[아이티비즈] 최근 금융에 대한 피해에 이어 헬스케어 등 의료 산업에도 보안의 심각성이 대두되고 있다.
빛스캔(대표 문일준)은 의료 관련 종사자(관심을 가진 이용자)들이 자주 방문하는 웹사이트가 지속적인 악성코드 유포에 이용되고 있는 실정으로 파악되고 있다고 밝혔다.
개인의 생명과 직결되는 의료 정보의 중요성은 더 언급할 필요가 없다. 의료 기록과 투약정보 등이 입력되는 PC들이 악성코드에 감염되어, 원격에서 조정이 가능하다면 의료사고 가능성은 매우 높은 상태가 될 것이다. 또한 모든 정보가 집결되는 중앙의 서버로도 이미 권한이 있는 PC와 인증서를 이용해 접근한다면 의료기록의 안정성에도 직결되는 문제일 것이다.
지난 2014년 8월부터 국내에 유포되는 악성코드의 주요 특징 중의 하나가 바로 의료용 정보를 수집하는 정황이었다. 당시 대학병원부터 소규모병원 웹사이트에 다수의 악성링크가 삽입되어 의료업종 관계자 등 사이트를 방문하는 많은 사용자에게 영향을 준 사안이 발견된 바가 있다.
당시 사용자의 피해가 많았던 사이트 중에는 약사XX을 들 수 있는데, 모든 방문자를 대상으로 악성코드가 유포되어 결과적으로 많은 약국의 PC가 악성코드에 감염된 것으로 알려졌다. 실제로 악성링크를 추적한 결과 공격자서버에서 병원이나 약국과 같은 의료 목적의 인증서들이 다수 발견된 정황도 확인된 바가 있다. 특히, 약사XX의 일부 사이트 기사가 수 많은 약국에 설치되어 있는 PM2000과도 연동되어 피해가 상당했을 것으로 추정된다.
약사XX을 통해 악성코드 유포 사건 발생 이후 신속한 조치를 취했다고 하였으나 4개여월이 지난 현재까지도 근본적인 원인 파악이 해결되지 않은 것으로 보이며, 4월 1일부터 2일 오전까지 해당 사이트에서 악성링크가 삽입된 정황이 다시 확인되었다. 최초 발견은 4월 1일 자정부터 오전 12시까지 약 12시간여동안 악성링크가 추가되어 있었다.
웹사이트에서 핵심적으로 이용되는 공용 모듈에 악성링크가 삽입되어, 특정 웹페이지에 방문하더라도 모두 악성코드에 감염될 수 밖에 없었으며, 오후 1시경에 해당 파일을 조치하면서 문제가 해결된 것으로 보였다. 그러나 2일 오전부터 새로운 공용모듈을 활용하여 악성링크가 삽입되어 또다시 악성코드를 유포하는데 이용되었다.
즉, 초기 침입 인지 시점에서 근원적인 침입 경로의 차단과 문제해결에는 실패한 것으로 보인다.
약사XX에 삽입되었던 악성링크를 추적한 결과 CK Exploit Kit과 Sweet Orange Kit을 모두 활용한 멀티스테이지 공격으로 확인됐다. 멀티스테이지 공격은 각각 이용하는 취약점이 다르기 때문에 단일 공격킷으로 활용한 것보다 감염 가능성이 높다고 할 수 있다. 즉, 윈도우, Adobe Flash, JAVA 중 어느 하나라도 취약한 버전을 사용하는 경우 감염될 수 밖에 없는 매우 높은 감염률을 가진 것으로 분석됐다. 더욱 우려되는 것은 감염된 악성코드를 분석한 결과 지난 해에 출현한 악성코드와 마찬가지로 금융 공격 중의 하나인 파밍 악성코드인 것으로 확인되었다.
과거 사례를 견주어 볼 때, 상당수의 인증서가 유출될 가능성이 있으며, 게다가 의료 관련 프로그램을 이용하기 위해 필수적으로 사용되는 의료용 공인인증서 유출도 우려되는 상황이다. 참고로, 악사XX은 대한약사회에서 제공하는 사이트로 랭키닷컴에서 의료관련 사이트 랭킹이 상위권에 있을 만큼 인지도가 매우 높은 사이트이며, 의료에 관련되어 있는 정보를 제공하고 있다.
약사XX 웹사이트를 통해 유포된 사항은 아래와 같다.
약사XX 서비스 경우 내부 피해는 파악할 수 없으나, 전체적인 권한을 공격자가 탈취한 것으로 판단되는 상황이라 단순히 페이지를 임시 삭제하는 것으로는 대응을 마쳐서는 안되는 상황이다. 원인에 대한 문제 수정이 없을 경우 그 피해는 해당 사이트를 방문하는 이용자와 함께 의료업에 종사하는 사람에게 돌아 갈 수 밖에 없다. 의료의 문제는 국민 개개인의 건강과 직결된 심각한 문제로서 다루어져야 하며, 단순하게 처리해서는 안될 것이다.
