대상: 미국에서 진료를 받았고 모르는 회사에서 온 "데이터 유출 통지문"을 받은 분들, 그 가족, 그리고 환자 데이터를 외부 회사에 맡기는 의료기관 및 기업의 직원.
이 글은 각 기관이 직접 발표한 통지문과 서한, 미국 보건복지부(HHS) 민권국(OCR) 유출 포털, 주 법무장관 제출 자료, 연방 규정을 바탕으로 여섯 사례를 비교합니다. 공격 기법은 다루지 않습니다.
먼저: 모르는 회사에서 통지문을 받았다면
버리기 전에, 아는 의료기관, 보험사 또는 고용주 이름이 있는지 찾으십시오
벤더의 통지문에는 보통 실제로 이용한 의료기관이 적혀 있거나, 그 의료기관을 대신해 발송된다고 설명되어 있습니다.
예를 들어 Xsolis의 샘플 통지문은 환자가 이용한 의료기관이 사례 관리와 이용 관리 서비스를 위해 벤더인 Xsolis를 쓰고 있다고 설명하며 시작합니다. Baylor Genetics는 검사를 의뢰한 의료기관 등 제3자 고객으로부터 환자 정보를 받았다고 밝혔습니다.
먼저 알고 있는 병원, 보험사 또는 고용주 이름이 있는지 확인하십시오.
HHS 유출 포털을 직접 검색하십시오
브라우저에 ocrportal.hhs.gov를 직접 입력하십시오(통지문의 링크나 QR 코드를 통하지 말고). "View HIPAA Breach Reports"를 선택하고 회사를 찾아보십시오. 목록에는 기관명, 주, 유형(의료기관 또는 비즈니스 어소시에이트), 영향을 받은 인원, 제출일이 나옵니다.
이 포털은 500명 이상에게 영향을 준 유출만 포함하며, 벤더의 유출이 의료기관 이름으로 보고되기도 하므로, 목록에 없다는 사실만으로 통지문이 가짜라고 단정할 수는 없습니다.
주 법무장관 목록의 샘플 통지문과 비교하십시오
캘리포니아 법무장관의 유출 목록(oag.ca.gov/privacy/databreach/list)에는 각 회사가 제출한 샘플 통지문이 게시되어 있습니다. 우리가 다룬 여섯 사례 중 다섯 건이 그곳에 올라 있었습니다(확인 당시 NYC Health + Hospitals는 찾지 못했습니다).
받은 통지문을 샘플 옆에 놓고 상담 전화번호, 신용 모니터링 등록 사이트의 도메인, 등록 기한을 비교하십시오. 샘플은 이름과 번호를 비워 둔 양식이므로, 문구 형식과 연락처가 맞는지 확인하십시오.
검증한 사이트에서만 SSN을 입력하십시오
정상적인 신용 모니터링 등록은 SSN을 요구하므로, 확인하지 않은 사이트에는 절대 입력하지 마십시오.
QR 코드는 정상 통지문에도 들어 있습니다(Baylor Genetics와 CareCloud 샘플 모두 등록용 QR 코드가 있습니다). 따라서 QR 코드 유무로 판단하지 마십시오. 이동하는 도메인이 주 정부에 제출된 샘플과 일치하는지로 판단하십시오. 직접 걸지 않은 전화나 문자에서 SSN, 카드 번호 또는 비밀번호를 "확인"해 주지 마십시오(피싱이란? 참고).
확인되었다면 신용 동결 등으로 번호의 악용을 막으십시오
기한 전에 모니터링에 등록한 뒤 다음을 하십시오.
- SSN이 관련되었다면 Equifax, Experian, TransUnion 세 곳 모두에 신용 동결 설정
- 다른 사람이 본인 이름으로 세금 신고를 하지 못하도록 막는 번호인 IRS IP PIN 발급
- 받지 않은 진료에 대한 Explanation of Benefits 명세서 확인
자녀를 포함한 미국용 체크리스트 전문은 DentaQuest 기사에 한 페이지로 정리되어 있습니다. NYC Health + Hospitals에 기재된 것처럼 온라인 계정 자격 증명이 관련되었다면 해당 비밀번호도 변경하십시오.
정상 통지문의 특징
- 본인의 의료기관, 보험사 또는 고용주를 언급하고 그 회사와의 관계를 설명합니다
- 회사가 HHS 포털 또는 주 법무장관 목록에 있습니다
- 전화번호와 등록 사이트가 주 정부에 제출된 샘플 통지문과 일치합니다
- 무료 신용 모니터링을 제공하며 등록 기한이 있습니다(등록은 본인이 직접 합니다)
사기의 특징
- 전화, 문자 또는 이메일이 SSN, 카드 번호 또는 비밀번호를 "확인"하라고 요구합니다
- 결제나 수수료를 요구합니다
- 연락처나 도메인이 공개 목록이나 샘플과 일치하지 않습니다
- 오늘 행동하라고 재촉합니다(실제 등록 기한은 보통 몇 달 뒤입니다)
여섯 사례 한눈에 보기
HHS 민권국 유출 포털(2026년 9월 30일 확인)과 각 기관의 통지문을 기준으로 합니다. 인원수는 HHS 포털의 수치입니다.
| 기관 | 하는 일 | HHS 기관 유형 | 영향(HHS) | HHS 제출일 | 접근 기간(기관 발표 기준) |
|---|---|---|---|---|---|
| NYC Health + Hospitals | 뉴욕시 공립 병원 시스템 | 의료기관 | 1,800,000 | 2026년 3월 24일 | 약 2025년 11월 25일 ~ 2026년 2월 11일 |
| Navia Benefit Solutions | 급여 행정(HRA, FSA, COBRA) | 비즈니스 어소시에이트 | 2,151,330 | 2026년 3월 18일 | 2025년 12월 22일 ~ 2026년 1월 15일 |
| Xsolis | 의료기관을 위한 사례 및 이용 관리 | 비즈니스 어소시에이트 | 1,396,519 | 2026년 6월 5일 | 2026년 1월 20일 피싱 공격으로 발생(1월 22일 인지) |
| Unlimited Technology Systems | 의료기관용 진료 관리 소프트웨어 | 비즈니스 어소시에이트 | 3,803,750 | 2026년 7월 21일 | 2025년 10월 5일 ~ 10일 |
| CareCloud | 전자 건강기록 및 기타 의료 IT | 비즈니스 어소시에이트 | 3,756,469 | 2026년 7월 24일 | 2026년 3월 10일 ~ 16일 |
| Baylor Genetics | 유전자 및 임상 검사 | 의료기관 | 2,810,878 | 2026년 8월 14일 | 2026년 6월 11일 ~ 17일 |
숫자 읽는 법
HHS 포털의 수치는 당시 기관이 보고한 내용이며 나중에 갱신될 수 있습니다. Navia의 경우 HHS 포털에는 2,151,330명으로 나와 있지만, 언론 보도에 따르면 메인주 법무장관에 제출한 자료에는 2,697,540명으로 기재되어 있습니다(메인주 목록은 직접 열어 보지 못했습니다).
NYC Health + Hospitals의 통지문에는 인원수가 없으며, 1,800,000명은 HHS 포털의 수치입니다. 이 글은 여섯 사례를 피해 "심각성"에 따라 순위를 매기지 않습니다.
당신(환자 또는 가입자)
알고 있는 것은 병원, 보험사 또는 고용주뿐
↓ 진료 / 등록→
의료기관, 보험사 또는 고용주
업무 일부를 외부 회사에 맡김
↓ 벤더→
벤더 또는 검사기관
EHR / 진료 관리 / 이용 관리 / 급여 행정 / 검사
받은 통지문
벤더 → 의료기관에 보고 → 당신에게 통지 (모르는 이름으로 올 수 있음)
확인 방법(직접 여십시오)
HHS 유출 포털(ocrportal.hhs.gov) / 주 법무장관 유출 목록과 샘플 통지문
2026년 3월 13일 및 18일
Navia가 대체 통지(개별 서한이 아닌 방식의 고지)를 시작하고, 3월 18일경부터 서면 통지를 발송합니다. HHS 제출일: 3월 18일.3월 24일
NYC Health + Hospitals가 유출 통지문을 게시합니다(HHS 제출일과 같은 날).3월 27일
CareCloud가 SEC에 3월 16일 장애를 밝히는 Form 8-K를 제출합니다.6월 5일
Xsolis가 보도자료로 사고를 발표합니다(HHS 제출일과 같은 날).7월 21일
Unlimited Technology Systems의 HHS 제출일.7월 24일
CareCloud의 HHS 제출일(3,756,469명 영향).8월 14일
Baylor Genetics의 서한 날짜(HHS 제출일과 같은 날).
각 기관이 공개한 내용
각 기관의 통지문, 서한, 주 정부 제출 자료를 바탕으로 합니다. 고객 의료기관과, 기관들이 고용한 조사 기관 및 서비스 회사는 이름을 밝히지 않았습니다.
- 무슨 일이 있었나
- 2026년 2월 2일 의심스러운 활동을 발견했다고 밝힘. 2025년 11월 25일경부터 2026년 2월 11일경 사이에 무단 행위자가 시스템에 접근하고 파일을 복사했다고 함
- 접근 경로(기관 설명)
- 무단 행위자가 제3자 벤더의 보안 침해로 접근 권한을 얻었을 수 있다고 밝힘
- 정보
- 통지문에 따르면 개인에 따라 건강보험 정보, 진료 정보(진단, 약물, 검사 결과, 영상 등), 생체 정보(지문과 손바닥 무늬), 청구 및 결제 정보, SSN, 운전면허 및 기타 정부 발급 신분증 번호, 납세자 번호 또는 IRS 발급 신원 보호 번호, 정밀 위치정보, 카드 번호, 금융 계좌 정보 또는 자격 증명, 온라인 계정 자격 증명이 포함되었을 수 있음
- 대응
- 탐지 규칙 강화 및 원격 접속 관리 정책 업데이트. 24개월 무료 신용 모니터링. 상담 전화 (844) 403-4518
- 무슨 일이 있었나
- 2026년 1월 23일 의심스러운 활동을 발견했다고 밝힘. 2025년 12월 22일부터 2026년 1월 15일 사이에 무단 행위자가 정보에 접근하고 획득했을 수 있다고 함
- 정보
- 이름, 생년월일, SSN, 전화번호, 이메일 주소, 건강보험 정보. 건강보험 정보는 HRA, FSA 또는 COBRA 가입 여부만을 의미하며, 종료일 및 선택일 같은 항목에 한정된다고 함. 회사는 청구 또는 금융 데이터는 공개되지 않았다고 밝힘
- 통지
- 3월 13일부터 대체 통지, 3월 18일경부터 서면 통지(네브래스카 법무장관 제출 자료 기준). 12개월 무료 신용 모니터링. 상담 전화 (844) 443-1645
- 무슨 일이 있었나
- 1월 22일 2026년 1월 20일의 표적 피싱 공격으로 발생한 무단 활동을 인지했다고 밝힘. 접근을 차단하고 영향을 받은 호스트와 사용자 계정을 격리했으며, 행위자가 제한된 수의 파일을 획득했다고 함
- 정보
- 통지문에 따르면 개인에 따라 이름, 주소, 생년월일, 건강보험 정보, SSN, 진료 정보가 포함되었을 수 있음
- 대응
- 샘플 통지문에 따르면 모든 사용자와 주요 계정의 비밀번호 재설정, 모니터링 강화, 자격 증명 관리 강화 등의 조치를 취함. 12개월 무료 신용 모니터링. 상담 전화 (844) 403-4585
- 무슨 일이 있었나
- 2025년 10월 19일 상업용 데이터센터에서 무단 활동을 발견했다고 밝힘. 2025년 10월 5일부터 10일 사이에 무단 행위자가 일부 개인 정보의 사본을 획득했다고 함
- 정보
- 통지문에 따르면 개인에 따라 건강보험 및 환자 잔액 정보, 진료 정보(진료 기록 번호, 진료일, 진단), 스캔된 문서(운전면허 또는 기타 정부 발급 신분증, 보험 카드, 접수 양식), SSN, 생년월일 및 연락처가 포함되었을 수 있음. 회사는 전체 진료 기록, 의료 영상, 카드 또는 은행 계좌 정보는 포함되지 않았다고 밝힘
- 대응
- 2년 무료 신용 모니터링. 상담 전화 (844) 576-3063
- 무슨 일이 있었나(8-K)
- 2026년 3월 16일 CareCloud Health 부문에서 일시적인 네트워크 장애가 발생해, 여섯 개 EHR 환경 중 한 곳의 기능과 데이터 접근이 약 8시간 부분적으로 영향을 받았고, 그날 저녁 복구되었음
- 조사 결과(서한)
- 2026년 3월 10일부터 16일 사이에 무단 제3자가 클라우드 환경 중 하나에 접근했고, 그 안의 데이터베이스에서 데이터를 유출했다고 주장함. 회사는 6월 24일 영향받은 정보를 확인했다고 밝힘
- 정보
- 서한에는 이름 전체와 사람마다 다른 항목이 나열되어 있음. 언론 보도에 따르면 주 정부 제출 자료에는 SSN, 운전면허 및 기타 정부 발급 신분증 번호, 금융 계좌 번호, 카드 번호, 진료 및 건강보험 정보가 기재되어 있음
- 대응
- 12개월 또는 24개월 무료 신용 모니터링(샘플 등록 기한: 2026년 12월 17일)
- 무슨 일이 있었나
- 2026년 6월 15일경 의심스러운 활동을 확인했다고 밝힘. 2026년 6월 11일부터 17일 사이에 무단 제3자가 네트워크 일부와 데이터에 접근했다고 함. 영향받은 사람에 대한 검토는 7월 30일경 완료됨
- 정보(환자)
- 이름과 생년월일, 의료 검사 정보, 검사 결과, 그리고 건강보험 정보가 포함되었을 수 있음. 일부 극히 제한된 환자의 SSN. 일부 직원의 경우 SSN, 정부 발급 신분증 번호, 금융 계좌 정보
- 대응
- 12개월 또는 24개월 무료 신용 모니터링(등록 기한 2026년 11월 14일). 상담 전화 1-866-200-0985
이 사이트의 시각: 데이터를 준 곳을 넘어, 그 뒤의 벤더까지 살펴보십시오
환자들은 정보를 병원, 보험사 또는 고용주에게 맡겼습니다. 그런데 이 여섯 사례 중 다섯 건은 그보다 훨씬 뒤쪽인 청구, 기록, 이용 관리, 급여, 검사 회사에서 발생했습니다. 여섯 번째인 NYC Health + Hospitals는 벤더의 침해가 진입점이었을 수 있다고 밝혔습니다. 정보의 안전은 여러분이 직접 고르지 않은 회사들의 방어 수준에 달려 있습니다.
환자에게 이는 두 가지를 뜻합니다. 첫째, 모르는 회사의 통지문은 무조건 사기라고 가정하는 방식이 2026년에는 더 이상 통하지 않습니다. 둘째, 반대로 사기꾼도 모르는 회사를 사칭할 수 있습니다.
통지문의 내용만으로 판단하지 마십시오. 직접 여는 공개 기록이나, 독립적으로 찾은 의료기관의 공식 연락처로 확인하십시오. HHS 포털과 주 법무장관 사이트의 샘플 통지문은 환자가 스스로 통지문을 확인할 수 있는 몇 안 되는 방법입니다.
같은 해의 다른 사례를 다룬 이 사이트의 기사
"모르는 회사에서 온 통지문"이라는 유형의 사례는 각각 별도의 기사가 있습니다.
- DentaQuest(치과 및 시력 급여): 회사는 직원 한 명이 속아서 자격 증명과 MFA 코드를 제공했다고 밝혔습니다. 미국용 한 페이지 체크리스트(신용 동결, IP PIN, 자녀 관련)도 이 기사에 있습니다 → DentaQuest 유출과 회원이 해야 할 일
- Aesto Health(의료 기록 이관 및 보관): 오래된 의료 기록을 보관하는 회사의 유출 → Aesto Health 유출
- Medtronic(의료기기 제조사): 기기 안전성과 환자가 해야 할 일 → Medtronic 유출
환자 데이터를 외부에 보내는 의료기관 및 기업을 위한 내용
환자 데이터를 넘긴 모든 곳을 한 장의 목록으로 정리하십시오
EHR, 청구 및 진료 관리, 이용 관리, 급여 행정, 검사, 기록 보관. 환자 또는 가입자 데이터를 보관하는 모든 회사를 어느 부서가 계약했든 상관없이 나열하고, 넘긴 항목(SSN, 신분증 스캔, 생체 정보 포함), 기록 수, 보관 연수를 적으십시오.
이러한 통지문 대부분은 벤더에서 의료기관을 거쳐 환자에게 전달됩니다. 이 목록이 없으면 벤더가 연락했을 때 몇 명의 환자가 영향을 받았는지, 어떤 항목이 관련되었는지 신속히 답할 수 없습니다. 방법은 보안 인벤토리와 같습니다.
비즈니스 어소시에이트 계약의 세 조항을 확인하십시오
연방 규정은 비즈니스 어소시에이트 계약에 비즈니스 어소시에이트가 다음을 하도록 명시할 것을 요구합니다.
- (1) 계약에 규정되지 않은 이용 또는 공개(유출 포함)를 보호 대상 기관(covered entity)에 보고한다(45 CFR 164.504(e)(2)(ii)(C));
- (2) 하위 계약자가 같은 제한에 동의하도록 보장한다(항목 (D)); 그리고
- (3) 계약 종료 시 가능한 경우 보호 대상 건강정보를 모두 반환 또는 파기하고 사본을 보관하지 않는다. 불가능한 경우에는 계약상 보호를 연장하고, 반환이나 파기를 불가능하게 만드는 목적으로만 추가 이용과 공개를 제한한다(항목 (J)).
(3)은 반환 또는 파기가 완료되었는지 확인하는 절차, 또는 불가능한 경우 계속되는 보호와 목적 제한을 확인하는 절차가 필요합니다. "종료된 계약" 열을 사용해 남아 있는 환자 데이터와 그 이용을 보호하고 제한하는 조건을 확인하십시오.
자사와 벤더 모두에게 피싱에 강한 MFA를 요구하십시오
Xsolis는 자사의 사고가 표적 피싱 공격으로 발생했다고 밝혔습니다. 미국 사이버보안 및 인프라 보안국(CISA)은 널리 쓰이는 피싱 저항 방식으로 FIDO/WebAuthn(패스키 및 FIDO2 보안 키)을 제시합니다.
환자 데이터에 접근하는 관리자 계정과 원격 접속부터 시작하십시오. 벤더를 선정하거나 갱신할 때 벤더 설문에 한 줄을 추가하십시오. "관리자 계정과 원격 접속에 피싱에 강한 MFA를 사용합니까?" 코드 기반 MFA가 어떻게 전달되는지는 DentaQuest 기사에서 다룹니다.
제공하는 항목을 줄이십시오
Unlimited Technology Systems의 통지문은 개인에 따라 정부 발급 신분증과 보험 카드의 스캔본이 관련되었을 수 있다고 밝혔습니다. NYC Health + Hospitals도 일부 사람들의 지문과 손바닥 무늬가 관련되었을 수 있다고 나열합니다.
SSN과 생체 정보는 바꿀 수 없습니다. 벤더에게 보내는 항목을 하나씩 살펴보며 그 업무에 정말 필요한지 묻는 것이, 유출이 실제로 발생했을 때 피해를 줄이는 가장 확실한 방법입니다.
유출 후 누구에게 알려야 하는지 신속히 파악할 수 있도록 준비하십시오
통지문에서 보듯이, 모든 사고 뒤에는 누구의 기록과 어떤 항목이 영향을 받았는지 검토하는 과정이 따릅니다. 일반적으로 평소에 어떤 파일에 누구의 기록과 어떤 항목이 들어 있는지 알고 있다면, 사고 후 영향받은 사람을 파악하는 일이 더 빨라집니다.
전반적인 기준은 기관을 위한 최소 보안 기준을 참고하십시오.
환자와 가족: 가장 즉각적인 위험은 통지문 뒤에 따라오는 그럴듯한 메시지입니다
이러한 통지문들은 이름, 주소, 전화번호, 생년월일, 보험 정보가 관련되었을 수 있다고 말합니다. 그럴듯한 전화, 이메일 또는 편지를 만들기에 충분한 정보입니다.
누군가 "유출 보상금을 처리하기 위해" 또는 "보험을 다시 등록하기 위해" SSN이나 계좌 번호를 요구하면 전화를 끊고, HHS 포털과 주 법무장관 샘플 통지문에서 확인한 번호로 다시 거십시오.
출처(공개 기록)
이 글의 사실은 아래의 공식 통지문과 공개 기록에서 가져왔습니다. 인원수는 기관, HHS 또는 주 정부 당국이 밝힌 수치만 사용합니다. 언론 추정과 공개되지 않은 원인에 대한 추측은 사용하지 않습니다. 고객 의료기관과 기관의 벤더 및 조사 기관은 역할로만 기술합니다.
- NYC Health + Hospitals, "Notice of Data Breach"(2026년 3월 24일) — nychealthandhospitals.org
- Xsolis, Inc., "Xsolis, Inc. Provides Notice of Data Security Incident"(PR Newswire, 2026년 6월 5일) — prnewswire.com
- CareCloud, Inc., Form 8-K(2026년 3월 27일 제출; 보고일 3월 24일) — sec.gov
- California Attorney General, "Data Security Breach" 목록 및 샘플 통지문(CareCloud, Unlimited Technology Systems, Xsolis, Baylor Genetics, Navia) — oag.ca.gov / CareCloud / Unlimited Technology Systems / Xsolis / Baylor Genetics(PDF) / Navia(PDF)
- Baylor Genetics, "Security Update" — baylorgenetics.com
- Navia의 네브래스카 법무장관 제출 자료(통지 날짜 및 관련 데이터) — nebraska.gov(PDF)
- HHS 민권국, "Breach Portal"(여섯 사례 전체의 인원수, 기관 유형, 제출일; 2026년 9월 30일 확인) — ocrportal.hhs.gov
- 연방 규정 집, 45 CFR 164.504(e)(비즈니스 어소시에이트 계약) — ecfr.gov
- CISA, "Implementing Phishing-Resistant MFA"(사실 시트) — cisa.gov(PDF)
- 언론 보도(Navia의 메인주 제출 인원수, CareCloud 주 정부 제출 자료의 데이터 항목): SecurityWeek — Navia / CareCloud
업데이트 기록
2026-10-19: Xsolis, Unlimited Technology Systems, NYC Health + Hospitals의 개인별 가능한 정보 관련성을 명확히 했습니다. 계약 종료 시 반환 또는 파기 조건과 통지문 확인 방법을 바로잡았습니다. 이번 검토에서는 HHS 인원수와 보고 날짜를 다시 검증할 수 없었으며, 아래의 9월 30일 수치는 그대로 유지됩니다.
2026-09-30: 최초 버전. 각 기관의 통지문과 서한, CareCloud의 Form 8-K, 캘리포니아 및 네브래스카 법무장관 게시 자료, HHS 민권국 유출 포털(2026년 9월 30일 기준), 연방 규정, CISA 지침을 바탕으로 작성했습니다. 기관이나 규제 당국이 추가로 발표하면 갱신하겠습니다.
다음으로 읽기
- 같은 시기의 사례로, 혈당 측정기 제조사의 경우 직원에게 전화로 사회공학 공격을 한 것이 시작점이었습니다: Dexcom 데이터 유출(2026년 11월)
- 청력 진료 기관 유출(보도에 따르면 약 133만 명): Amplifon Americas 유출
- 전사 및 코딩 계약업체가 네 개 주와 합의: Perry Johnson & Associates 유출 합의
- 건강보험 마켓플레이스 사례: Covered California(등록 상담원 데이터, 피싱)
- 단일 대형 사례: iRhythm(HHS에 8,179,772명으로 등재)
- 상세 사례: DC Medicaid(공개 보고서에 남은 개인 데이터)
- 상세 사례: AdaptHealth(가정용 의료 장비, 410만 명)
- 미국용 한 페이지 체크리스트: DentaQuest 유출과 회원이 해야 할 일
- 오래된 의료 기록을 보관하는 회사의 유출: Aesto Health 유출
- 기기 제조사의 유출: Medtronic 유출
- 병원이 진료를 중단해야 했던 경우: 2026년 사이버 공격으로 진료가 중단된 병원 네 곳
- 용어: 피싱이란? / 패스키란?
- 2026년의 다른 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)