사물인터넷 기술이 의료기기로 확산되면서 이를 제어할 수 있는 인증 기술개발이 요구되고 있다. 또 디지털 헬스케어가 보급・확산되면서 관련 서비스 전반에 대한 보안 검토가 시급해지고 있다.

시장에서 의료정보가 고가로 거래되고 있기 때문에 의료 정보가 유출되더라도 피해를 최소화 할 수 있는 의료 데이터의 암호가 필수적인 것으로 나타났다. 로이터 통신에 따르면 의료정보는 신용카드정보와 비교하여 10배의 가치로 사이버블랙마켓에서 거래되고 있다.

지난 6월 초 사이버보안기업인 TrapX는 “공격 해부: 의료기기 납치”라는 제목의 보고서를 공개했다. 메드잭(MEDJACK, Medical device hijack)이라 부르는 이 보고서는 행킹 사례로 의료기관 세 곳의 의료기기가 해킹되어 환자의 의료정보가 외부로 전달되고 있었다고 보고했다. 해킹된 기기는 의료영상 저장․전송 시스템(PACS), 혈액 가스 분석기(BGA), X-레이 등이었다.

보고서에 나타난 병원 공격 사례를 보면 먼저 혈액 분석기는 응급처치, 수술 등에 자주 사용되는 기기이나, TrapX는 세 대의 혈액 분석기가 멀웨어에 감염되었으며 병원 전산망에 백도어가 생겼음을 보고했다.

이전까지 병원 관계자는 사이버 공격을 방어할 수 있는 강력한 보안장치가 되어 있다고 한다.

공격자는 탈취한 의료 데이터를 유럽 지역으로 전송했다. 발견된 멀웨어 중 하나는 제우스(Zeuos)로 사용자 로그인 정보를 탈취하는데 이용되며, 스텔스 기능이 내장되어 안티 바이러스 프로그램이 탐지하기 어려움이 있었다.

그 외 비밀번호․인증 정보를 탈취하는 시타델(Citadel)등이 발견됐다. 병원 내 데이터들이 암호화가 되어 있지 않아서 공격자들에 의해 검사, 진료, 처방 등의 데이터가 위․변조 될 수 있었다.

병원 전산망에 방화벽, 침입탐지 시스템 등이 설치되지만 디지털 의료기기 내 소프트웨어의 보안을 강화할 수는 없었다. 이는 제조사의 역할이지만 아직까지 메드잭에 대한 인식이 부족한 것으로 지적됐다.

다른 병원에서는 CT 스캐너, MRI 스캐너, X-레이, 초음파 장비로부터 생성된 이미지를 저장하는 PACS(Picture Archive and Communications Systems)가 공격당했다.

이 PACS는 봇넷처럼 동작하면서 명령과 제어권이 공격자에게로 넘어갔다. 측면 확대(lateral movement) 공격에 의해 간호사 워크스테이션, 기밀병원 데이터가 중국의 구이양(貴陽)으로 유출됐다. 이 같은 공격은 최종 사용자가 악의적 코드가 있는 웹사이트 방문으로부터 시작된 것으로 판단됐다.

또 다른 사례에서는 멀웨어에 의해 X-레이 시스템에 백도어가 설치된 것이 발견되었다.

공격자들은 헬스케어 데이터 탈취를 위해 특정 의료기기 모델을 대상으로 악의적 코드를 개발했다.

그 외 시나리오로 공격자들은 병원의 약물 펌프를 해킹하여 환자에게 정상범위를 초과한 투약으로 생명의 위협을 가할 수 있다.

보안 전문가에 따르면 최소 다섯 종류 이상의 약물 펌프에서 취약점이 발견되었으며, 공격자가 이를 이용하여 환자에게 위해를 가할 수 있다고 경고했다.

[한국뉴스투데이 신주영 기자]

Copyrights ⓒ 한국뉴스투데이(www.koreanewstoday.co.kr), 무단 전재 및 재배포 금지