선병원 개인정보 유출
홈페이지 회원 18만 명, 비밀번호까지 나갔다면 바꿀 곳
대전선병원이나 유성선병원 홈페이지에 회원으로 가입한 적이 있다면 결론부터 말씀드립니다. 선병원 개인정보 유출에서 아이디와 비밀번호가 이름·휴대전화번호·생년월일과 함께 나갔습니다. 다만 바꿔야 할 곳은 병원 홈페이지만이 아닙니다.
유출은 2024년 3월에 일어났습니다. 그때 쓰던 비밀번호를 지금도 다른 사이트에서 쓰고 있느냐에 따라 할 일의 크기가 갈립니다. 무엇이 나갔는지, 진료 기록도 포함됐는지, 어느 계정부터 바꾸면 되는지 순서대로 정리했습니다.
개인정보보호위원회는 10월 28일 전체회의에서 영훈의료재단(대전선병원·유성선병원)에 과징금 6억3,000만 원과 시정명령을 의결했고, 29일 결과를 발표했습니다(10월 29일 보도 기준).
1. 선병원 유출, 개인정보위 발표 내용
| 구분 | 내용 |
|---|---|
| 대상 기관 | 영훈의료재단(대전선병원·유성선병원) |
| 처분 | 과징금 6억3,000만 원, 시정명령(10월 28일 의결) |
| 발생 | 2024년 3월, 홈페이지 SQL 인젝션 공격 |
| 유출 규모 | 홈페이지 회원 18만8,481명 |
| 유출 항목 | 아이디, 비밀번호, 이름, 휴대전화번호, 생년월일 |
| 지적 사항 | 웹방화벽 미설치, 취약점 점검·입력값 검증 미흡, 비밀번호 관리 부실 |
SQL 인젝션은 홈페이지 입력창에 데이터베이스 명령어를 끼워 넣어 회원 정보를 꺼내 가는 오래된 공격입니다. 입력값만 제대로 걸렀어도 막을 수 있었다는 게 개인정보위의 판단입니다. 이용자 입장에서 눈여겨볼 항목은 '비밀번호'와 '비밀번호 관리 부실' 두 줄입니다. 비밀번호가 안전하게 바뀌어 저장되지 않았을 가능성을 배제할 수 없다는 뜻이기 때문입니다.
2. 진료 기록이나 검사 결과도 나갔을까요
발표된 유출 항목은 홈페이지 회원 정보 다섯 가지입니다. 진료 기록, 처방, 검사 결과는 발표 항목에 없습니다. 병원 진료 시스템과 홈페이지 회원 데이터베이스가 분리돼 있었는지는 공개되지 않았으니, 걱정된다면 병원에 직접 문의해 내 정보 열람을 요청할 수 있습니다.
개인정보위는 이번 처분에서 병원 홈페이지에 회원가입 기능이 꼭 필요한지 다시 보라고 당부했습니다. 진료 예약이나 증명서 발급을 위해 한 번 가입하고 잊어버린 계정이 많다는 뜻입니다. 이번 일을 계기로 쓰지 않는 병원 홈페이지 계정은 탈퇴하는 편이 낫습니다.
3. 2024년에 쓰던 비밀번호를 지금도 쓰고 있다면
| 내 경우 | 위험도 | 먼저 할 일 |
|---|---|---|
| 병원 홈페이지에만 쓴 비밀번호 | 낮음 | 병원 계정 비밀번호 변경 또는 탈퇴 |
| 포털·쇼핑몰에도 같은 비밀번호 | 높음 | 그 사이트들 비밀번호부터 오늘 변경 |
| 이메일 계정도 같은 비밀번호 | 가장 높음 | 이메일 비밀번호 변경 후 2단계 인증 켜기 |
| 그 뒤 비밀번호를 모두 바꿨다 | 낮음 | 로그인 기록만 한 번 확인 |
이 표에서 볼 칸은 세 번째 줄 하나입니다. 이메일이 넘어가면 다른 사이트의 '비밀번호 찾기' 메일을 공격자가 받아 볼 수 있습니다. 유출 뒤 2년 반이 넘게 지났다는 점도 기억해야 합니다. 같은 아이디·비밀번호 조합은 이미 다른 사이트에 자동 대입됐을 수 있으니, 바꾸는 김에 최근 로그인 기록도 함께 보세요.
① 이메일 계정부터
병원 비밀번호와 같다면 이메일 비밀번호를 먼저 바꾸고 2단계 인증을 켭니다.
② 같은 비밀번호 쓰는 사이트 정리
포털, 쇼핑몰, 간편결제 순서로 바꿉니다. 결제 수단이 연결된 곳이 우선입니다.
③ 병원 계정은 탈퇴 검토
예약 외에 쓸 일이 없다면 비밀번호를 바꾼 뒤 탈퇴합니다.
④ 유출 이력 조회
다른 사이트 유출 이력도 함께 확인해 겹치는 비밀번호를 찾습니다.
4. 병원을 사칭한 연락이 오면 이렇게 확인합니다
| 의심 문구 | 확인 방법 |
|---|---|
| '검사 결과 확인' 링크 | 병원 공식 앱이나 대표번호로 직접 확인 |
| '진료비 환급금 지급' 안내 | 건강보험공단 공식 앱에서 환급금 조회, 문자 링크는 쓰지 않기 |
| '개인정보 유출 보상 신청' 문자 | 병원 홈페이지 공지에 같은 내용이 있는지 확인 |
| 앱 설치나 원격 제어 요구 | 통화 종료 후 118·1394 상담 |
이름과 생년월일, 휴대전화번호를 아는 상대가 병원 이름을 대면 의심을 풀기 쉽습니다. 링크를 누르지 않고 병원 대표번호로 다시 거는 것만으로 대부분 걸러집니다. 다른 계정 유출 이력은 유출 계정 조회 사이트 정리에서 확인할 수 있습니다.
자주 하는 질문
Q1. 선병원에서 진료만 받고 홈페이지 가입은 안 했어요
발표된 유출 대상은 홈페이지 회원 18만8,481명입니다. 홈페이지에 가입하지 않았다면 이번 유출 항목에 해당하지 않을 가능성이 높습니다.
Q2. 유출 통지를 못 받았어요
유출은 2024년 3월 일이고 처분은 10월 28일 의결됐습니다. 통지 여부가 궁금하면 병원 개인정보 보호 담당 부서에 내 정보 포함 여부를 문의하세요.
Q3. 비밀번호가 암호화돼 있었나요?
개인정보위는 비밀번호 관리 부실을 지적했지만 구체적인 저장 방식은 발표되지 않았습니다. 안전하게 보관됐다고 가정하지 말고 같은 비밀번호를 쓰는 곳을 바꾸세요.
Q4. 보상은 받을 수 있나요?
과징금은 국가에 내는 제재입니다. 실제 피해가 있었다면 병원에 청구하거나 개인정보 분쟁조정위원회(kopico.go.kr)에 조정을 신청할 수 있습니다.
관련기관 공식 홈페이지
마무리
선병원 개인정보 유출은 2024년 3월 SQL 인젝션 공격으로 홈페이지 회원 18만8,481명의 아이디·비밀번호·이름·휴대전화번호·생년월일이 나간 사고이고, 개인정보위는 10월 28일 과징금 6억3,000만 원을 의결했습니다.
지금 할 일은 하나입니다. 선병원 홈페이지에 쓰던 비밀번호를 이메일 계정에도 쓰고 있다면 오늘 이메일 비밀번호부터 바꾸고 2단계 인증을 켜세요.
