MENU
CISO News HOME > CISO News > 최신뉴스

최신뉴스


대형 제약회사 화이저, 클라우드 관리 미흡으로 환자 정보 유출 2020.10.21  

구글 클라우드의 스토리지 버킷에 비밀번호 등 보안 장치 적용하지 않아
상담 내용을 텍스트로 정리한 데이터와 개인 식별 정보 노출됐지만 “큰일 아니다”


[보안뉴스 문가용 기자] 국제적 규모의 제약 회사인 화이저(Pfizer)에서 민감한 정보가 수년 째 유출되어 왔다는 사실이 밝혀졌다. 주로 처방약을 복용하는 환자들과 관련된 데이터라고 하며, 구글 클라우드(Google Cloud)의 스토리지 버킷을 제대로 보호하지 않아 이 같은 일이 발생한 것이라고 한다.

[이미지 = utoimage]


이번에 유출된 정보는 다음과 같다.
1) 통화 내용의 텍스트
2) 개인 식별 정보 : 이름, 집주소, 이메일 주소, 전화번호, 건강 및 의료 기록 일부
주로 화이저의 리리카(Lyrica), 찬틱스(Chantix), 비아그라(Viagra), 프리마린(Premarin), 아로마신(Aromasin), 데포메드롤(Depo-Medrol), 이브란스(Ibrance)를 복용하던 환자들의 정보들이었다고 한다.

화이저의 클라우드 일부에서 이러한 정보가 새나오고 있다는 걸 제일 먼저 발견한 건 보안 업체 vpn멘토(vpnMentor)다. “화이저의 ‘미국 약품안전부(U.S Drug Safety Unit)’가 운영하고 있는 버킷이 거의 분명해 보였습니다.”

개인 식별 정보가 노출된 것도 심각한 문제인데, vpn멘토는 “고객들과의 통화 내용을 텍스트로 정리한 자료가 유출된 게 더 크다”는 입장이다. “환자들이 화이저에 전화에 약품 리필이나 부작용 등에 대해 상담을 받는 내용들이 담겨져 있습니다. 민감한 정보인 건 둘째치고 지적재산으로서도 가치가 높은 정보입니다.”

이 사건으로 영향을 받은 사람은 수백 명에 이른다. 오래된 정보는 2018년 10월의 것도 있었다. 이 버킷이 처음 발견된 건 7월의 일로, vpn멘토는 여러 번의 시도를 통해 화이저에 연락을 할 수 있었고 9월 23일에서야 적절한 조치가 취해졌다. 그나마도 “보내신 내용을 확인했을 때 중요한 데이터라고 강조하신 부분에 대하여 인정하기 힘들다”는 식으로 답장이 왔다고 한다. vpn멘토는 전 세계적으로 손꼽히는 거대 기업이 개인 식별 정보와 민감 정보를 두고 “그렇게까지 중요한지 모르겠다”는 답장을 보냈다는 게 너무나 놀라웠다고 한다. 그런 후에는 연락이 다시 끊긴 상태다.

화이저는 중요하지 않은 정보라고 했지만, 이번에 노출된 정보만을 가지고도 사이버 범죄자들은 다양한 공격을 실시할 수 있다. 정보가 어느 정도의 기간 동안 노출이 되었는지도 확실히 알 수 없는 상태인데, 만약 충분히 긴 시간 노출되었다면 공격자들은 보다 정교한 공격을 준비할 수 있었을 것이다. 특히 어지간해서는 속을 수밖에 없는 정교한 피싱 공격과 사이버 사기를 감행하는 게 가능하게 된다.

vpn멘토 측은 “예를 들어 화이저의 고객 지원 센터에서 연락을 하는 것처럼 위장할 경우, 대단히 그럴듯한 내용으로 피해자들을 꼬드길 수 있다”고 제시하기도 했다. “그만큼 통화 내용이 상세하거든요. 환자와 화이저 간 과거 상담 내용을 바탕으로 할 경우 높은 확률로 피해자를 속일 수 있을 것으로 보입니다. 화이저인 척 속임으로써 사기성 결제를 유도할 수도 있지요. 반대로 합법적으로 구하기 힘든 약을 중간에서 가로채 암시장에서 팔수도 있고요.”

심지어 화이저와 고객 사이에 개입함으로써 약 성분을 교묘하게 바꿔서 신체적 위해를 가하는 것도 가능하다는 게 vpn멘토의 설명이다. “그 외에 장비에 각종 멀웨어를 심고 이를 통해 피해자가 소속된 기업 네트워크에 침투할 수도 있게 됩니다. 악성 공격의 가능성은 무궁무진합니다.”

3줄 요약
1. 국제적 제약 회사 화이저의 클라우드 관리 소홀로 민감 정보 유출.
2. 화이저-환자 간 통화 내용과 일부 개인 식별 정보.
3. 화이저 측은 ‘별거 아니다’라는 식. 하지만 각종 피싱 공격 가능하게 하는 조합.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>




COPYRIGHT CISOKOREA.ORG. ALL RIGHTS RESERVED.
개인정보처리방침