체인지헬스케어 랜섬웨어 공격·1억9000만 명 규모 美 최대 의료정보 유출 사건

랜섬웨어 조직 알프브이(ALPHV, 일명 블랙캣)의 계열 해커는 2월 12일 미국 최대 의료비 청구·결제 처리업체 체인지헬스케어(유나이티드헬스그룹 자회사)의 시트릭스 원격접속 포털을 통해 내부망에 최초 침투했다. 해당 포털에는 다중인증(MFA)이 적용돼 있지 않았던 것으로 나중에 확인됐으며, 이는 사건이 걷잡을 수 없이 커진 핵심 원인으로 지목됐다. 해커는 침투 후 약 9일간 시스템 내부를 은밀히 돌아다니며 데이터를 빼돌리고 랜섬웨어를 심을 준비를 했다. 유나이티드헬스그룹 CEO 앤드루 위티는 이후 상원 청문회에서 이 보안 공백을 인정하고 공개 사과했다. 이 침투는 이후 미국 의료 시스템 역사상 최악의 사이버 공격으로 이어지는 출발점이 됐다.

해커는 2월 21일 체인지헬스케어 시스템 곳곳에 랜섬웨어를 심어 파일을 암호화하고 시스템을 마비시켰으며, 이 과정에서 약 4테라바이트(TB)에 달하는 환자 진료기록과 보험 정보를 탈취했다고 주장했다. 체인지헬스케어는 미국 약국·병원 처방전과 보험금 청구의 상당수를 처리하는 핵심 인프라였던 탓에 시스템이 다운되자 전국 약국에서 처방약 조제가 지연되고 병원들은 보험금 청구를 하지 못해 심각한 현금흐름 위기에 빠졌다. 유나이티드헬스그룹은 즉각 문제 시스템을 네트워크에서 차단하는 조치를 취했지만 정상화까지는 수개월이 걸렸다. 이 사건은 '미국 역사상 가장 중대한 의료 부문 사이버 공격'으로 불린다.

유나이티드헬스그룹은 3월 3일 알프브이 조직과 연계된 지갑으로 비트코인 약 2200만 달러 상당을 송금해 몸값을 지불했다. CEO 앤드루 위티는 훗날 상원 청문회에서 이 결정이 '내가 내려야 했던 가장 힘든 결정 중 하나'였다고 밝히며, 환자 데이터가 다크웹 등에 유포되는 것을 막기 위한 불가피한 선택이었다고 해명했다. 그러나 몸값을 지불했음에도 회사는 탈취된 데이터를 돌려받지 못했다. 이 사실이 알려지면서 랜섬웨어 몸값 지불의 실효성에 대한 논쟁이 미국 사이버보안 업계 전반으로 확산됐다. 규제 당국과 의원들은 몸값 지불이 오히려 향후 공격을 부추긴다고 비판했다.

몸값을 받은 알프브이 조직은 정작 실제 침투를 수행한 계열 해커에게는 대가를 지불하지 않고 잠적하는 이른바 '엑시트 스캠'을 벌였다. 대가를 받지 못한 해당 해커는 이미 탈취해 둔 환자 데이터를 또 다른 랜섬웨어 조직 랜섬허브(RansomHub)에 넘겼고, 랜섬허브는 이를 근거로 유나이티드헬스그룹에 재차 갈취를 시도했다. 이는 랜섬웨어 생태계 내에서 조직 간 배신과 데이터 재판매가 실제로 벌어질 수 있음을 보여준 이례적 사례로 보안 업계의 주목을 받았다. 결과적으로 피해 기업은 몸값을 두 차례 요구받는 이중 갈취 상황에 놓이게 됐다. 이 사건 이후 랜섬웨어 대응 전략 전반에 대한 재검토 요구가 커졌다.

2차 갈취에 나선 랜섬허브는 4월 들어 탈취한 환자 데이터 일부를 다크웹에 실제로 공개하며 유나이티드헬스그룹을 압박했다. 유출 데이터에는 환자의 이름, 주소, 사회보장번호, 진단 정보, 처방 내역, 보험 정보 등 민감한 개인정보가 대량으로 포함된 것으로 파악됐다. 유나이티드헬스그룹은 이번 유출로 영향을 받은 사람의 규모를 파악하기 위해 수개월에 걸친 조사를 진행했으며, 초기 추정치는 계속 상향 조정됐다. 이 사건은 이후 미국 보건복지부 산하 시민권리국(OCR)에 사상 최대 규모의 의료정보 유출 사건으로 보고됐다. 병원과 약국 등 하위 협력업체들도 잇따라 별도의 통지 의무를 지게 됐다.

앤드루 위티 CEO는 5월 1일 미국 상원 재정위원회 청문회에 출석해 회사가 2200만 달러의 몸값을 비트코인으로 지불했다는 사실을 공개적으로 처음 인정했다. 그는 해커들이 다중인증이 적용되지 않은 시트릭스 원격접속 포털을 통해 침입했다는 점도 시인하며 보안 관리 부실에 대한 책임을 인정했다. 의원들은 미국 의료 결제 인프라의 상당 부분이 사실상 단일 기업에 집중돼 있다는 점, 그리고 그 기업의 기초적인 보안 조치조차 미흡했다는 점을 강하게 질타했다. 이 청문회를 계기로 의료 부문 사이버보안 규제 강화 법안 논의가 본격화됐다. 위티는 재발 방지를 위해 전사적 보안 투자를 확대하겠다고 약속했다.

체인지헬스케어는 7월 31일 미국 보건복지부에 제출한 갱신 보고서에서 이번 유출로 영향을 받은 사람의 수를 약 1억9270만 명으로 상향 조정했다고 밝혔다. 이는 미국 전체 인구의 약 3분의 2에 해당하는 규모로, 미국 역사상 단일 사건으로는 최대 규모의 의료정보 유출로 공식 기록됐다. 종전까지 최대 규모였던 2015년 앤섬 보험사 유출 사건의 피해자 수(약 7880만 명)를 두 배 이상 뛰어넘는 수치다. 이처럼 조사가 진행될수록 피해 범위가 계속 확대된 것은 체인지헬스케어의 데이터가 미국 의료 시스템 전반에 걸쳐 광범위하게 연결돼 있었기 때문으로 분석된다. 각 주 검찰총장들은 별도의 집단소송과 조사를 이어갔다.

2026년 2월 기준으로 이번 사건과 관련한 연방 다건병합소송(MDL)에서 아직 최종 글로벌 합의는 이뤄지지 않은 상태다. 담당 판사 프랭크는 2025년 5월 연방·주 법원 간 조율을 촉구하며 조기 합의 논의를 지원했지만, 합의가 성사되지 않을 경우 배심원 반응을 가늠하기 위한 대표소송(벨웨더 트라이얼) 일정을 잡을 것으로 예상된다. 법률 전문가들은 2017년 앤섬 사건의 1억1500만 달러 합의 규모를 고려할 때 이번 체인지헬스케어 사건의 최종 합의금은 그보다 훨씬 클 것으로 전망하고 있다. 소송에는 개인 피해자뿐 아니라 병원·약국 등 사업자 단체도 다수 참여하고 있다. 사건 발생 2년이 지난 시점에도 법적 절차와 피해 보상은 여전히 진행 중이다.