대상: Photon Health 또는 Blueberry Pediatrics의 통지 편지를 받은 사람, 그리고 자체 호스팅 분석 도구를 운영하는 사람. 이 글은 Photon Health의 공지, 오리건주 법무장관의 침해 목록, Blueberry Pediatrics의 소비자 안내문 견본을 바탕으로 하며, 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 31일 기준아직 알려지지 않음
- Photon Health에서 영향을 받은 전체 인원
- 이번 사고가 다른 기관의 공지와 어떤 관계인지
- 회사가 조사에 대해 더 자세한 내용을 발표하는지
Photon Health는 2026년 10월 8일에 공지를 게시했으며 영향을 받은 인원은 밝히지 않았습니다. Blueberry Pediatrics의 수치(340,915)는 오리건주 법무장관에 한 보고에서 나온 것이며 별개 회사의 수치입니다.
영향을 받은 사람이 오늘 해야 할 일
처방, 환불, 보험 청구에 관한 전화, 문자, 이메일에는 응하지 마세요
이 항목들은 내 이름, 주소, 전화번호, 생년월일에 의약품 정보를 결합합니다. 전화를 거는 사람이 믿을 만하게 들리기에 충분합니다.
누군가 "처방 문제", "환불", "약국 계정", 보험 청구를 이유로 연락해 오면 전화를 끊고 보험 카드나 약국 웹사이트에 있는 번호처럼 내가 직접 찾은 번호로 다시 전화하세요. 패턴은 피싱이란?을 참고하세요.
먼저 연락해 온 사람에게 사회보장번호, 카드 번호, 일회용 코드를 알려주지 마세요
Photon은 사회보장번호와 금융 정보는 영향이 없다고 밝혔습니다. 그래도 그것을 묻는 사람은 Photon이 설명한 어떤 절차도 따르고 있지 않은 것입니다.
신용 모니터링 제공은 편지를 통해서만 이용하세요
Photon은 12–24개월의 무료 신용 모니터링과 신분 도용 방지 서비스를 제공한다고 밝혔습니다. 등록 절차는 통지 편지에 있으며, 웹 공지에는 반복되어 있지 않습니다. 예상치 못한 이메일이나 문자의 링크로 등록하지 마세요.
받지 않은 서비스가 있는지 보험사의 명세서를 확인하세요
건강보험 정보가 항목에 포함되어 있다면(Photon의 공지가 아니라 Blueberry Pediatrics의 편지에 나열되어 있습니다), 급여 설명서에서 모르는 청구가 없는지 읽고 보험사에 알리세요.
회사에 문의할 때는 공지에 있는 번호로만 하세요
Photon의 공지에는 문의 전화가 안내되어 있습니다. 1-844-772-5746, 미 동부 시간 오전 8시–오후 8시, 월–금, 공휴일 제외. 받은 메시지에 적힌 연락처가 아니라 공지나 편지에 있는 연락처를 사용하세요.
무슨 일이 있었나 (공지 기준)
아래 내용은 다른 출처를 명시한 경우를 제외하고 모두 2026년 10월 8일자 Photon Health 공지에서 밝힌 그대로입니다.
2026년 8월 21일
Photon Health는 사고를 알게 되었다고 밝혔습니다.9월 4일
Photon은 영향을 받은 데이터에 대한 검토가 끝났다고 밝혔습니다.10월 8일
Photon이 공지를 게시했으며, 정보가 관련되었을 수 있는 사람들에게 통지하고 있습니다.
- 대상
- 정보가 관련되었을 수 있는 사람. 인원은 밝히지 않음
- 항목
- 이름, 주소, 전화번호, 생년월일, 처방 의약품 정보. 사람마다 다름
- 영향 없음
- 사회보장번호와 금융 정보. 회사는 이를 수집하거나 보관하지 않는다고 밝힘
- 원인(회사 설명)
- 권한 없는 제3자가 Photon이 비즈니스 인텔리전스, 제품 지표, 고객 대시보드를 위해 자체 인프라에서 운영하는 분석 도구(Metabase)의 이전에 알려지지 않은 취약점을 악용함
- 악용
- 영향을 받은 정보가 악용되었거나 악용이 시도된 증거는 없음
- 대응
- 조사, 차단, 복구를 위해 사이버 보안 전문가를 투입함. 회사는 분석 도구 환경이 안전하며 기술적 보호 조치를 검토하고 있다고 밝힘
- 지원
- 12–24개월의 무료 신용 모니터링과 신분 도용 방지 서비스. 문의 전화 1-844-772-5746
관련된 공개: Blueberry Pediatrics(340,915명 기재)
오리건주 법무장관의 침해 목록에는 2026년 10월 10일자 Blueberry Pediatrics의 보고가 있으며, “Number Affected”에 340,915가 기재되어 있습니다(페이지에는 최초 제출 시점의 수치라고 되어 있음). 침해 기간은 2026년 8월 10일–8월 22일, 발견일은 8월 26일, 통지 발송은 10월 9일입니다. 목록은 오리건주 인원을 따로 나누지 않습니다. 견본 안내문에는 발견일이 8월 22일로 되어 있어 두 출처가 다릅니다. Blueberry의 통지는 환자가 아동이므로 부모와 보호자에게 갑니다.
Blueberry의 소비자 안내문 견본(캘리포니아주 법무장관에 제출됨, 견본에는 Blueberry Medical이라는 이름이 쓰임)에는 범죄자가 기술 제공업체 중 하나인 Metabase의 취약점을 악용해 일부 환자 데이터의 사본을 훔쳤다고 되어 있습니다. 이름, 건강보험 이름과 가입 번호, 생년월일, 그리고 진료 기록, 진료일, 의료 코드, 서비스 비용 같은 건강 의료 정보가 나열되어 있습니다. 사회보장번호와 결제 정보는 포함되지 않았으며, 진단을 위해 보낸 사진과 영상은 별도로 보관되어 있어 침해되지 않았다고 합니다.
이것은 다른 회사의 수치입니다. 공개되지 않은 Photon의 수치에 합산하지 마세요.
캘리포니아주 법무장관의 침해 목록에도 Photon Health의 항목이 있으며 침해일을 2026년 8월 10일로 기재하고 있습니다. 이 날짜는 회사가 알게 된 날이라고 밝힌 Photon 공지의 8월 21일과 다릅니다. 이 글은 각 출처가 밝힌 날짜를 그대로 사용합니다.
알려진 것과 알려지지 않은 것
2026년 10월 31일 기준입니다. 더 많은 내용이 공개되면 이 표를 다시 작성합니다.
| 항목 | 발표된 내용 | 상태 |
|---|---|---|
| Photon 분석 도구에 대한 무단 접근 | 분석 도구의 이전에 알려지지 않은 취약점이 악용됨 | 확인됨(회사) |
| 관련된 항목 | 이름, 주소, 전화번호, 생년월일, 처방 의약품 정보 | 확인됨(회사) |
| 사회보장번호, 금융 정보 | 회사가 수집하거나 보관하지 않음 | 제외됨(회사) |
| 데이터 악용 | 악용이나 악용 시도의 증거 없음 | 증거 없음(회사) |
| Photon에서 영향을 받은 사람 | 공지에 없음 | 미공개 |
| 회사가 알게 된 날 | 2026년 8월 21일(캘리포니아 목록의 침해일은 8월 10일) | 확인됨(회사). 출처마다 날짜가 다름 |
| Blueberry Pediatrics에서 영향을 받은 사람 | 340,915(오리건주 법무장관 목록) | 확인됨(별개 회사) |
| Photon의 비밀번호, 건강보험 정보 | Photon의 공지에는 없음 | 언급 없음 |
| Photon과 Blueberry 공지의 연관성 | 확인한 두 문서에는 언급 없음 | 언급 없음 |
이 항목의 조합으로 가능한 일
이름, 주소, 전화번호, 생년월일은 과거의 많은 유출에서 구할 수 있습니다. 이번에 특이한 점은 처방 의약품 정보가 함께 있다는 것이며, 이로 인해 약, 재처방, 보험 청구에 관한 사기 전화가 진짜처럼 들립니다. 이는 이런 종류의 데이터에서 일반적으로 일어나는 일이며, 이번 사건에서 실제로 일어났다는 뜻은 아닙니다.
이름 + 전화번호 + 의약품
↓→
재처방이나 보험 청구에 관한 그럴듯한 전화
→ 끊고, 직접 찾은 번호로 전화
이름 + 주소 + 생년월일
↓→
내 정보를 이용한 가짜 편지, 문자, 이메일
→ 링크를 따르지 말고 공식 사이트에서 확인
Photon 설명상 영향 없음
- 사회보장번호
- 금융 정보
관련되었을 수 있음(사람마다 다름)
- 이름과 주소
- 전화번호
- 생년월일
- 처방 의약품 정보
읽는 방법: ‘악용의 증거 없음’은 ‘앞으로 안전하다’는 뜻이 아닙니다
Photon은 악용이나 악용 시도의 증거가 없다고 밝혔습니다. 생년월일은 바뀌지 않으므로 이 데이터는 몇 달 또는 몇 년 뒤의 메시지에 쓰일 수 있습니다. 이번 사고를 이유로 연락해 오는 경우는 신중하게 대하세요.
분석 도구를 운영하는 쪽을 위해
Photon은 이 도구가 보고서와 고객 대시보드를 위해 자체 운영하는 것이며 이전에 알려지지 않은 취약점이 악용되었다고 밝혔습니다. 이 섹션은 공개된 사실로 뒷받침되는 내용만 다룹니다. 결함의 상세는 이 사이트의 CVE-2026-72898 알림(영어)에 있고, 같은 제품의 영향을 받은 다른 조직은 Metabase 취약점 침해 글(영어)에 있습니다.
분석 도구가 읽을 수 있는 데이터를 목록으로 만드세요
이런 도구는 보통 운영 데이터베이스에 연결되어 있습니다. 도구가 읽을 수 있는 것이 도구가 침해되었을 때 유출될 수 있는 것입니다. Photon의 경우 의약품 정보 같은 항목이 보고 도구에서 접근 가능했습니다. 분석에 실제로 필요한 테이블과 열을 확인하고 나머지는 줄이세요.
내가 운영하는 도구와 업체가 운영하는 도구를 구분하세요
Photon은 이 도구를 자체 호스팅이라고 설명하는데, 이는 업데이트와 노출 관리가 운영자의 일이라는 뜻입니다. 운영 중인 자체 호스팅 도구의 목록과 그 보안 수정을 알 방법을 갖추세요(배경: osv-scanner).
사고부터 통지까지의 시간에 대비하세요
회사의 설명에 따르면 알게 된 때(8월 21일)부터 통지(10월 8일)까지 약 7주가 걸렸습니다. 영향을 받은 데이터를 누가 검토하고 누가 통지를 승인할지 미리 정해 두어 검토가 병목이 되지 않게 하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 출처를 바탕으로 합니다. 공개되지 않은 원인과 건수는 추측하지 않습니다.
- Photon Health, Notice of Data Security Incident(2026년 10월 8일) — PR Newswire
- 캘리포니아주 법무장관, Photon Health 침해 보고 — oag.ca.gov
- 오리건주 법무부, 침해 통지 목록(Blueberry Pediatrics, 2026년 10월 10일 보고) — justice.oregon.gov
- Blueberry Pediatrics(Blueberry Medical), 캘리포니아주 법무장관에 제출된 소비자 안내문 견본 — oag.ca.gov(PDF)
업데이트 기록
2026-10-31: Photon Health의 10월 8일 공지와 위의 규제 기관 목록을 바탕으로 한 첫 버전. Photon은 건수를 공개하지 않았으며, 공개하면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 결함, 다른 조직: Metabase 취약점 침해(Trezor, Framework, n8n 등)(영어)
- 사기 전화와 메시지: 피싱이란? / 스마트폰 보안 기본
- 또 다른 미국 의료 사례: AdaptHealth 개인정보 유출(영어) / 2026년 미국 의료 침해(영어)
- 2026년 기타 사건: 데이터 유출 및 사이버 공격 목록(일본 및 전 세계)