Novocure 환자기록 침해｜정보시스템 접근과 확인된 영향

사건 개요

종양 치료기술 기업 Novocure는 2026년 9월 1일 미국 증권거래위원회(SEC)에 제출한 Form 8-K에서 자회사 정보시스템에 대한 무단 접근 사건을 공개했습니다. 자회사는 8월 중순 일부 정보시스템의 접근 사실을 인지했고, 회사는 사이버보안 사고 대응계획을 가동해 접근을 차단한 뒤 내부 조사에 착수했습니다. 독립 포렌식 전문가도 조사에 참여했습니다.

이 공시는 환자 관련 정보가 포함된 기업 정보시스템과 실제 치료기기를 분리해 영향 범위를 제시했다는 점이 중요합니다. 환자기록 일부가 노출됐지만 의료 치료기기에 대한 접근은 없었고, 회사 운영도 침해되지 않았다고 Novocure가 밝혔습니다. 의료 분야 사고를 평가할 때 기록 노출과 치료 제공 기능의 영향을 한 문장으로 묶지 않아야 하는 이유를 보여주는 사례입니다.

SEC 접수 시각은 미국 동부시간 9월 1일 오전 7시 00분 43초로, 한국시간으로는 같은 날 오후 8시 00분 43초입니다. Reuters도 같은 날 회사 공시를 인용해 사건과 환자기록 범위를 보도했습니다. 이번 분석은 공격자의 주장이나 유출사이트 게시물이 아니라 회사가 규제기관에 제출한 공개 문서에 담긴 사실을 중심으로 구성했습니다.

대응 경과

Novocure는 사고를 인지한 뒤 대응계획을 가동하고 사건을 차단했으며, 영향받은 환경을 조사하는 절차를 시작했습니다. 회사가 독립 포렌식 전문가를 투입했다는 내용은 내부 시스템 기록만으로 결론을 내리지 않고 외부 전문 분석을 병행했다는 뜻입니다. 이 단계에서는 접근 시점과 계정 사용, 열람된 저장소, 반출 가능 기록을 서로 연결해 범위를 좁히는 작업이 핵심입니다.

공시 시점에 Novocure의 모든 시스템은 정상 작동하고 있었고, 일상 업무도 중단되지 않았습니다. 회사는 노출된 기록을 분류하면서 법령상 통지 요건을 검토하고 있으며, 통지가 필요한 환자에게 개별 안내를 진행할 계획이라고 밝혔습니다. 대응 순서가 차단에서 끝나지 않고 포렌식 검토, 기록 분류, 통지 판단으로 이어지는 구조입니다.

공개된 기록 범위

가장 큰 집단은 미국 환자 1,400명 이상의 기록입니다. 이 기록에는 Novocure 내부 환자 식별번호만 포함됐으며, 환자 이름이나 그 밖의 식별정보는 포함되지 않았다고 회사는 공시했습니다. 내부 식별번호는 회사가 환자기록을 구분하기 위해 사용하는 값이므로, 이름·주소·연락처와 같은 직접 식별정보와는 성격이 다릅니다.

두 번째 집단은 미국 서부 지역의 환자 50명 미만입니다. 이 집단에는 내부 환자 식별번호 외에 추가적인 식별정보가 포함됐습니다. 또한 의료 제공자의 일반 연락정보와 직원의 직책·전화번호 같은 일반 연락정보도 노출 범위에 들어갔습니다. 공시가 서로 다른 기록 유형을 나눠 제시했기 때문에 1,400명 이상 전체가 동일한 수준의 개인정보 노출을 겪은 것으로 해석해서는 안 됩니다.

환자 내부 ID, 추가 식별정보, 의료진 연락정보, 직원 연락정보는 보호 우선순위가 서로 다릅니다. 내부 ID는 단독으로 개인을 직접 지목하는 정보가 아니지만 다른 업무 시스템의 값과 결합되면 환자기록을 연결하는 열쇠가 될 수 있습니다. 연락정보는 그 자체가 업무용이어도 실제 조직명과 담당 직책을 알고 접근하는 표적형 연락에 활용될 가능성을 고려해야 합니다. 이는 이번 사건에서 그러한 후속 공격이 발생했다는 뜻이 아니라, 노출된 필드에 맞춰 방어 범위를 설정해야 한다는 실무적 판단입니다.

치료기기와 업무시스템 경계

Novocure는 의료 치료기기에 대한 접근이 없었다고 명시했습니다. 이 문장은 환자 관련 기록이 노출된 정보시스템과 치료를 수행하는 장치 환경이 같은 범위로 침해된 것이 아님을 뜻합니다. 치료기기 자체의 제어, 작동 상태, 치료 제공 과정에 영향을 줬다는 근거로 확장해 해석하면 공시 범위를 벗어납니다.

의료기관과 의료기기 기업은 이 구분을 자체 점검에도 적용할 수 있습니다. 기업 계정과 업무용 저장소, 고객지원 시스템, 환자관리 기록이 놓인 영역을 먼저 확인하고, 치료 장치 관리망과의 인증·연동 경계를 별도로 검증해야 합니다. 하나의 계정이나 통합 관리도구가 두 영역을 함께 접근할 수 있다면 해당 계정의 로그인 기록, 권한 변경, 토큰 발급 내역을 우선 살펴야 합니다.

정상 운영이라는 사실도 데이터 영향과 별도로 읽어야 합니다. 시스템이 가동되고 업무가 이어졌더라도 기록 열람이나 반출 여부에 대한 조사는 필요합니다. 반대로 환자기록이 일부 노출됐다는 사실만으로 치료 장치의 안전성이 훼손됐다고 단정할 수도 없습니다. 운영 가용성, 기록 기밀성, 치료기기 무결성을 각각 다른 증거로 평가해야 정확한 사고 범위를 만들 수 있습니다.

기록별 보호 우선순위

내부 환자 식별번호가 포함된 기록은 해당 번호가 어떤 시스템에서 생성되고 어디에서 재사용되는지부터 확인하는 편이 좋습니다. 외부 포털이나 상담 절차에서 같은 번호를 인증 요소처럼 사용한다면 인증 흐름을 바꾸고, 번호만으로 환자정보를 조회할 수 없도록 추가 검증을 적용해야 합니다. 로그에서는 해당 번호가 대량 조회됐는지, 비정상적인 시간대나 계정에서 연속적으로 열렸는지 살펴볼 수 있습니다.

추가 식별정보가 포함된 소수 환자 기록은 개별 필드와 실제 위험을 연결해 통지 내용을 구성해야 합니다. 이름, 주소, 연락처처럼 노출된 항목에 따라 사칭 연락의 형태가 달라질 수 있으므로 안내문에 노출 항목과 공식 연락 채널을 분명히 기재하면 유용합니다. 의료진·직원 연락처에 대해서는 조직 내부 주소록과 공개 웹 정보의 결합이 표적형 메시지로 이어질 가능성을 고려해 메일·전화 확인 절차를 다시 공유해야 합니다.

기록 분류표에는 사람 수와 레코드 수를 따로 적어야 합니다. 한 사람이 여러 시스템에 중복 저장돼 있으면 파일 건수를 합산한 값과 실제 통지 대상자 수가 달라질 수 있기 때문입니다. Novocure 공시처럼 내부 ID만 포함된 집단과 추가 식별정보가 포함된 집단을 분리하고, 의료진·직원 연락정보는 환자 집단과 별도 항목으로 관리하면 통지 범위가 과장되거나 축소되는 오류를 줄일 수 있습니다.

데이터 흐름도에는 원본 저장소뿐 아니라 백업, 분석용 복제본, 고객지원 내보내기 파일도 포함해야 합니다. 같은 내부 환자 ID가 여러 위치에 존재한다면 접근 로그와 보존기간을 저장소별로 비교해 실제 열람 범위를 좁힐 수 있습니다. 반출량과 조회 패턴을 계정·호스트·시간대별로 정렬하면 단순 접속과 대량 접근을 구분하는 데 도움이 됩니다.

대응과 검증 순서

사고 대응은 인지, 차단, 포렌식 검토, 기록 분류, 후속 점검의 순서로 연결됩니다. 먼저 무단 접근이 발생한 계정과 호스트를 기준으로 세션을 종료하고 자격증명을 교체합니다. 이어서 인증 로그, 저장소 접근 기록, 대량 조회와 다운로드 흔적을 보존해 포렌식 분석에 전달해야 합니다. 이후 영향을 받은 기록을 데이터 유형과 대상자별로 분류하고, 통지 요건과 실제 보호조치를 맞춥니다.

우선 점검 항목

• 무단 접근이 확인된 자회사 계정·호스트·저장소의 세션 종료와 자격증명 교체
• 인증 로그, 권한 변경, 대량 조회, 파일 다운로드 기록의 보존과 시간대 정렬
• 내부 환자 ID가 다른 환자관리·상담·청구 시스템에서 재사용되는 경로 확인
• 치료기기 관리망과 기업 정보시스템 사이의 인증·관리 도구·서비스 계정 경계 검증
• 추가 식별정보가 포함된 환자 기록과 일반 연락정보의 필드별 분류
• 의료진과 직원 대상 사칭 연락을 걸러내는 발신자·요청경로 재확인 절차 공유
• 환자 안내문과 고객지원 채널에서 노출 항목, 공식 연락처, 후속 조치를 같은 내용으로 유지

환자나 의료진이 Novocure 명의의 안내를 받은 경우에는 메시지 속 링크나 회신 번호를 바로 사용하기보다 평소 이용하던 공식 연락 채널에서 안내의 진위를 다시 확인하는 편이 안전합니다. 특히 내부 환자 ID나 직책처럼 실제 정보가 포함된 연락이라도 그 사실만으로 발신자가 회사 관계자라는 증거가 되지는 않습니다. 비밀번호, 일회용 인증번호, 결제정보처럼 사고 공시의 노출 항목과 무관한 정보를 추가로 요구하는 연락은 별도 확인 절차를 거쳐야 합니다.

의료기관의 담당자는 Novocure와 주고받던 기존 계약·지원 채널을 기준으로 연락처를 다시 대조할 수 있습니다. 새 계좌, 새 파일공유 주소, 원격접속 도구 설치처럼 평소 절차와 다른 요청은 발신 메일에 회신하지 말고 기존 담당자에게 별도 경로로 확인하는 방식이 적절합니다. 직원 직책과 전화번호가 포함된 만큼 이름을 아는 발신자의 요청도 승인 전에 별도 경로로 재확인하는 내부 규칙을 함께 적용해야 합니다.

통지 업무를 맡은 조직은 고객지원 스크립트와 웹 공지, 개별 안내문의 수치와 표현을 일치시켜야 합니다. 내부 ID만 포함된 집단과 추가 식별정보가 포함된 집단을 같은 문구로 안내하면 이용자가 자신의 노출 항목을 구분하기 어렵습니다. 대상자별 데이터 유형, 확인 가능한 공식 문의 경로, 계정 보호 조치를 한 화면에서 대조할 수 있도록 구성하는 편이 효과적입니다.

영향 평가

이번 사건은 환자 관련 기록 노출이라는 민감성을 지니지만, 공개된 범위는 집단별로 구분됩니다. 1,400명 이상에게는 내부 환자 ID만 포함됐고, 추가 식별정보가 포함된 환자는 50명 미만입니다. 의료 제공자와 직원에 대해서는 일반 연락정보가 영향을 받았습니다. 치료기기 접근이나 운영 중단으로 범위를 넓힐 근거는 공시에 포함되지 않았으며, 회사가 밝힌 시스템 상태는 정상 운영입니다.

따라서 대응의 중심은 의료기기 비상조치가 아니라 영향받은 기업 정보시스템의 접근 흔적 보존, 기록 유형별 분류, 대상자 통지, 계정과 연락채널 보호에 놓입니다. 동시에 의료 환경에서는 기록 시스템과 치료 장치가 어디에서 연결되는지 경계를 재검증할 필요가 있습니다. Novocure 공시는 데이터 기밀성 사고를 정확한 시스템 경계와 기록 단위로 나눠 판단해야 한다는 점을 보여줍니다.