토론토 소아병원 SickKids가 2026년 8월 두 번째 사이버 사고를 공식 발표했다. 2022년 랜섬웨어 이후 4년 만에 채용 시스템 벤더 취약점으로 다시 뚫린 경위를 정리했다.
2026년 8월 20일, 캐나다 토론토의 소아 전문병원 SickKids(Hospital for Sick Children)가 두 번째 사이버 사고를 공식 발표했다. 임상 시스템과 환자 기록은 이번에도 영향받지 않았다고 밝혔지만, 현직·전직 직원과 입사 지원자의 개인정보가 노출됐다. 이 병원은 2022년 12월 랜섬웨어 공격을 당해 무료 복호화 도구까지 받았던 곳이다. 4년도 안 돼 같은 병원이 다시 사고를 냈다는 사실이 이번 발표를 더 무겁게 만든다.
SickKids는 세계적으로 이름난 소아 전문병원이자 연구기관이다. 이번 사고의 영향 범위는 병원 본체를 넘어선다. SickKids 재단(SickKids Foundation)과 밴쿠버 소재 소아 클리닉 Boomerang Health의 현직·전직 직원까지 포함됐다. 공격자의 정체나 동기는 공개되지 않았다.
핵심은 침투 경로다. 병원 자체 시스템이 아니라, 다른 여러 기관도 함께 쓰는 써드파티 소프트웨어의 취약점이 원인이었다. 어떤 벤더의 어떤 제품인지, CVE 번호가 있는지는 발표문에 담기지 않았다. 영향을 받은 것은 공개 채용 웹사이트와 급여를 포함한 일부 인사(HR) 기능이었다.
병원 측이 사고를 최초로 인지한 시점은 2026년 7월 9일이다. 실제 침입이 언제 시작됐는지는 공개되지 않았다. 병원은 조사가 진행되는 동안 공개 채용 웹사이트를 일시적으로 오프라인 처리했고, 발표 시점 기준 채용 사이트는 복구된 상태다.
공개까지 약 6주가 걸렸다. 이 기간 동안 병원은 영향받은 시스템의 데이터 범위를 확인하는 검토 작업을 거쳤다. 그 결과 2016년 12월 12일부터 2018년 8월 31일 사이 재직했던 인원의 경우, 시스템에 특히 민감한 개인정보가 포함돼 있었을 가능성이 확인됐다.
정확한 피해자 수는 아직 공개되지 않았다. 병원 측은 영향 범위 검토가 계속 진행 중이라고 밝혔다. 대신 잠재적 영향 대상자 전원에게 사전 통지를 보내고, 24개월 무료 신용·신원 모니터링을 제공하기로 했다.
이번 사고는 규모보다 반복성이 문제다. SickKids는 2022년 12월 18일 LockBit 계열 랜섬웨어 공격을 당했다. 당시 병원은 무료 복호화 도구를 받았고, 12월 31일 공격에 연루된 조직원이 공개 사과문까지 냈던 이례적인 사건이었다. 그로부터 4년이 채 지나지 않아, 같은 병원이 이번엔 다른 경로로 다시 뚫렸다.
이런 유형의 유출은 병원 내부망이 아니라 벤더가 관리하는 채용 시스템에서 발생하기 때문에, 흔적도 병원 로그가 아니라 벤더 측 접근 로그와 API 호출 패턴에 남는다. 채용 시스템 계정이 평소와 다른 시간대·IP에서 대량 레코드를 조회하거나, 관리자 권한 계정이 짧은 시간에 비정상적으로 많은 데이터를 내려받으면 이상 징후로 포착될 수 있다.
문제는 이런 이상 징후가 실제로 얼마나 잘 잡히느냐다. 의료기관을 대상으로 한 조사에 따르면, 벤더 접근 권한 목록을 완전히 파악하고 있는 기관은 40%에 못 미친다. 비슷한 시기 미국에서도 유사한 패턴이 반복됐다. NYC Health+Hospitals는 써드파티 벤더 침해로 180만 명이 영향을 받았는데, 2025년 11월부터 2026년 2월까지 수개월간 탐지되지 않았다. 의료 IT 벤더 Xsolis는 피싱으로 뚫린 뒤 메이요 클리닉 등 여러 병원이 연쇄적으로 통지를 보내야 했다. 벤더 하나가 뚫리면 그 벤더를 쓰는 모든 기관이 동시에 노출된다는 뜻이다.
SickKids 사례가 보여주는 건 랜섬웨어 방어를 강화해도 벤더 리스크는 별개로 남는다는 점이다. 2022년 사고 이후 병원이 내부 보안을 얼마나 강화했든, 이번엔 그 노력이 닿지 않는 곳에서 문제가 터졌다. 채용 사이트나 급여 시스템처럼 핵심 진료와 무관해 보이는 백오피스 업무일수록 외부 SaaS에 위탁하는 경우가 많고, 그만큼 조직이 직접 통제할 수 없는 영역이 늘어난다.
한국 병원들도 채용·급여 같은 비핵심 업무를 외부 SaaS에 맡기는 흐름이 커지고 있다. 임상 시스템 보안에만 투자를 집중하면, 이번 SickKids 사례처럼 벤더가 관리하는 백오피스 시스템이 사각지대로 남을 수 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.