軍 모바일 의료영상시스템 보안 사고…국방부 "장교 3명 징계 절차"

[이데일리 김관용 기자] 군 장병과 장성, 일부 민간인까지 이용하는 국군의무사령부의 모바일 의료영상 저장전송시스템(PACS)에 비인가자가 침투해 의료정보에 접근한 정황이 확인되면서 군 의료정보 보안에 비상이 걸렸다. 국방부는 현재까지 실제 정보 유출 여부는 확인되지 않았다는 입장이지만, 시스템 관리 미흡이 원인으로 드러난 데다 관련 성능개량사업을 둘러싼 감사 결과 책임자들에 대한 징계 절차도 이미 진행 중인 것으로 나타났다.

24일 국방부와 국회 국방위원회 소속 임종득 국민의힘 의원실 등에 따르면 지난해 11~12월 국군의무사령부가 운용하는 모바일 PACS에서 비인가자의 비정상적인 접속이 이뤄진 것으로 조사됐다.

해당 사실은 지난 4월 국군방첩사령부의 중앙보안감사 과정에서 처음 식별됐다. 이후 국방부와 사이버작전사령부, 방첩사, 의무사가 참여한 국방사이버 합동조사팀이 사고 경위와 침해 규모를 조사한 결과 약 8GB 규모의 정보에 비정상적인 접근이 있었던 것으로 확인됐다.

8GB는 엑스레이(X-ray) 영상 약 1000장에 해당하는 규모다. 비인가자가 접근한 정보에는 의료영상뿐 아니라 성명, 성별, 나이, 진료일자 등 개인정보가 포함됐을 가능성이 있는 것으로 조사됐다.

(사진=뉴스1)

피해가 의심되는 군 의료기관은 고양·양주·포천·강릉·구리·대구병원 등 6곳이다. 해당 병원에는 병사와 부사관, 장교, 장성뿐 아니라 일부 민간인 의료정보도 저장돼 있었으며, 당시 시스템에는 약 115만 명분의 의료영상 데이터가 보관된 것으로 알려졌다.

다만 국방부는 실제 개인정보가 외부로 유출됐는지 여부는 아직 확인되지 않았다고 선을 그었다. 국방부 관계자는 이날 기자들과 만나 “유출과 관련해서는 가능성 또는 정황일 뿐 현재까지 확인된 사항은 없다”며 “의도적인 해킹 공격인지 여부도 단정하기 어려운 상황”이라고 설명했다.

조사 결과 비인가자는 외부와 연결된 통신 포트를 통해 시스템에 접근한 것으로 파악됐다. 침투 경로가 된 통신 포트는 지난해 11월부터 올해 3월까지 열려 있었던 것으로 확인됐다.

국방부는 “도입된 지 얼마 되지 않은 시스템으로 관리 미흡에 따라 통신 포트가 보안에 취약한 상태로 운영된 것으로 현재까지 파악됐다”고 밝혔다.

비인가자는 해외 여러 국가의 IP를 경유한 우회 접속 방식을 사용한 것으로 알려졌지만, 우회 접속 특성상 실제 접속지를 특정하기는 어려운 상황이다. 이 때문에 해킹이나 정보 탈취 가능성도 제기되지만 군 당국은 현 단계에서 이를 단정하지 않고 있다.

모바일 PACS는 군 의료진이 휴대전화 등 모바일 기기를 통해 CT, MRI, 엑스레이 등 의료영상을 조회할 수 있도록 구축된 시스템으로, 국방의료정보체계 성능개량사업의 일환으로 개발돼 지난해 7월부터 전력화됐다.

군 당국은 비인가 접속 사실을 인지한 직후 모바일 PACS 운영을 중단했으며, PC 기반 의료영상 조회 시스템을 통해 진료 공백을 최소화하고 있다고 설명했다. 또 개인정보보호법에 따라 의무사령부와 해당 군 병원 홈페이지에 관련 사실을 공지하고 연락처가 확인된 대상자들에게 순차적으로 개별 통보하고 있다.

이번 사고와 관련해 국방부는 시스템 관리 책임과 관련한 징계 절차도 이미 진행 중이라고 밝혔다. 국방부는 “모바일 PACS는 ‘국방의료정보체계 성능개량사업’의 일부로 도입된 시스템”이라며 “지난해 사업 완료 이후 해당 체계의 문제점이 식별돼 지난해 12월 감사를 실시했다”고 밝혔다.

감사 결과에 따라 국군의무사령부 소속 현역 장교 3명이 성능개량사업과 관련한 책임을 물어 이미 징계 의뢰됐으며 현재 관련 절차가 진행 중이라는 설명이다.