2026년 2월은 대형 인프라 공격과 자율형 AI 에이전트의 무기화로 사이버보안에 있어 잔혹한 한 달이었어. 하지만 규모 자체와 개인 프라이버시에 남긴 영구적 피해라는 측면에서 특히 두드러진 사건이 하나 있어. 바로 NYC Health + Hospitals 데이터 유출이야.

2026년 2월 2일 탐지된 이 침해로 최소 환자 및 직원 180만 명의 극도로 민감한 개인정보와 의료 데이터가 유출됐어. 단순한 비밀번호 유출이 아니야. 이건 제3자 공급망 취약점이 엔터프라이즈급 보안을 우회하기 위해 어떻게 적극적으로 악용되는지 보여주는 교과서 같은 사례였어.

CISO, IT 전문가, 그리고 Kokobo 커뮤니티에게 이 사건은 엄청난 경고야. 무슨 일이 있었는지, 무엇이 탈취됐는지, 그리고 위협 환경이 어떻게 근본적으로 바뀌었는지 정리해볼게.

공격의 해부: 공급망의 가장 약한 고리

NYC Health + Hospitals 침해에서 가장 충격적인 점은 공격자가 병원 네트워크의 주 경계(퍼리미터)를 뚫는 데 성공한 게 아니라는 거야. 대신 백도어를 이용했어. 침입은 병원 네트워크 일부에 정당한 접근 권한을 가진 침해된 제3자 벤더와 연결돼 있었어. 사이버 범죄자들은 벤더 시스템에 침투한 뒤, 그 신뢰된 자격 증명을 이용해 병원 인프라로 측면 이동했어.

• 상주 시간(Dwell Time): 공격자는 2025년 11월 말부터 2026년 2월까지 무단 접근을 유지했어. 탐지되지 않은 채 2개월이 넘게 머문 거야—사이버보안 관점에선 거의 영원에 가까운 시간이야.
• 탐지: 2026년 2월 2일에야 의심스러운 활동이 표시됐지만, 데이터 반출은 이미 끝난 뒤였어.
• 보고: 이 사건은 2026년 3월 24일 미국 보건복지부(HHS)에 공식 보고됐어.

이건 Kokobo에서 계속 추적해온 치명적인 트렌드와 맞닿아 있어. 이제는 복잡한 제로데이 코드 익스플로잇보다 신원 사기와 벤더 악용이 더 흔해졌어. 조직이 경계 보안을 철통같이 해도 벤더에 대해 제로 트러스트 프로토콜을 강제하지 않으면, 파트너의 가장 약한 고리를 그대로 물려받게 돼.

침해 요약 데이터

후폭풍: 훔친 생체정보가 남기는 영구적인 문제

데이터 유출을 이야기할 때 보통 대화의 중심은 신용카드와 비밀번호야. 그건 일시적인 문제지—카드는 취소하고, 비밀번호는 재설정하면 돼. 하지만 NYC Health + Hospitals 침해는 영구적 노출이라는 끔찍한 선을 넘어버렸어. 반출된 데이터에는 다음이 포함돼 있었어:

• 사회보장번호(SSN), 납세자 ID, 여권 정보.
• 상세 의료 기록, 진단, 검사 결과, 처방 약물.
• 지문과 장문을 포함한 생체정보.

지문은 재설정할 수 없어. 생체정보 노출은 피해자에게 평생 지속되는 프라이버시 및 보안 리스크를 만들어. 은행, 물리 보안, 디지털 신원 확인에서 생체 인증이 빠르게 확산되면서, 위협 행위자들은 이제 문자 그대로 180만 개 신원의 ‘열쇠’를 쥐게 됐어. 의료 데이터는 의료 신원 도용, 허위 보험 청구, 표적 협박에 쓰이기 때문에 다크웹에서도 가치가 매우 높아.

사이버보안 전문가를 위한 전략적 시사점

2026년 2월의 공격들은 영구적이고 경계 중심적인 보안이 끝났다는 걸 증명했어. 엔터프라이즈 아키텍처—특히 핵심 인프라와 헬스케어 분야—에서는 방어 전략을 즉시 바꿔야 해.

1. ID 기반 세그멘테이션 강제: 제3자 접근은 범위를 명확히 제한하고, 모니터링하며, 지속적으로 검증해야 해. 벤더는 계약 수행에 필요한 정확한 데이터 하위 집합에만 접근해야 하고, 그 접근은 네트워크의 격리된 세그먼트에서 이뤄져야 해.
2. 동적 키 로테이션 & 암호화: 생체정보 같은 민감 데이터를 저장하려면 공격적인 제로 트러스트 데이터 보호가 필요해. 암호화 키는 동적으로 로테이션해야 해서, 설령 데이터베이스가 뚫려도 활성 키 없이는 반출된 파일이 쓸모없게 만들어야 해.
3. 실시간 세션 모니터링: 세션 하이재킹과 MFA 피로(MFA-fatigue) 공격이 늘면서, 다중요소인증(MFA)만으로는 더 이상 충분하지 않아. IT 팀은 세션 활동을 실시간으로 분석하고, 계정이 평소 패턴을 벗어나면 즉시 접근을 회수하는 도구를 배포해야 해.

제로 트러스트 네트워크 정책 스니펫 예시

더 엄격한 벤더 통제를 구현하려면, 조직은 IAM(Identity and Access Management) 솔루션이 조건부 리스크를 평가하도록 구성해야 해. 아래는 위험한 제3자 접근을 차단하기 위한 예시 구성 스키마야:

{
“policy_name”: “Vendor_Access_Restriction”,
“target_group”: “third_party_vendors”,
“action”: “DENY”,
“conditions”: {
“mfa_verified”: false,
“device_compliant”: false,
“access_time_outside_business_hours”: true,
“anomalous_location_detected”: true
},
“alert_level”: “CRITICAL”
}

앞으로의 방향

NYC Health + Hospitals는 피해자에게 24개월 무료 신원 도용 보호 서비스를 제공했지만, 현실은 이 침해의 충격파가 수십 년 동안 이어질 거라는 거야. 2026년으로 더 깊이 들어갈수록, 의료 인프라와 관리되지 않는 제3자 신원의 교차점은 여전히 거대한 취약점으로 남아 있어. 벤더를 네트워크의 신뢰할 수 있는 확장으로 보는 관점을 멈추고, 잠재적 공격 벡터로 다루기 시작해야 해.