해킹 피해 크레소티 "질병코드 등 의료 민감정보 침해 안돼"

• 침해 발생 서버 '스캐너 서비스 전용'…핵심 서버는 별도 IDC서 관리
• "사고 인지 직후 비인가 접근 경로 전면차단, 악성코드·백도어 전수 제거"
• "클라우드 환경 등 즉시 전환, 재발 방지 노력"

[데일리팜=강혜경 기자] 크레소티(대표 박경애)가 해킹으로 인해 약국·환자 정보 일부가 유출되는 피해를 당한 가운데, 질병코드 등 의료 민감정보는 유출에서 제외된 것으로 확인됐다.

크레소티는 9일 공식 입장을 통해 처방전 자동 입력 서비스 이지스캐너와 전자 문서화 보관서비스 팜다큐 등 자사 서버에 대한 외부의 비인가 접근으로 일부 데이터가 유출된 사실을 확인, 8일 개인정보보호위원회와 한국인터넷진흥원에 정식 신고를 완료했다고 밝혔다.

회사에 따르면 7일 오전 9시경 외부 공격자가 회사 측에 데이터 침해 사실을 알리는 이메일을 발송, 회사가 이를 확인하고 대응에 착수한 것으로 알려졌다.

회사는 "조사 결과 1일부터 3일 사이 처방전 스캐너 연동 서비스의 데이터 베이스 서버가 외부 공격에 노출돼 비인가 접근이 이뤄진 것으로 파악됐다"며 "현재 즉시 보완 조치를 진행하고 있다"고 설명했다.

유출된 정보를 보면 이지스캐너 서비스에서는 약국명, 대표자명, 사업자번호, 요양기관기호, 전화번호, 생년월일, 휴대폰번호, 이메일, 주소와 계좌 정보 일부가 유출된 것으로 파악되며, 팜다큐 서비스의 경우 약국기호, 약국명, 병원기호, 병원명, 교부일자, 교부번호와 함께 환자 성명, 생년월일, 암호화된 주민등록번호, 마스킹 처리된 카드번호 일부가 포함됐다.

질병코드나 처방 약품 등 의료 민감정보는 서버에 저장되어 있지 않아 이번 사고로 유출되지 않은 것으로 파악된다.

침해가 발생한 서버가 스캐너 서비스 전용으로 별도 운영되던 시스템으로, 회사의 핵심 서비스는 이와 물리적으로 분리된 별도의 IDC에서 안정적으로 관리되고 있어 사고의 영향을 받지 않았다는 것.

다만 정확한 피해 규모는 한국인터넷진흥원 등 유관기관 조사 결과가 확정되는 대로 재공지한다는 방침이다.

회사 측은 "사고 인지 직후 비인가 접근 경로를 전면 차단, 악성코드와 백도어를 전수 제거했다"며 "이지스캐너 서비스를 클라우드 환경으로 즉시 전환하는 한편 인프라 보안 수준을 근본적으로 강화해 나가겠다"고 말했다.

또 정보주체 개별 통지와 홈페이지 공지를 완료하고, 전체 서비스 시스템에 대한 자율점검과 재발방지 대책 이행에 나선다는 방침이다.

크레소티 관계자는 "이용 약국과 환자분들께 불편과 심려를 끼쳐드린 점 깊이 사과드린다"며 "당국의 조사에 성실히 협조하고 재발 방지를 위한 시스템 개선에 총력을 다하겠다"고 강조했다.