사이버 범죄의 표적이 된 의료 산업 (하지만 우리는 맞서 싸울 수 있습니다)

이 기사의 일부는 Cyber Defense Magazine에 게재되었습니다. 본 사이트의 배포를 위해 업데이트되었습니다.

오늘날 사이버 공격은 일상이 되었습니다. 사람들은 금융에서 항공, 스마트폰이나 신호등과 같은 다양한 기기에 이르기까지 모든 것에 영향을 미치는 새로운 취약점이나 침해 사고 소식을 거의 당연하게 받아들입니다. 심지어 우리의 가정도 더 이상 완전히 안전하지 않습니다. 도시 전체가 매일같이 공격받고 있으며, 범죄자들은 손상된 중요 서비스를 복구하는 대가로 수백만 달러의 몸값을 요구하고 있습니다.

하지만 우리가 여전히 안전하다고 느낄 수 있었던 유일한 곳은 병원이었습니다. 사람들은 의료 서비스를 받을 때 가장 취약해집니다. 인간적인 도리라면 지역 의료진이 평화롭게 숭고한 임무를 수행할 수 있도록 내버려 두어야 마땅합니다. 불행히도 현실은 그렇지 않습니다. 오늘날의 사이버 범죄자들에게는 도덕성이나 최소한의 양심조차 찾아보기 힘듭니다. 사실 의료 분야는 범죄자들이 진단, 치료, 생명 유지 장치를 직접 공격하는 차세대 '거대' 사이버 보안 격전지가 될 수 있습니다. 전 세계적인 보건 위기가 눈앞에서 펼쳐지는 상황에서, 이는 여러 측면에서 반드시 해결해야 할 중요한 문제입니다.

위협은 그 어느 때보다 개인적인 영역으로 파고들고 있습니다.

의료 산업에 대한 공격은 새로운 일이 아닙니다. 사이버 범죄자들은 환자 정보, 개인 데이터, 금융 기록이 암시장과 다크웹에서 얼마나 가치 있는지 이미 알고 있습니다. 이러한 정보는 환자의 돈을 직접 갈취하거나 피싱 및 기타 사기 범죄의 발판으로 사용될 수 있습니다. 최근 가장 파괴적인 공격들이 의료 분야를 겨냥한 것은 놀라운 일이 아닙니다. Anthem Healthcare는 8천만 명의 환자 기록을 도난당했습니다. Premera는 1,100만 개의 개인 파일을 유출했습니다. CareFirst는 110만 건의 기록이 손상되었으며, 이 목록은 끝없이 이어집니다.

현재로서는 의료 기기를 직접 겨냥한 공격은 드문 것으로 보입니다. 하지만 최소한 한 보고서에 따르면, 병원 측이 침입 사실을 보고하지 않거나 사이버 보안 교육을 받지 못한 직원이 눈앞에서 벌어지는 공격을 인지하지 못하는 등 문제가 훨씬 더 광범위할 수 있다고 합니다. 보안 연구원들은 악성 코드를 사용하여 CAT 스캔 및 MRI 결과에 가짜 종양을 추가하는 등 의료 기기를 무서운 방식으로 조작할 수 있음을 확실하게 입증했습니다. 공격자들이 현실 세계의 의료 기기에도 이미 이와 유사한 짓을 저지르고 있다고 생각하는 것은 그리 비약이 아닙니다.

또한 의료 분야는 사물인터넷(IoT) 기기에 대한 의존도가 높아지면서 사이버 공격에 독특하게 취약합니다. 인터넷에 연결되어 방대한 양의 정보를 생성하는 작은 센서들이 바로 그것입니다. 대체로 이러한 센서가 생성하는 정보, 통신 채널, 심지어 센서 자체를 보호하는 일은 거의 뒷전으로 밀려나 있었습니다. IoT 중심 네트워크에 숨어 있는 공격자가 악용할 수 있는 잠재적 취약점의 수는 사실상 무한대에 가깝습니다.

의료 분야의 IoT는 심각한 위험을 초래합니다.

20년 전에는 상상조차 못 했던 환자 치료의 핵심 서비스들이 IoT 기반 취약점과 기존의 전통적인 취약점 모두의 온상이 되고 있습니다. 전자 의무 기록, 원격 의료, 모바일 헬스케어는 모두 IoT가 제공할 정보의 도약을 기다리고 있었습니다. 의료 분야의 IoT 도입 의지가 놀라울 정도로 높은 것은 당연합니다. MarketResearch.com은 내년까지 의료 분야 IoT 시장이 1,170억 달러 규모에 도달하고, 그 이후에도 매년 15%씩 성장할 것으로 예측합니다.

이러한 환경에서 숙련된 공격자들은 의료 기기를 악용할 수 있는 수많은 취약점을 찾아낼 수 있습니다. 의료 기기에 내장된 IoT 센서는 일반적으로 두 가지 방식 중 하나로 데이터를 통신하고 생성합니다. 일부는 데이터를 수집한 후 분석을 위해 모든 결과를 인터넷으로 직접 전송합니다. 다른 일부는 포그 컴퓨팅(fog computing)이라 불리는 분산 네트워킹 방식을 사용하는데, 여기서 센서들은 일종의 미니 네트워크를 형성하여 중앙 저장소나 플랫폼과 공유할 데이터를 집단적으로 결정합니다. 이후 이 데이터는 추가 처리되거나 의료진이 직접 액세스할 수 있게 됩니다.

의료 분야의 사이버 보안 문제를 더욱 복잡하게 만드는 것은 이 산업이 데이터 처리 표준, 방법 또는 보호 조치를 수용하거나 합의한 적이 없다는 사실입니다. 역사적으로 의료 산업은 의료 기기에 자체적인 독점 기술을 제공하는 제조사들에 의해 운영되어 왔습니다. 오늘날 여기에는 내장형 IoT 센서, 기기가 사용하는 통신 채널, 수집된 데이터를 분석하기 위한 플랫폼이 포함됩니다. 이로 인해 대부분의 병원 네트워크는 해커들의 천국이 되거나, 최소한 보안 설정 오류부터 불충분한 전송 계층 보호에 이르기까지 모든 것을 악용할 수 있는 훌륭한 시험대가 됩니다. 그들은 교차 사이트 요청 위조(CSRF)부터 고전적인 XML 주입 공격까지 무엇이든 시도할 수 있습니다.

우리에게 필요한 반격의 기회는 바로 눈앞에 있습니다.

이러한 취약점이 악용될 경우 발생할 수 있는 파괴적인 결과에도 불구하고, 낙관할 수 있는 이유가 있습니다. 이러한 보안 버그는 범죄 거물들이 만들어낸 새로운 강력한 백도어가 아닙니다. 너무나 흔해서 계속해서 발견되는 것이 답답할 지경입니다. 이러한 문제가 계속 발생하는 이유 중 일부는 수정 사항이 있음에도 패치되지 않은 레거시 시스템을 사용하기 때문이지만, 다른 하나는 다시 한번 인적 요인과 관련이 있습니다. 개발자들은 엄청난 속도로 코드를 작성하고 있으며, 보안 모범 사례가 아닌 매끄럽고 기능적인 최종 제품에만 집중하고 있습니다.

너무 많은 소프트웨어가 만들어지고 있어 앱 보안(AppSec) 전문가들이 이를 따라잡기란 불가능하며, 이들이 반복되는 취약점을 매번 해결해 주기를 기대할 수도 없습니다. 애초에 취약점이 발생하지 않도록 하는 것이 더 저렴하고 효율적이며 훨씬 안전합니다. 이를 위해서는 보안 팀과 개발자가 협력하여 강력한 엔드투엔드 보안 문화를 조성해야 합니다.

훌륭한 보안 문화란 정확히 어떤 모습일까요? 몇 가지 핵심 요소는 다음과 같습니다.

• 개발자가 일반적인 버그를 해결하는 데 필요한 도구와 교육을 갖추고 그 중요성을 이해함
• 교육은 포괄적이고 이해하기 쉬우며 개발자의 강점을 활용함
• 교육 결과는 단순히 체크리스트를 채우는 식이 아니라 지표와 보고를 통해 적절히 측정됨
• 앱 보안 팀과 개발자가 같은 언어로 소통함: 긍정적인 보안 문화 속에서 이들은 비슷한 목표를 달성하기 위해 협력하기 때문임

재앙의 가능성은 여전히 엄청나며, 단순히 환자의 의료 기록이 도난당하는 수준을 넘어섭니다. 스캔 결과에 가짜 종양을 주입하면 암 진단 여부를 불안하게 기다리는 사람에게 치명적인 타격을 줄 수 있습니다. 약물을 바꾸거나 치료 계획을 변경하는 것은 실제로 환자를 사망에 이르게 할 수도 있습니다. 하지만 이익을 위해 선을 넘을 의지가 있는 사이버 범죄자가 단 한 명이라도 있다면, 이런 일은 반드시 일어날 것입니다. 어쩌면 다음 랜섬웨어 사기는 병원의 데이터를 암호화하는 대신 수천 명의 환자에 대한 진단을 망쳐버릴지도 모릅니다. 아니면 공격자가 돈을 받기 위해 약물 변경을 위협하며 말 그대로 생명을 담보로 몸값을 요구할 수도 있습니다.

이제 의료 분야의 사이버 보안에 있어 기존의 관행을 답습하는 방식은 더 이상 통하지 않습니다. 의료 분야의 사이버 보안 문제를 해결하기 위해 의료 기관 내 한두 명의 전문가에게만 의존할 수는 없습니다. 대신 의료용 앱과 기기를 개발하는 개발자들이 보안 의식을 갖추고, 잠재적인 문제를 미리 파악하여 배포 전에 해결해야 합니다. 의료 종사자들 또한 기본적인 사이버 보안 교육을 받을 필요가 있습니다.

건강보다 중요한 것은 없습니다. 의료 산업의 미래를 위한 사이버 보안 역량은 오늘날 전반적인 보안 인식을 높이는 데 달려 있습니다. 적절한 대응이 이루어지지 않는다면 이 문제는 앞으로 더욱 악화될 것입니다.