Change Healthcare 랜섬웨어 — 청구 한 곳이 멈추자

청구가 거쳐 가는 회사 한 곳

이 글은 2024년 미국에서 일어난 사건을 놓고 씁니다. 미국의 병원·의원·약국은 환자를 본 뒤 그 비용을 민간 보험사나 정부 보험에 청구해 받습니다. 사건 전인 2023년의 한 분석에 따르면 민간 보험사와 제공자 사이의 청구는 한 해 90억 건이 넘고, 한 건을 처리해 돈이 들어오기까지 평균 4~6주가 걸립니다 (PMID 38756977). 병원과 보험사 사이에는 이 청구를 받아 넘겨 주는 회사들이 있습니다. 청구 중계 회사(health care clearinghouse)는 병원·의원이 보험사에 내는 청구와 보험사가 돌려주는 지급 내역, 진료 전 보험 자격 확인과 사전 승인 요청을 받아 전달해 주는 회사입니다. 2024년 2월, 그런 회사 한 곳이 랜섬웨어 공격으로 멈췄습니다.

그 회사가 Change Healthcare입니다. 미국 건강보험·의료 서비스 기업 UnitedHealth Group(UHG)이 2022년 말에 인수했고 (상원 재무위 청문회 기록), 지금은 UHG의 Optum에 속해 의사·약사·보험사·정부 사이에서 정보와 청구와 지급이 오가게 하는 회사라고 당사자 UHG는 설명합니다 (UHG CEO 의회 증언).

규모는 문서마다 다른 자로 잽니다. 병원들의 업계 단체인 미국병원협회(AHA)는 이 회사가 보험 자격 확인과 약국 업무, 청구 전송과 지급을 처리하며 환자 기록 3건 중 1건을 거친다고 적었습니다 (미국병원협회 설문). 재무부 금융연구실(OFR)의 브리프는 병원협회 서한의 추정을 인용해, 이 회사가 한 해 2조 달러의 청구를 다루며 이는 2024년 미국 의료 자금의 44%로 추정된다고 적었습니다 (재무부 금융연구실 브리프).

당사자 UHG는 Change Healthcare가 직접 하는 지급 처리가 전체 지급의 약 6%라고 밝혔습니다 (UHG CEO 의회 증언). 44%는 Change를 거쳐 가는 청구 자금을 추정한 값이고 6%는 Change가 직접 처리하는 지급의 몫이라, 두 숫자는 세는 대상이 다릅니다. 금융연구실 브리프는 미국 법무부의 법정 문서가 인용한 Change Healthcare 자신의 말도 옮깁니다. 보험사와 의료 제공자가 거래하는 의료 체계가 Change Healthcare 없이는 돌아가지 않는다는 말입니다 (재무부 금융연구실 브리프). 거래 건수나 청구 금액으로 재면, 미국 의료비가 흐르는 길의 큰 몫이 회사 한 곳을 지나가고 있었습니다.

이 사건을 기록한 공개 문서는 성격이 넷으로 갈립니다. 당사자 문서는 UHG의 증권 당국 공시와 분기 보고서, 그리고 UHG 최고경영자 앤드루 위티가 2024년 5월 1일 의회에 낸 증언입니다. 의회 문서는 그날 상원 재무위원회 청문회 기록, 상원 재무위원장 론 와이든의 발언과 서한, 초당파 기관인 의회조사국(CRS)의 보고서, 하원 위원회 직원의 메모입니다. 와이든의 말은 비판하는 쪽 의원의 주장입니다. 정부 문서로는 금융연구실 브리프(저자 견해라고 스스로 밝힘), 미국 보건복지부 민권국(OCR) 자료, 메디케어·메디케이드 서비스센터(CMS)의 보도자료, 합동 권고문이 있고, 마지막은 피해 업계 단체인 병원협회의 설문과 보고서입니다.

9일 사이

앞 장면은 2023년 12월입니다. 의회조사국에 따르면 그달 미국 법무부가 랜섬웨어 집단 BlackCat/ALPHV의 활동을 무력화했다고 발표했고, 이 집단은 의료 제공자를 노려 미국에 보복하겠다고 선언한 뒤 두 달 사이에 기반을 다시 세워 Change Healthcare를 침해했습니다 (의회조사국 보고서). 미국 연방수사국(FBI)·미국 사이버보안·인프라보안청(CISA)·보건복지부의 합동 권고문은 2023년 12월 중순 이후 이 집단이 정보를 공개한 피해자 70곳 가까이 가운데 의료 부문이 가장 많았고, 무력화 작전 뒤 이 집단 관리자가 병원을 노리라고 부추긴 게시물에 대한 반응일 가능성이 높다고 적었습니다. 권고문은 Change Healthcare를 이름으로 들지 않습니다 (FBI·CISA·HHS 합동 권고문).

침입은 회사 밖에서 들어오는 문으로 시작됐습니다. 원격 접속(remote access)은 회사 밖에서 인터넷을 거쳐 회사 안의 컴퓨터를 쓰는 방식이고, 원격 접속 창구는 그렇게 들어오는 사람을 맞는 문입니다. 위티의 서면 증언에 따르면 2024년 2월 12일, 범죄자들이 도용한 로그인 정보로 Change Healthcare의 원격 접속 창구에 들어왔습니다. 그 창구에는 다중 인증이 없었습니다 (UHG CEO 의회 증언). 다중 인증은 「비밀번호와 패스키 — 내가 나라는 걸 어떻게 증명하나」에서 본 대로, 아는 것·가진 것·몸의 특징 가운데 종류가 다른 증거를 둘 이상 함께 요구하는 방식입니다. 남의 열쇠 하나만 쥐면 열리는 문이었다는 뜻입니다. 위티는 이 설명에 「더 알게 되면 우리의 이해는 바뀔 수 있다」는 단서를 달았습니다 (UHG CEO 의회 증언).

같은 증언에 따르면 들어온 쪽은 시스템 안을 옮겨 다니며 데이터를 빼냈고, 랜섬웨어는 9일 뒤에 실행됐습니다. 랜섬웨어는 「피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다」에서 정의한 대로, 파일을 암호화하는 등으로 못 쓰게 만든 뒤 풀어 주는 대가로 돈을 요구하는 악성코드입니다. 위티의 표현으로는 2월 21일 아침, ALPHV 또는 BlackCat이라 자칭한 범죄자가 Change Healthcare 안에서 랜섬웨어를 실행해 시스템을 암호화했고, 회사는 자기 시스템에 접근할 수 없게 됐습니다 (UHG CEO 의회 증언).

회사는 그때 침입 지점을 몰라, 감염이 더 번질 가능성을 없애려고 Change의 데이터센터와의 연결을 즉시 끊었습니다. 위티는 많은 환경을 내린 것이 극도로 지장을 줬지만 옳은 일이었다고 했고, Change 밖으로 번졌다는 증거는 한 번도 없었다고 주장했습니다 (UHG CEO 의회 증언). UHG는 같은 날을 사건일로 적은 증권 당국 공시에서 「국가 연계로 의심되는」 위협 행위자가 일부 시스템에 접근했다고 밝히고, 차질의 기간과 범위는 지금 추정할 수 없다고 적었습니다 (UHG 공시).

연결을 끊자 청구가 지나던 길도 함께 끊겼습니다. 와이든 위원장의 서한은 UHG가 시스템을 내리고 처음부터 다시 짓는 길을 택했고, 그 결과 회사 서비스가 전면 중단됐으며, 일부는 몇 주 만에 되살렸지만 일부는 두 달 넘게 멈춰 있었다고 적었습니다 (와이든 위원장 서한). 당사자 설명으로는 노트북 수천 대를 바꾸고 데이터센터 네트워크와 핵심 서비스를 다시 지어, 평소라면 몇 달 걸릴 새 환경을 「불과 몇 주」에 만들었습니다 (UHG CEO 의회 증언).

멈춘 청구, 막힌 처방

멈춘 것은 돈과 처방이었습니다. 의회조사국은 처방에 보험을 쓰지 못한 사람들과, 지급이 얼어붙어 현금 흐름이 막힌 약국을 적었습니다 (의회조사국 보고서). 금융연구실 브리프에 따르면 중단 기간에 Change Healthcare를 쓰던 병원·의사·약국 다수가 청구를 내지도, 지급을 받지도 못했습니다. 브리프는 그 결과를 「의료 부문 유동성 사태」, 곧 의료 기관들의 당장 쓸 현금이 말라 버린 상황이라고 불렀습니다. 그 재정 압박이 몇몇 경우에는 폐업이나 다른 운영자로의 매각으로 이어졌습니다 (재무부 금융연구실 브리프).

병원협회가 3월 9~12일 회원 병원 약 1,000곳에서 받은 설문은 자기 보고입니다. 여기서 94%가 재정 영향을, 82%가 현금 흐름 영향을 보고했고, 그 82% 가운데 33% 넘게는 수입의 절반 넘게가 영향을 받았다고 했습니다 (미국병원협회 설문). 33%는 현금 흐름 영향을 보고한 병원 안에서 센 비율이라, 응답 병원 전체로 치면 그보다 작습니다. 같은 설문에서 74%는 환자 진료에 직접 영향이 있었다고 답했습니다 (미국병원협회 설문).

청구 기록에서 센 숫자도 있습니다. 병원협회 보고서는 수익 관리 데이터 회사 Kodiak Solutions의 자료를 인용해, 공격 뒤 첫 3주 만에 그 회사 고객인 병원 1,850곳과 의사 25만 명의 청구 제출액만 63억 달러 줄었다고 적었습니다 (미국병원협회 보고서). 업계 회사의 자료를 보고서가 2차로 옮긴 숫자입니다.

작은 곳의 사정은 말로 남아 있습니다. 와이든 위원장은 청문회 발언에서 작은 제공자, 특히 정신건강 제공자가 종이 청구서를 봉투에 넣고 있었고, 처방이 채워지지 않았으며, 환자들이 필요 이상으로 병원에 머물렀다고 말했습니다 (와이든 위원장 청문회 발언). 위원장의 발언이고, 수치는 붙어 있지 않습니다.

복구는 기능마다 속도가 달랐습니다. 당사자 UHG는 약국을 먼저 살려 3월 7일까지 사건 전 약국의 99%가 청구를 처리할 수 있게 됐고, 5월 1일 기준 Change Healthcare의 지급 처리는 사건 전의 약 86%였다고 밝혔습니다 (UHG CEO 의회 증언). 금융연구실 브리프는 2024년 8월 30일 기준으로도 Change Healthcare가 일부 서비스를 복구하는 중이라고 보고했다고 적었습니다 (재무부 금융연구실 브리프). 당사자 설명으로 약국은 몇 주 만에 거의 다 청구를 처리할 수 있게 됐지만, 반년이 지나서도 다 돌아오지 않은 서비스가 있었습니다.

2,200만 달러

위티는 서면 증언에서 몸값을 내기로 한 결정이 최고경영자인 자신의 것이었고, 살면서 내린 가장 어려운 결정 가운데 하나였다고 적었습니다 (UHG CEO 의회 증언). 서면 증언에 액수는 없습니다.

액수는 먼저 보도로 돌았습니다. 4월 16일자 하원 에너지상무위원회 다수당 직원 메모는 UHG가 2,200만 달러를 냈다는 보도가 있지만 UHG가 지불 여부를 확인하지 않았다고 적었습니다 (하원 에너지상무위 메모). 당사자가 액수를 직접 확인한 자리는 2024년 5월 1일 상원 재무위 청문회였습니다. 몸값을 냈느냐는 질문에 위티는 그렇다고 답했고, 얼마였느냐는 물음에 「2,200만 달러」라고 답했습니다. 서면 질의 답변에는 요구받은 2,200만 달러를 비트코인으로 냈다고 적었습니다 (상원 재무위 청문회 기록).

병원협회 보고서는 몸값의 논리를 이 사건의 구조와 이어 해석했습니다. 범죄자들이 바퀴 축처럼 가운데 있는 외부 업체 하나를 뚫어, 거기 기댄 수천 의료 기관 고객 모두에 닿는 전략을 택했고, 피해가 넓고 심할수록 더 큰 몸값을 요구할 수 있고 피해자가 낼 가능성도 커진다는 것입니다 (미국병원협회 보고서). 피해 업계 단체의 해석입니다.

몸값을 낼지 말지를 무엇이 좌우하는지는 다른 나라의 자료로 잰 연구가 있습니다. 네덜란드 경찰에 신고되거나 사고 대응 회사가 다룬 랜섬웨어 공격 382건에서, 백업이 있는지와 사고 대응 회사를 불렀는지가 몸값을 낼지 정하는 데 큰 역할을 했습니다. 보험이 있으면 낸 몸값이 2.8배 컸고, 데이터가 빠져나간 경우는 5.5배 컸습니다 (DOI: 10.1109/ecrime61234.2023.10485506). 이 배수들은 다른 나라의 다른 공격에서 나온 것이라 이번 몸값을 설명하는 숫자가 될 수 없습니다.

몸값 지불이 공격 전체에 주는 유인은 다른 문제입니다. 보험 업계 내부자를 인터뷰한 연구의 저자들은, 사이버 보험이 몸값 지불에 돈을 대고 빨리 처리해 주면서 단기적으로는 보험에 든 기업을 도왔지만 장기적으로는 보안을 약하게 했다고 결론지었습니다. 몸값을 대 주는 것이 더 많은 공격을 부추겼고, 기업들이 복원력을 높이자 범죄자들이 적응하면서 몸값이 올라 보험이 가능한지조차 의심받게 됐다는 것입니다. 저자들은 경쟁이 심한 시장이라 보험사들이 까다로운 가입 조건을 붙이는 대신 정부 쪽으로 눈을 돌렸다고 적었습니다 (DOI: 10.1057/s41288-022-00281-7). 사이버 보험의 역사를 쓴 조지핀 울프는 책에서, 보험이 온라인 몸값 지불을 일상으로 만들어 랜섬웨어의 수익을 줄이려는 보안의 목표와 반대로 간다고 주장합니다 (DOI: 10.7551/mitpress/13665.001.0001). 둘 다 이번 사건을 잰 연구는 아니고, 몸값 지불 일반에 대한 진단입니다.

자물쇠 하나짜리 문

문이 왜 그 상태였는지에 대해서는 문서마다 설명이 다릅니다. 당사자부터 봅니다. 5월 1일 청문회에서 회사 전체에 다중 인증을 요구하지 않는다는 걸 알았느냐는 질문에, 위티는 「우리 정책은 외부에 노출된 시스템에 다중 인증을 두는 것」이라고 답했습니다. 인수한 기술을 업그레이드하던 중이었고 그 안에 다중 인증으로 보호되지 않는 서버가 있었다고 했으며, 그 서버에 다중 인증이 없다는 걸 알았느냐는 물음에는 「전혀 몰랐다」고 답했습니다. 서면 답변에서는 문제의 서버가 옛 Change Healthcare 서버였고, UHG 기준에 맞추는 작업을 하던 중이었다고 적었습니다 (상원 재무위 청문회 기록). 당사자의 결론은 정책은 있었고 인수한 옛 서버 하나가 그 정책에 아직 맞춰지지 않았다는 것입니다.

와이든 위원장의 설명은 다릅니다. 위원장은 같은 청문회에서 이 해킹이 「사이버보안 기초」인 다중 인증으로 막을 수 있었다고 주장했습니다 (상원 재무위 청문회 기록). 5월 30일 미국 연방거래위원회(FTC)와 미국 증권거래위원회(SEC)에 조사를 요청한 서한에서는 이 사건이 「완전히 막을 수 있었고, 기업 과실의 직접 결과」라고 썼습니다. 서한은 위티가 같은 날 하원 증언에서 옛 기술에는 보완 통제를 둘 수 있다고 말했다며, UHG의 정책이 실제로는 모든 외부 서버에 다중 인증을 요구하지 않았다고 해석했습니다 (와이든 위원장 서한). 하원 증언의 원문 속기록은 이 글이 확인하지 못했고, 그 대목은 서한이 인용한 형태로만 남아 있습니다.

서한은 다중 인증보다 더 나아갑니다. 원격 접속 서버 하나가 뚫린 것이 디지털 기반을 처음부터 다시 지어야 할 만큼 심한 감염으로 번져서는 안 된다고 썼고, 다중 인증을 요구하지 않은 것이 회사의 유일한 보안 허점은 아닐 것이라고 추정했습니다. 책임에 대해서는 보안 책임자 한 사람을 희생양 삼는 것은 부당하고, 최고경영자와 이사회가 책임져야 한다고 썼습니다 (와이든 위원장 서한).

금융연구실 브리프의 저자들은 복구 쪽을 봤습니다. Change Healthcare에는 중단 시간을 줄이도록 잘 연습된 절차를 갖춘 복구 계획이 없었고, 인수로 커 온 역사가 이 취약성에 기여했을 수 있다고 적었습니다. 백업은 있었지만 침해된 네트워크와 제대로 분리되지 않아 함께 영향을 받았다고도 썼습니다 (재무부 금융연구실 브리프). 당사자의 서면 답변은 다르게 말합니다. UHG 시스템 전반에 사건 전부터 상당한 비상·백업 기반이 있었고, 사건 뒤 사건 이전 날짜의 백업으로 서비스를 되살렸다고 적었습니다 (상원 재무위 청문회 기록). 두 진술이 정면으로 어긋나는지는 공개 문서만으로 가릴 수 없습니다.

당사자와 와이든 위원장은 모두 다중 인증 없는 서버를 출발점으로 들지만, 그 서버가 왜 그 상태였고 왜 그 하나가 전체 재구축으로 번졌는지는 문서마다 다르게 설명합니다. 의회조사국은 다른 쪽을 가리켰습니다. 랜섬웨어 공격은 흔하니 사건 자체는 놀랍지 않다고 볼 수도 있고, 눈에 띄는 것은 표적이 된 회사와 그것이 생태계 전체에 미친 영향이라고 적었습니다 (의회조사국 보고서).

공격자를 부르는 말도 문서와 날짜에 따라 바뀌었습니다. 2월 21일 공시는 「국가 연계로 의심되는 위협 행위자」라고 썼고 (UHG 공시), 5월 1일 위티의 증언은 「ALPHV 또는 BlackCat이라 자칭한 범죄자」라고 썼으며 (UHG CEO 의회 증언), 이후 분기 보고서는 모두 「사이버 범죄 위협 행위자들」이라고만 썼습니다 (UHG 분기 보고서). 외부 문서 가운데 의회조사국은 러시아와 연계된 사이버 범죄 조직인 BlackCat/ALPHV가 책임을 주장했다고 적었고 (의회조사국 보고서), 하원 메모는 이 집단이 책임자라는 보도가 있다고 쓰면서 법무부가 이 집단을 러시아에 기반을 둔 랜섬웨어 집단으로 묘사한다고 덧붙였습니다 (하원 에너지상무위 메모). 가장 단정적인 표현은 병원협회 보고서의 「러시아 랜섬웨어 집단 ALPHV BlackCat의 공격」입니다 (미국병원협회 보고서). 이 글이 본 문서 가운데 국가의 소행이라고 공식 결론을 낸 문서는 없고, 「국가 연계」는 첫날 공시가 단 「의심」이었습니다.

한 곳이 멈추자 넓게 멈춘 이유

Change Healthcare가 멈추면 보험사는 다른 길로 돈을 보낼 수 있었을까요. 금융연구실 브리프에 따르면 일부 보험사에는 예비 지급 시스템이 없어 Change Healthcare에 전적으로 기대고 있었습니다. 계약도 그 의존을 묶었습니다. 독점 조항(exclusivity clause)은 거래 상대가 같은 일을 다른 회사에 맡기지 못하게 묶는 계약 조항입니다. Change는 고객의 3분의 1 넘게와 맺은 계약에 이런 독점 조항을 두고 있었고, 그 탓에 Change로만 청구를 받던 보험사에는 다른 중계 회사가 연결할 수도 없었습니다. 독점 조항은 나중에 면제됐지만, 청구 중계 회사를 바꾸는 일 자체가 비싸고 오래 걸린다고 브리프는 적었습니다 (재무부 금융연구실 브리프). 병원협회 설문에서도 병원 67%가 청구 중계 회사를 바꾸기 「어렵거나 매우 어렵다」고 답했습니다 (미국병원협회 설문).

와이든 위원장은 같은 대목을 더 세게 말했습니다. Change의 시스템이 몇 주씩 멈췄는데도 독점 계약이 제공자의 3분의 1 넘게가 중계 회사를 갈아타지 못하게 막았고, 이것이 해킹의 여파를 길게 끌었을 가능성이 높다고 주장했습니다 (와이든 위원장 청문회 발언). 브리프는 이 3분의 1을 독점 조항을 맺은 고객의 비율로, 위원장은 갈아타지 못한 제공자의 비율로 적었습니다. 브리프는 이 대목의 출처로 위원장의 발언과 언론 기사를 듭니다. 같은 3분의 1이 문서마다 다른 것을 세는 말로 바뀌었으니, 두 문장을 하나로 합쳐 읽지 않습니다. 앞에서 본 「환자 기록 3건 중 1건」, 뒤에서 볼 「대출의 약 34%」도 저마다 다른 것을 셉니다.

집중 위험(concentration risk)은 많은 기관이 같은 공급자 하나에 기대고 있어서, 그 하나가 멈추면 모두가 함께 멈출 수 있는 위험입니다. 금융연구실 브리프는 핵심 업무 기능이 공급자 한두 곳에만 기대면, 그중 하나가 무너질 때 넓은 차질이 날 위험이 커진다고 적었습니다 (재무부 금융연구실 브리프). 단일 장애점(single point of failure)은 그 한 곳만 멈춰도 전체가 멈추는 자리입니다. 브리프는 앞의 2조 달러·44% 같은 특징을 들어 Change Healthcare의 규모가 지급·청산·결제처럼 많은 금융 거래가 거쳐 가는 금융시장 기반시설에 견줄 만하고, 이 회사를 의료 체계의 잠재적 단일 장애점으로 만든다고 봤습니다 (재무부 금융연구실 브리프).

병원협회 보고서는 집중이 어디서 왔는지를 짚었습니다. 합병이 의료 체계 전체가 기대는 서비스를 한 곳에 모았고, 기관들이 그 서비스에 지나치게 기대게 되면서 위험이 한 곳에 몰렸다고 적었습니다. 대부분 의료 기관의 위험관리 프로그램은 UHG/Change에 대한 의존을 업무에 결정적인 단일 장애점으로 식별하지 못했습니다 (미국병원협회 보고서). 이 보고서는 UHG에 비판적이라는 입장을 스스로 밝힌 업계 단체의 글입니다. 의학 학술지 JAMA Health Forum에 실린 한 관점 글도 이 사건을 놓고 의료 회사들의 통합과 인수에 대한 우려를 다뤘습니다 (PMID 39302668, 관점 글).

금융연구실 브리프는 핵심 기능을 한두 공급자에 맡기지 않으면 넓은 차질의 위험을 줄일 수 있다고 보면서도, 시스템끼리 맞물려 돌아가는 호환성이 부족해 공급자를 여럿 두는 것이 실제로는 어려운 경우가 많다고 덧붙였습니다 (재무부 금융연구실 브리프). 모으는 쪽으로 미는 힘도 있습니다. 앞의 2023년 분석은 한 해 400억~600억 달러를 아낄 수 있는 개입 가운데 하나로 중앙화된 자동 청구 중계 창구의 도입을 꼽았습니다 (PMID 38756977). 효율을 위해 모으자는 제안과 한 곳에 몰린 위험에 대한 경고가, 같은 청구 체계를 두고 나란히 있습니다.

한 회사가 멈추자 그토록 넓은 청구가 함께 멈춘 것은, 많은 기관이 그 회사 하나에 대안 없이 기대고 있었고 다른 길로 갈아타기 어려웠기 때문이라고 문서들은 설명합니다.

연구는 이런 퍼짐을 더 넓은 틀로 봅니다. 2022년의 한 모형 연구는 서로 기댄 시스템을 따라 퍼지는 사이버 위험을 연쇄 고장, 공통 원인 고장, 독립 고장으로 나누고, 한 기업의 사고가 산업 사이 거래를 따라 얼마나 큰 손실로 번지는지 추정하는 모형을 내놓았습니다 (PMID 33594708). 소매·물류·에너지·의료를 포함한 여러 부문의 공급망 사이버 공격 일곱 건을 질적으로 사례 분석한 연구에서도, 공격은 주로 외부 업체와의 연결에서 시작했고 업무가 서로 맞물린 구조 등을 따라 한 곳의 침해가 체계 전체의 마비로 번졌습니다 (PMID 42172193).

당겨 준 돈은 갚아야 했다

막힌 돈을 메우려고 두 곳이 돈을 풀었습니다. 위티의 서면 증언에 따르면 UHG는 경쟁 청구 중계 회사로 물량을 돌렸고, UHG의 UnitedHealthcare는 10억 달러 넘게 청구 지급을 앞당겼으며, 무이자·무수수료 대출을 내주는 임시 자금 지원 프로그램을 열었습니다 (UHG CEO 의회 증언). 선지급(accelerated payment)은 나중에 들어올 지급을 미리 당겨 주고, 뒤에 들어오는 지급에서 되돌려 받는 돈입니다. UHG는 4월 26일 기준으로 수천 제공자에게 65억 달러 넘게를 선지급과 대출로 내줬고, 대출의 약 34%가 안전망 병원과 연방 인증 보건소로 갔다고 밝혔습니다. 위티는 제공자들의 청구 흐름을 볼 수 없어 초기 추정 가운데 일부가 필요를 다 채우지 못했고, 빠르게 조정했다고 인정했습니다 (UHG CEO 의회 증언).

정부 쪽은 CMS였습니다. 메디케어는 주로 65세 이상 노인을 위한 미국 공공보험입니다. CMS는 2024년 6월 17일, 3월 초 시작한 메디케어 선지급 프로그램으로 병원 같은 Part A 제공자에 25억 5천만 달러 넘게, Part B 공급자에 7억 1,718만 달러 넘게를 내줬다고 발표했습니다. 같은 발표에서 이미 96% 넘게를 회수했다고 밝혔습니다 (CMS 보도자료).

UHG의 돈도 CMS의 돈도 갚아야 하는 돈이었습니다. UHG의 돈은 선지급과 무이자 대출이었고, CMS는 6월 중순에 이미 96% 넘게를 돌려받았습니다.

얼마나 메웠는지는 금융연구실 브리프가 계산했습니다. CMS의 32억 달러 넘게(3월 9일~6월 17일)와 UHG의 65억 달러(4월 30일까지)를 더한 97억 달러는, Change가 평소 한 분기에 처리하는 청구 약 3,750억 달러의 약 2.6%였습니다. 브리프는 지원이 특히 현금이 모자란 작은 제공자에게 불충분했을 가능성이 높다고 봤고, 보통 4~10개월의 현금 여력이 있는 큰 병원은 사정이 나았다고 적었습니다. 브리프가 인용한 미국의사협회(AMA) 조사에서는 의사의 55%가 중단 기간에 개인 돈으로 진료실 비용을 메웠습니다. 의원처럼 작은 제공자는 현금 여력이 적고 빠진 돈으로 급여와 물품 대금을 내야 해 크게 흔들렸을 수 있다고 브리프는 적었습니다 (재무부 금융연구실 브리프).

지원금이 실제로 필요한 곳에 갔는지는 이 사건을 직접 잰 연구가 있습니다. 미국 보건정책 학술지 Health Affairs에 2025년 실린 연구는 CMS가 사건 뒤 매출 차질을 겪은 제공자에게 나눈 33억 달러, 그중 병원에 간 22억 달러를 분석했습니다. 저자들은 신청한 곳에만, 모두에게 같은 방식으로 주는 설계 탓에, 참여한 병원 다수에는 과다 지급이 일어나고 공격으로 차질을 겪었을 가능성이 높은 병원 다수는 참여하지 않는 일이 함께 일어났다고 결론지었습니다 (PMID 41329887). 이 논문의 33억·22억 달러는 CMS 보도자료의 수치와 집계 방식이 초록에 밝혀져 있지 않아, 한 숫자로 합치지 않습니다. 돈이 남은 곳과 닿지 않은 곳이 같은 프로그램 안에 함께 있었다는 뜻입니다.

금융연구실 브리프는 사업 손실 대부분이 어떤 보험으로도 보상되지 않을 것으로 봤습니다. 신용평가사 S&P는 UHG의 신용등급에 중대한 영향이 없다고 봤고, 브리프는 이 사건의 재정 타격이 Change Healthcare 자신보다 다른 사업자들에게 더 클 수 있다고 썼습니다 (재무부 금융연구실 브리프).

UHG 자신의 비용은 분기 보고서에 있습니다. 2024년 9월 30일까지 9개월 누계로 직접 대응 비용 17억 달러가 들었고, 사업 차질은 7억 4,700만 달러로 추정했습니다. 보고서는 이 비용이 2025년에도 더 작은 규모로 이어질 것이라고 적었습니다 (UHG 분기 보고서).

몇 명의 정보였나

빠져나간 데이터에는 사람들의 정보가 있었습니다. 5월 1일 당사자 증언은 초기 표본 조사에서 보호 대상 건강정보와 개인 식별 정보가 담긴 파일을 찾았고, 그것이 미국인의 「상당한 비율」에 해당할 수 있다고 적었습니다. 진료 기록이나 전체 병력이 빠져나간 증거는 아직 보지 못했다고 했습니다 (UHG CEO 의회 증언).

숫자는 날짜마다 달라졌습니다. 의료 개인정보 규정을 집행하는 민권국의 자료에 따르면, Change Healthcare는 2024년 7월 19일 유출 신고의 「대략적 피해 인원」 칸에 500명을 적었습니다. 500명은 보건복지부 유출 게시판에 올라가는 최소 기준이고, 실제 인원은 확인 중이었습니다. 이후 Change Healthcare는 2024년 10월 22일 약 1억 건의 개별 통지를 보냈다고 알렸고, 2025년 1월 24일 약 1억 9천만 명, 2025년 7월 31일 약 1억 9,270만 명이 영향을 받았다고 알렸습니다 (보건복지부 민권국 FAQ). 통지는 「Equifax 유출 — 맡긴 적 없는 정보가 털린 다음」에서 본 유출 통지, 곧 개인정보가 새어 나간 회사가 그 정보의 주인들에게 그 사실을 알리는 일입니다. 보낸 통지 건수와 영향받은 사람 수는 다른 단위입니다.

병원협회 보고서(2025년 1월 표기)는 「2024년 10월 24일」 Change Healthcare가 미국인 1억 명의 건강정보가 도난당했다고 공식 보고했고, 미국 역사상 최대 의료 정보 유출이라고 적었습니다 (미국병원협회 보고서). 민권국 자료와는 날짜(10월 22일과 24일)와 표현(보낸 통지 건수와 도난당한 사람 수)이 다르고, 2025년 1월 24일에 1억 9천만 명으로 고치기 전의 숫자입니다. 1억 명은 이 사건의 최종 규모가 아닙니다.

아직 모르는 것

최종 비용은 아직 닫히지 않았습니다. 분기 보고서가 2025년에도 비용이 이어진다고 적은 뒤의 합계는 이 글이 본 문서에 없습니다 (UHG 분기 보고서).

지원이 메우지 못한 손실의 크기도 모릅니다. 금융연구실 브리프의 「불충분했을 가능성이 높다」는 추정이고, 폐업이나 매각은 「몇몇 경우」라고만 적혀 있어 몇 곳인지 알 수 없습니다 (재무부 금융연구실 브리프). 지원금이 필요와 맞게 갔는지를 잰 연구는 CMS의 돈을 봤고 (PMID 41329887), UHG 대출이 누구에게 얼마나 맞게 갔는지를 잰 연구는 이 글이 본 논문 가운데 없습니다.

환자에게 무엇이 일어났는지는 더 비어 있습니다. 병원협회 설문의 「74%가 환자 진료에 직접 영향」은 병원의 자기 보고이고 (미국병원협회 설문), 채워지지 않은 처방과 길어진 입원은 와이든 위원장이 수치 없이 한 말입니다 (와이든 위원장 청문회 발언). 이 사건이 환자 건강에 무엇을 했는지를 잰 연구는 이 글이 본 논문 가운데 없습니다. 병원이 직접 공격당했을 때 환자에게 생긴 일을 잰 연구는 「WannaCry와 영국 병원 — 표적이 아니었던 병원들의 한 주」가 다뤘지만, 이번에 멈춘 것은 병원의 돈과 처방이 지나는 길이었고 병원 자체가 공격받은 경우와는 경로가 달라, 그 숫자를 옮겨 올 수는 없습니다.

한 곳에 모인 길

당사자 증언으로는 범죄자가 남의 로그인 정보를 들고 다중 인증 없는 원격 접속 창구로 들어왔고, 9일 뒤 시스템을 잠갔습니다. 회사가 연결을 끊자 그 회사를 지나던 청구와 지급과 처방이 함께 멈췄습니다.

문서들은 이 사건의 넓이를 그 문 뒤에 몰린 의존에서 찾습니다. 많은 기관의 길이 한 곳으로 모이면, 그 한 곳이 멈출 때 많은 곳이 함께 멈출 수 있습니다. 그 길이 멈춘 동안 들어온 돈은 갚아야 하는 돈이었고, 남은 곳과 모자란 곳이 함께 있었습니다.

뒤따른 권고도 문서마다 다릅니다. 병원협회는 핵심 기술과 외부 공급자 없이 최소 4주를 버틸 대체 절차를 갖추고, 생명과 업무에 결정적인 서비스 계약에서는 독점 조항을 피하라고 권고했습니다. 같은 보고서는 정부 보건 기관들이 Change 서비스의 방대한 범위에 익숙하지 않았고, CMS는 제공자를 빨리 도울 권한이 제한적이었다고 적었습니다 (미국병원협회 보고서). 위티는 정부와 민간이 함께 만드는 의료 업계의 의무 최소 보안 기준을 지지한다고 증언했고 (UHG CEO 의회 증언), 와이든 위원장은 보건복지부가 Change 같은 청구 중계 회사에 최소 사이버보안 기준을 요구하지 않는다고 주장했습니다 (와이든 위원장 청문회 발언).

이 하루가 흔든 것은 「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」이 가용성이라 부른 성질, 곧 허락받은 사람이 필요할 때 정보와 시스템을 실제로 쓸 수 있는 성질입니다. 이번에는 그 성질이 회사 하나를 넘어, 그 회사에 기댄 수많은 병원·의원·약국의 청구에서 함께 무너졌습니다. 같은 부품 하나에 기대는 구조가 소프트웨어 안에서는 어떻게 생기는지는 「Log4j 취약점 — 벽 속에 묻힌 부품은 누가 찾아내나」에서, 다중 인증을 켠 뒤에도 남는 길은 「2단계 인증의 한계 — 두 번째 문은 어떤 손님 앞에서 열리나」에서 이어집니다.

사건 자료

• "Form 8-K, Item 1.05 Material Cybersecurity Incidents" (사건일 2024-02-21, 서명 2024-02-22) — https://www.sec.gov/Archives/edgar/data/731766/000073176624000045/unh-20240221.htm — 당사자 UHG의 증권 당국 공시. 사건 당일의 첫 공식 설명(「국가 연계 의심」, 차질 범위 추정 불가).
• "Testimony of Andrew Witty, Chief Executive Officer, UnitedHealth Group" (2024-05-01) — https://www.finance.senate.gov/imo/media/doc/0501_witty_testimony.pdf (하원판: https://d1dth6e84htgma.cloudfront.net/Witty_Testimony_OI_Hearing_05_01_24_5ff52a2d11.pdf) — 당사자 CEO의 서면 증언(상원·하원 본문 동일). 침입 경로·대응·복구·지원금·개인정보 조사.
• "Hacking America's Health Care: Assessing the Change Healthcare Cyberattack and What's Next" S. Hrg. 118-785 (청문회 2024-05-01) — https://www.govinfo.gov/content/pkg/CHRG-118shrg63595/html/CHRG-118shrg63595.htm — 상원 재무위 청문회 공식 속기록. CEO 구두 답변·서면 질의 답변(몸값 액수, 다중 인증 정책, 백업, 인수 시점)과 의원 발언.
• "UnitedHealth Group Form 10-Q" 2024년 1~3분기 (2024-05-08 · 2024-08-09 · 2024-11-04) — https://www.unitedhealthgroup.com/content/dam/UHG/PDF/investors/2024/UNH_Q1-2024_Form-10-Q.pdf — 당사자 분기 보고서. 분기별 대응 비용·사업 차질·대출 누계, 공격자 표현.
• "Wyden Hearing Statement on Change Healthcare Cyberattack and UnitedHealth Group's Response" (2024-05-01) — https://www.finance.senate.gov/chairmans-news/wyden-hearing-statement-on-change-healthcare-cyberattack-and-unitedhealth-groups-response — 상원 재무위원장의 청문회 발언문(비판 측 주장). 독점 계약, 작은 제공자 피해, 최소 기준 부재.
• 와이든 위원장의 연방거래위원회·증권거래위원회 조사 요청 서한 (2024-05-30) — https://www.finance.senate.gov/imo/media/doc/wyden_letter_to_ftc_and_sec_on_uhg_cybersecuritypdf.pdf — 위원장의 주장. 전면 재구축과 중단 기간, 다중 인증 정책 해석, CEO·이사회 책임.
• "The Change Healthcare Cyberattack and Response Considerations for Policymakers" CRS Insight IN12330 (2024-04-24 개정판) — https://www.congress.gov/crs-product/IN12330 — 의회조사국 보고서(초당파). BlackCat의 보복 선언, 처방·약국 피해, HHS 조치, 귀속 표현.
• "Examining Health Sector Cybersecurity in the Wake of the Change Healthcare Attack" (2024-04-16) — https://d1dth6e84htgma.cloudfront.net/04_16_2024_HE_Hearing_Public_Memo_1fa6c0b02b.pdf — 하원 에너지상무위 다수당 직원의 청문회 배경 메모. 몸값 보도(미확인), 두 번째 집단의 요구 보도.
• "The Cyberattack on Change Healthcare: Lessons for Financial Stability" OFR Brief 24-05 (2024-11-13) — https://www.financialresearch.gov/briefs/files/OFRBrief-24-05-change-healthcare-cyberattack.pdf — 재무부 금융연구실의 사후 분석(저자 견해). 규모, 독점 조항과 집중 위험, 유동성 사태, 지원금 비율, 복구 계획·백업.
• "Change Healthcare Cybersecurity Incident Frequently Asked Questions" (2025-03-14 갱신) — https://www.hhs.gov/hipaa/for-professionals/special-topics/change-healthcare-cybersecurity-incident-frequently-asked-questions/index.html — 보건복지부 민권국. 유출 신고와 날짜별 통지·피해 인원.
• "CMS Preparing to Close Program that Addressed Medicare Funding Issues Resulting from Change Healthcare Cyber-Attack" (2024-06-17) — https://www.cms.gov/newsroom/press-releases/cms-preparing-close-program-addressed-medicare-funding-issues-resulting-change-healthcare-cyber — CMS 보도자료. 메디케어 선지급 규모·회수율·종료일.
• "#StopRansomware: ALPHV Blackcat" AA23-353A (2023-12-19 첫 발표, 2024-02-27 개정) — https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-353a — FBI·CISA·HHS 합동 권고문. 이 집단이 의료 부문을 노린 정황(Change Healthcare는 언급하지 않음).
• "AHA Survey: Change Healthcare Cyberattack Significantly Disrupts Patient Care, Hospitals' Finances" (2024-03-15) — https://www.aha.org/2024-03-15-aha-survey-change-healthcare-cyberattack-significantly-disrupts-patient-care-hospitals-finances — 미국병원협회 회원 설문(약 1,000곳, 3월 9~12일, 자기 보고). 재정·현금 흐름·진료 영향, 중계 회사 전환의 어려움.
• "Change Healthcare Cyberattack Underscores Urgent Need to Strengthen Cyber Preparedness for Individual Health Care Organizations and as a Field" (2025년 1월 표기) — https://www.aha.org/system/files/media/file/2025/02/Change-Healthcare-Cyberattack-Underscores-Urgent-Need-to-Strengthen-Cyber-Preparedness.pdf — 미국병원협회의 사후 교훈 보고서(UHG에 비판적 입장 명시). 청구 제출액 감소, 집중 위험, 피해 인원 표현, 권고.

근거 논문

• "Lessons From CMS Relief Funding After Cyberattack On Change Healthcare." (2025) — PMID 41329887 — 사건 뒤 CMS가 나눈 33억 달러(병원 22억 달러) 분석. 신청형·일률 설계가 참여 병원 다수의 과다 지급과, 차질을 겪었을 병원 다수의 미참여를 함께 낳았다.
• "Active steps to reduce administrative spending associated with financial transactions in US health care." (2023) — PMID 38756977 — 미국 청구 한 해 90억 건 넘게, 건당 처리·지급 4~6주. 400억~600억 달러 절감 개입 가운데 중앙화된 자동 청구 중계 창구 도입.
• "Lessons From the Change Healthcare Ransomware Attack." (2024) — PMID 39302668 — JAMA Health Forum 관점 글. 사건 대응, 의료 회사 통합·인수에 대한 우려, 사이버보안 우선순위.
• "Systemic Cyber Risk and Aggregate Impacts." (2022) — PMID 33594708 — 시스템적 사이버 위험을 연쇄·공통 원인·독립 고장으로 나눈 틀과, 기업 단위 사고의 총손실을 산업연관 분석으로 추정하는 모형.
• "Cyberattacks in supply chains: A multi-case study." (2026) — PMID 42172193 — 소매·물류·에너지·의료를 포함한 여러 부문의 공급망 사이버 공격 7건 질적 사례 분석. 주로 외부 업체 연결에서 시작, 업무 결합 등 네 가지 기전으로 체계적 마비로 번짐.
• "Ransomware Economics: A Two-Step Approach To Model Ransom Paid" (2023) — DOI: 10.1109/ecrime61234.2023.10485506 — 네덜란드 경찰·사고 대응 회사 자료 382건. 백업과 사고 대응 회사가 지불 여부를, 보험(2.8배)·데이터 유출(5.5배)·매출이 액수를 좌우.
• "Insurance and enterprise: cyber insurance for ransomware" (2022) — DOI: 10.1057/s41288-022-00281-7 — 보험 업계 내부자 인터뷰. 몸값 지불 지원이 단기 기업 활동을 돕되 장기적으로 공격을 부추겼고, 기업 복원력이 높아지자 범죄자가 적응해 몸값이 올라 보험 가능성이 의심받게 됐다. 보험사들은 까다로운 조건 대신 정부에 기댔다.
• "Cyberinsurance Policy" (2022) — DOI: 10.7551/mitpress/13665.001.0001 — 조지핀 울프의 사이버 보험사 책. 보험이 몸값 지불을 일상화해 보안 목표와 반대로 간다는 주장.