026년 11월 6일 보도자료를 바탕으로 합니다. 회사들의 설명이 아니라 주 당국의 설명입니다. 회사들은 Perry Johnson & Associates, Inc.(PJ&A), Perry Johnson, Inc.(PJI), Perry Johnson & Associates Coding, Inc., Perry Johnson & Associates Radiology, Inc., Medical Transcription and Coding, Inc.이며, 보도자료는 이들을 "Perry Johnson companies"라고 부릅니다.
직원 자격 증명
원격 접속에 다중 인증 없음
↓→
몇 달간의 접근
활동은 기록됐으나 경고 없음
↓→
발견
약 2개월 뒤, 해커가 연락해 옴
이는 회사들의 설명이 아니라 주 당국의 설명입니다.
2023년 3월
주 당국에 따르면 해커가 PJ&A Coding 직원의 자격 증명을 사용해 PJ&A의 시스템에 접근했습니다.이후 몇 달
해커는 비밀번호를 수집하고 암호화되지 않은 파일에 접근했습니다(주 당국 설명).약 2개월 뒤
PJ&A는 해커가 연락해 와서야 유출을 알았습니다(주 당국 설명).2026년 11월 6일
4개 주 법무장관이 합의를 발표했습니다.
- 회사
- Perry Johnson & Associates, Inc.(PJ&A) 및 계열사 4곳
- 유출
- 2023년 3월. 전국 약 1,330만 명
- 주별 건수
- 뉴욕 주민 약 420만 명, 뉴저지 약 539,669명, 코네티컷 약 107,960명. 미시간은 확인하지 못함
- 노출된 항목
- 이름, 생년월일, 집 주소, 사회보장번호, 병원 계정 번호, 진단, 보험 정보, 전사 파일의 임상 정보(검사 결과, 약 이름)
- 합의 금액
- 최대 1,000만 달러. 주에 내는 벌금은 최소 30만 달러이고, 회사들이 합의 조건을 지키지 못하면 주에 970만 달러를 추가로 내야 함
- 주별 금액
- 뉴욕: 벌금과 비용 최소 10만 달러. 코네티컷: 66,666달러. 뉴저지: 보도자료에 명시 없음
- 문서 종류
- 뉴저지 보도자료는 자발적 준수 보증서(Assurance of Voluntary Compliance)를 링크합니다. 다른 보도자료는 본문에서 문서 이름을 밝히지 않습니다
주 당국이 지적한 원인
보도자료는 다음 조건을 설명합니다. 이는 회사들의 발표가 아니라 주 당국의 설명입니다.
| 항목 | 주 당국의 설명 | 상태 |
|---|---|---|
| 대상 인원 | 미국 전역 약 1,330만 명 | 확인됨 (주 당국) |
| 노출된 정보 | 이름, 생년월일, 주소, 사회보장번호, 병원 계정 번호, 진단명, 보험 정보, 임상 정보 | 확인됨 (주 당국) |
| 침입 | PJ&A Coding 직원의 자격 증명이 사용됨 | 주 당국의 설명 |
| 원격 접속 | 다중 인증이 요구되지 않음 | 주 당국의 설명 |
| 파일 | 암호화되지 않은 파일에 접근, 비밀번호가 수집됨 | 주 당국의 설명 |
| 로그 감시 | PJI의 소프트웨어가 활동을 기록했지만 보안 담당자에게 경고하도록 설정돼 있지 않음 | 주 당국의 설명 |
| 발견 | 약 2개월 뒤, 해커가 회사에 연락해 옴 | 주 당국의 설명 |
| 자격 증명을 입수한 방법 | 보도자료에 없음 | 언급 없음 |
| 원인으로서의 데이터 보관 | 원인으로 지적되지 않음. 보관은 요구된 개선 사항에만 나옴 | 언급 없음 |
| 회사들이 위반을 인정했는지 | 뉴욕, 코네티컷 보도자료에 없음 | 언급 없음 |
읽는 방법: 합의는 법을 어겼다는 법원 판단이 아닙니다
뉴욕 보도자료의 제목은 회사들이 의료 정보를 보호하지 "못했다"고 표현하지만, 어느 보도자료도 회사들이 법을 어겼다거나 책임을 인정했다고 말하지 않습니다. 이 사이트는 보도자료에 적힌 내용을 넘어 회사들이 법을 어겼다고 단정하지 않습니다.
회사들이 해야 할 일
보도자료에 공통된 개선 사항은 다음과 같습니다.
- 포괄적인 정보 보안 프로그램과 사고 대응 절차를 유지
- 다중 인증, 비밀번호 관리, 암호화, 자산 관리의 보호 조치와 정책을 도입
- HIPAA에 부합하는 연 1회 위험 평가를 실시
- 개인 건강 정보의 수집, 이용, 보관, 폐기에 관한 정책과 절차를 유지
뉴저지 보도자료는 독립 감시자나 보고 일정을 설명하지 않습니다.
이런 데이터 조합으로 가능한 일
일반적으로 다음과 같은 조합은 악용될 수 있습니다. 이번 건에서 그런 일이 있었다는 뜻은 아닙니다.
- 이름 + 생년월일 + 사회보장번호 + 주소: 계좌나 신용을 개설하거나 세금 환급을 부정으로 청구하려는 시도
- 이름 + 보험 정보 + 병원 계정 번호: 남의 이름으로 받거나 청구한 진료
- 진단과 약 이름: 본인의 건강 상태를 아는 것을 이용한 그럴듯한 연락이나 협박
의료 기관과 위탁자가 배울 점
주 당국의 설명에는 위탁자가 자신의 외주 업체 관리에서 점검할 수 있는 사항이 있습니다. 이 절은 공개된 내용에 한정하며, 이를 자체 계약과 시스템에서 확인할 항목으로 바꿉니다.
- 원격 접속의 다중 인증. 주 당국이 그 부재를 지적했습니다. 외주 업체가 시스템으로 들어오는 모든 경로(VPN, 원격 데스크톱, 클라우드 관리 콘솔)에서 이를 요구하는지, 계약 문구가 아니라 설정이나 감사 보고서로 확인하세요. 가이드: 다중 인증 가이드.
- 로그가 있는지만이 아니라 경고가 어디로 가는지 시험하세요. 주 당국은 활동이 기록됐지만 보안 담당자에게 경고가 가지 않았다고 말합니다. 이상한 장소에서의 로그인과 대량 파일 읽기 같은 시험을 해서 누군가에게 통보되는지 확인하는 것이 첫 단계입니다.
- 계약에 보관과 폐기를 정하세요. 보관은 원인으로 지적되지 않았지만 요구된 개선 사항에는 있습니다. 외주 업체가 전사 음성과 파일을 얼마나 보관하는지, 언제 삭제하는지 정하고 삭제 증명을 요구하세요. 적게 보유할수록 잃을 것도 적습니다.
- 암호화되지 않은 파일 저장소를 찾으세요. 주 당국은 암호화되지 않은 파일에 접근했다고 말합니다. 임상 정보를 보관하는 위치가 암호화돼 있는지 외주 업체에 물어보세요.
- 외주 업체의 외주 업체를 파악하세요. 환자는 어떤 회사와도 계약이 없는데 데이터가 그 회사로 흘러갈 수 있습니다. 외주 업체가 어디에 재위탁하는지, 통지 책임이 누구에게 있는지 미리 합의하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 발표를 바탕으로 합니다.
- 뉴욕주 법무장관, "Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data"(2026년 11월 6일) — ag.ny.gov
- 코네티컷주 법무장관, 보도자료(2026년 11월 6일) — portal.ct.gov
- 뉴저지주 법무장관, 보도자료(2026년 11월 6일) — njoag.gov
- The Record, "Medical services company settles with 4 state AGs"(언론 보도, 보조) — therecord.media
- 미국 연방거래위원회, "Credit Freezes and Fraud Alerts" — consumer.ftc.gov
업데이트 기록
2026-11-08: 뉴욕, 코네티컷, 뉴저지 주 법무장관의 2026년 11월 6일 보도자료를 바탕으로 한 첫 버전. 미시간의 보도자료는 확인하지 못했습니다. 주 당국이나 회사들이 추가 정보를 발표하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 미국 의료 정보 유출의 전체 그림: US healthcare data breaches (2026)(영어)
- 오래된 의료 기록을 보유한 회사: The Aesto Health breach(영어)
- 의료 관련 또 다른 대형 사례: The AdaptHealth breach(영어)
- 원격 접속 보호: 다중 인증 가이드
- 후속 사기 알아보기: 피싱이란?