WannaCry와 영국 병원 — 표적이 아니었던 병원들의 한 주

금요일 오전, 표적이 아니었던 병원들

2017년 5월 12일 금요일, WannaCry라는 이름의 랜섬웨어가 세계 곳곳의 컴퓨터를 잠갔습니다. 랜섬웨어는 파일을 암호화하는 등으로 못 쓰게 만든 뒤 풀어 주는 대가로 돈을 요구하는 악성코드로, 보안 첫걸음 편 「피싱과 사회공학 — 문을 부수는 대신 초인종을 누른다」에서 다룬 말입니다. 영국 감사원(NAO)은 이 공격이 적어도 100개국에서 20만 대가 넘는 컴퓨터에 영향을 줬다고 적었습니다 (영국 감사원 조사 보고서). 영국에서 특히 크게 당한 곳은 공공 의료 체계인 국민보건서비스, 곧 NHS였습니다. 그런데 NHS는 이 공격의 표적이 아니었습니다 (영국 감사원 조사 보고서). 누군가 병원을 골라 노린 것이 아니었는데도 병원 일이 흔들렸습니다.

이 글의 무대는 그중 잉글랜드입니다. 잉글랜드의 NHS는 수백 개 기관으로 나뉘어 움직입니다. 트러스트(NHS trust)는 잉글랜드 NHS에서 병원이나 지역 의료 서비스를 맡아 운영하는 기관 단위입니다. 잉글랜드에는 트러스트가 236곳 있습니다. 보건부는 보건 분야의 사이버보안과 사고 대응에 나라 전체의 책임을 지지만, 사이버보안을 실제로 관리하는 일은 트러스트와 동네 의원(GP 진료소) 같은 지역 기관에 맡겨 둡니다 (영국 감사원 조사 보고서). 중앙이 책임을 지고 현장이 관리하는 이 구조는 뒤에서 「경보는 보냈지만 강제할 수는 없었다」는 이야기로 다시 나옵니다.

경고는 미리 있었습니다. 2014년 보건부와 내각사무처는 트러스트들에 윈도 XP 같은 옛 소프트웨어에서 2015년 4월까지 옮겨 갈 「탄탄한 계획」이 꼭 있어야 한다는 서한을 보냈습니다. 2016년 7월에는 국가데이터수호관과 돌봄품질위원회(CQC)가 사이버 공격으로 환자 기록 체계에 접근하지 못하게 될 수 있다고 경고했습니다 (하원 공공회계위원회 보고서). 감사원에 따르면 보건부는 공격 1년 전에 이 위험을 경고받았고 관련 작업도 진행하고 있었지만, 공식 서면 답변은 2017년 7월에야 냈습니다 (영국 감사원 조사 보고서). 병원 랜섬웨어도 처음이 아니었습니다. 2016년 10월 노던링컨셔·굴 트러스트는 랜섬웨어 공격으로 진료 예약 2,800건을 취소했고, 바츠 헬스 트러스트에게 WannaCry는 6개월 사이 두 번째 사이버 공격이었습니다 (영국 감사원 조사 보고서).

이 하루를 기록한 공개 문서는 넷입니다. 영국 감사원 조사 보고서는 정부에서 독립해 의회를 위해 공공 지출을 감사하는 기관이 2017년 10월에 낸 조사입니다. 보건부 의뢰 교훈 검토는 보건부 데이터보안리더십위원회가 잉글랜드 보건·사회복지 체계의 최고정보책임자(CIO) 윌리엄 스마트에게 맡겨 2018년 2월에 나온, 정부·NHS 쪽의 자체 점검입니다. 하원 공공회계위원회 보고서는 감사원 보고서를 바탕으로 보건부와 NHS 기관 책임자들을 증인으로 불러 들은 뒤 2018년 4월에 낸 의회 조사입니다. 영국 외무부 발표는 2017년 12월에 공격자가 누구인지를 말한 정부 발표문입니다. 네 문서는 같은 하루를 두고 숫자와 평가가 조금씩 다릅니다.

오후 4시, 국가적 중대 사고

12일 늦은 오전, 첫 트러스트들이 문제를 보고하기 시작했습니다. 오후 1시 6분에 잉글랜드 NHS를 이끄는 중앙 기관 NHS England의 비상대비팀이 공격 소식을 처음 받았고, 오후 4시에 NHS England는 이 사이버 공격을 국가적 중대 사고로 선포했습니다. 오후 6시 45분에는 NHS England가 대응을 이끌기로 결정했습니다 (영국 감사원 조사 보고서).

그날 저녁 한 사이버보안 연구자가 킬 스위치를 작동시켰고, 그 뒤로 WannaCry는 기기를 더 잠그지 않았습니다 (영국 감사원 조사 보고서). 킬 스위치(kill switch)는 보통 방법으로는 끌 수 없는 비상 상황에서 그 소프트웨어나 기기를 멈추도록 소프트웨어 안에 미리 넣어 둔 장치입니다. 이 정의는 감사원 보고서의 각주에 있습니다. 보건부 의뢰 교훈 검토는 이 개입이 없었다면 WannaCry가 진료에 준 영향이 훨씬 더 컸을 가능성이 크다고 판단했습니다 (보건부 의뢰 교훈 검토). 잠금은 첫날 저녁에 멈췄지만, 이미 잠긴 기기를 되살리고 월요일의 새 감염 물결을 막는 일은 그때부터였습니다.

연락부터 끊겼습니다. 많은 기관이 감염됐거나 예방 차원에서 이메일을 꺼 두어서 전국 기관과 이메일로 연락할 수 없었습니다. 현장 직원들은 개인 휴대전화로, 암호화 메신저 왓츠앱까지 써서 정보를 나눴습니다. 공식 연락 수단은 아니었지만, 전국 기관과 트러스트들은 감사원에 이번 사고에서는 잘 작동했다고 말했습니다 (영국 감사원 조사 보고서).

주말에도 일은 이어졌습니다. 전국과 지역의 NHS 직원들이 13~14일 주말 동안 초과근무를 하며 문제를 풀었고, 월요일인 15일에 새로운 기관들이 또 감염되는 물결을 막으려 했습니다. NHS England의 IT팀에는 당직 체계가 없었지만 직원들이 자원해서 나왔습니다 (영국 감사원 조사 보고서). NHS England의 대응은 세 단계였습니다. 12~14일에는 응급 진료의 흐름을 지키는 데, 13~15일에는 동네 의원 같은 1차 진료를 안정시키는 데, 15~19일에는 복구에 힘을 모았습니다. NHS England는 5월 19일 금요일 오후 5시 30분에 사고 대응을 해제했습니다 (영국 감사원 조사 보고서). 한 주가 꼬박 걸렸습니다.

멈춘 것 — 80곳, 또는 48곳

감사원은 잉글랜드 트러스트 236곳 가운데 적어도 80곳, 곧 적어도 34%가 차질을 겪었다고 적었습니다. 34곳은 감염돼 기기가 잠겼고, 46곳은 감염되지 않았는데도 차질을 보고했습니다 (영국 감사원 조사 보고서). 이 숫자는 하한입니다. 기관들이 스스로 보고한 문제와 NHS England·NHS Digital(NHS의 정보기술을 맡은 중앙 기관)이 인터넷 활동을 분석한 결과에 기댄 것이라, 제때 정확히 보고하지 않은 기관이 있었다면 더 클 수 있습니다. 보건부와 NHS England도 차질의 전모는 모릅니다 (영국 감사원 조사 보고서).

같은 숫자가 문서마다 다릅니다. 감사원이 처음 냈을 때 피해 트러스트는 81곳이었는데, 트러스트 4곳이 분류에 이의를 제기해 80곳으로 고쳐졌습니다 (보건부 의뢰 교훈 검토). 반면 영국 외무부 발표는 「NHS 트러스트 48곳」이라고 적었고, 무엇을 세어 48인지는 밝히지 않았습니다 (영국 외무부 발표). 감염된 34곳 가운데 급성기 병원 트러스트도 감사원은 25곳, 교훈 검토는 27곳으로 적었습니다 (영국 감사원 조사 보고서; 보건부 의뢰 교훈 검토). 피해 규모는 「적어도」가 붙은 숫자이고, 어느 문서를 펴느냐에 따라 달라집니다.

감염되지 않은 46곳의 차질은 스스로 내린 결정에서 왔습니다. 이 트러스트들은 12일에 무엇을 해야 할지 판단할 만큼 이른 시각에 중앙의 지침을 받지 못해, 예방 차원에서 스스로 이메일과 다른 시스템을 껐습니다. 그래서 평소 전자로 하던 일을 펜과 종이로 했습니다 (영국 감사원 조사 보고서). 트러스트 밖에서도 GP 진료소 595곳을 포함한 1차 진료와 기타 NHS 기관 603곳이 감염됐습니다 (영국 감사원 조사 보고서).

감염된 트러스트에서 멈춘 것은 크게 둘이었습니다. 하나는 사람입니다. 직원들이 기기에서 잠겨 환자 정보를 보거나 고치지 못했고, 검사 결과를 환자의 동네 의원에 보내거나 환자를 다른 병원으로 옮기고 퇴원시키는 일이 막히거나 늦어졌습니다. 다른 하나는 장비입니다. 의료 장비가 잠기거나, 잠기지 않게 망에서 떼어 내져서 영상의학과와 병리과가 흔들렸습니다. 트러스트들은 MRI 같은 영상 진단과 혈액·조직 검사를 그 장비에 기대고 있었습니다 (영국 감사원 조사 보고서). 5월 19일까지 NHS England가 확인한 감염 진단 장비는 1,220대로, NHS의 그런 장비 전체의 1%였습니다. 감염을 막으려고 떼어 낸 장비는 이 숫자에 들어 있지 않습니다 (영국 감사원 조사 보고서).

취소된 진료, 돌려보낸 구급차

진료 취소 숫자는 셋으로 남아 있습니다. NHS England가 12~18일에 확인한 취소는 6,912건이었습니다. 여기에는 재방문 외래와 18일 이후에 확인된 취소가 빠져 있습니다. NHS England는 평소 첫 진료 대비 재진 비율로 전체 취소를 약 19,494건으로 추정했지만, 실제 수를 확인할 계획은 없다고 감사원에 말했습니다 (영국 감사원 조사 보고서). 하원위원회는 「거의 2만 건의 병원 진료와 수술」을 취소해야 했다고 적었는데 (하원 공공회계위원회 보고서), 위원회는 이 숫자의 출처를 밝히지 않았습니다. 감사원이 전한 추정치 약 19,494건과 가까운 숫자이고, 확인된 건수는 아닙니다. 교훈 검토는 같은 6,912건을 그 주 첫 진료의 1.2%로 적었습니다 (보건부 의뢰 교훈 검토). 확인된 취소는 6,912건이고, 약 19,494건은 추정이며, NHS England는 실제 수를 확인할 계획이 없다고 했습니다.

암 진료도 밀렸습니다. NHS England의 자체 검토에서 18일까지 암이 의심돼 긴급 의뢰된 진료가 취소된 환자가 적어도 139명이었고, 실제는 더 많을 수 있습니다 (영국 감사원 조사 보고서). 교훈 검토는 같은 139명을 긴급 암 의뢰의 약 0.4%로 적었습니다 (보건부 의뢰 교훈 검토). 같은 사람 수가 감사원 보고서에서는 「적어도」와 「더 많을 수 있다」를 달고, 교훈 검토에서는 비율로 나옵니다.

응급실 가운데 일부는 환자를 돌려보내야 했습니다. 응급실 우회(emergency department diversion)는 한 병원 응급실이 환자를 받을 수 없을 때 구급차와 환자를 다른 병원 응급실로 돌려보내는 일입니다. 감염된 급성기 트러스트 25곳 가운데 20곳은 주말 내내 응급 환자를 계속 받았습니다. 그러나 런던·에식스·하트퍼드셔·햄프셔·컴브리아의 5곳은 환자를 다른 응급실로 돌려야 했고, 2곳은 외부의 도움을 받아야 환자를 계속 볼 수 있었습니다 (영국 감사원 조사 보고서). 교훈 검토에 따르면 한 응급실이 환자를 더 받지 못하게 되면 근처 응급실들이 그 수요를 넘겨받는 「상호 지원」 절차가 돌았고, 다섯 병원의 일부 환자는 평소보다 멀리 가서 응급 치료를 받았습니다 (보건부 의뢰 교훈 검토). 우회가 언제 끝났는지도 문서마다 조금 다릅니다. 감사원은 16일 화요일에도 하트퍼드셔의 리스터 병원과 에식스의 브룸필드 병원 두 곳은 여전히 환자를 돌리고 있었다고 적었고 (영국 감사원 조사 보고서), 교훈 검토는 우회가 16일에 풀렸다고 적었습니다 (보건부 의뢰 교훈 검토).

돌려보낸 수는 남아 있지 않습니다. 사고 중에 자료를 모으지 않았기 때문에, 취소된 동네 의원 진료가 몇 건인지, 그 다섯 응급실에서 구급차와 환자가 몇이나 다른 곳으로 갔는지 보건부도 NHS England도 모릅니다 (영국 감사원 조사 보고서).

환자 피해에 대해서도 문서는 조심스럽게 적습니다. NHS 기관들은 환자가 해를 입었거나 데이터가 노출·도난된 사례를 보고하지 않았습니다. NHS England는 그런 일이 있었다면 트러스트들이 기존 보고 경로로 알렸으리라 기대한다고 감사원에 말했습니다 (영국 감사원 조사 보고서). 교훈 검토는 같은 사실을 더 긍정적으로 적었습니다. NHS는 전례 없는 사고에 잘 대응했고, 환자 피해나 환자 데이터 노출·도난의 보고가 없었으며, WannaCry가 직접 영향을 준 것은 NHS 활동의 1%였다는 것입니다 (보건부 의뢰 교훈 검토). 「피해 보고가 없었다」는 기관들이 보고하지 않았다는 뜻이고, 피해가 없었다는 확인과는 다릅니다. 돈 문제도 반만 알려져 있습니다. 보건부·NHS England·국가범죄청은 몸값을 낸 NHS 기관이 없다고 말했지만, 진료 차질이 NHS에 얼마의 비용을 치르게 했는지는 보건부도 모릅니다 (영국 감사원 조사 보고서).

고치지 못한 컴퓨터

감사원에게 NHS Digital이 한 말은 이렇습니다. WannaCry에 감염된 NHS 기관은 모두 패치하지 않았거나 지원이 끝난 윈도 운영체제를 쓰고 있었고, 그래서 이 랜섬웨어에 당할 수 있었습니다. 그리고 패치를 했든 안 했든, 인터넷 쪽을 향한 방화벽을 관리했다면 감염을 막았을 것이라고 했습니다 (영국 감사원 조사 보고서). 지원 종료(end of support)는 만든 회사가 더는 보안 업데이트를 내지 않게 된 운영체제나 프로그램의 상태입니다. 패치는 이미 내놓은 프로그램의 취약점을 고쳐 다시 내보내는 수정본으로, 보안 첫걸음 편 「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」에서 다뤘습니다.

감염된 기기의 다수는 지원이 끝난 기계가 아니었습니다. NHS Digital은 감염된 NHS 기기의 다수가 아직 지원 중인 윈도 7에서 패치를 하지 않은 것이었고, 지원이 끝난 XP 기기는 확인된 문제 가운데 소수였다고 말했습니다. 마이크로소프트는 2017년 3월에 WannaCry가 뒤에 파고든 약점을 고치는 패치를 냈고, NHS Digital은 3월 17일과 4월 28일에 낸 보안 경보(CareCERT)로 트러스트들에 그 패치를 적용하라고 요청했습니다. 감사원은 윈도 7을 쓰는 트러스트는 그 패치로 스스로를 지킬 수 있었다고 적었습니다 (영국 감사원 조사 보고서). 교훈 검토도 같은 쪽을 짚었습니다. 이것은 「지원이 끝난 소프트웨어에 대한 공격이 아니라 특정 윈도 취약점을 쓴 공격」이었다는 것입니다 (보건부 의뢰 교훈 검토).

그래도 XP는 따로 남는 문제였습니다. 일부 트러스트가 쓰던 XP는 지원 종료 상태라, 마이크로소프트가 더는 패치를 내지 않았습니다. 더 까다로운 것은 MRI처럼 XP가 장비 안에 들어앉은 의료기기였습니다. 이런 장비는 대개 제조사가 관리해서 트러스트가 직접 업데이트할 수 없었고, NHS England와 NHS Digital에 따르면 제조사의 지원은 자주 부실했습니다 (영국 감사원 조사 보고서). 공격 당일 컴퓨터와 의료 장비를 포함한 NHS IT 자산의 약 5%가 아직 XP였다고 보건부는 말했고 (영국 감사원 조사 보고서), 하원위원회는 그 비율을 공격 당시 4.7%로 적었습니다 (하원 공공회계위원회 보고서). 집에 비유하면, 창문을 고칠 열쇠가 집주인에게는 없고 창문을 단 업체에만 있었습니다.

WannaCry가 한 기관 안에서 빠르게 번진 데에는 이유가 있었습니다. 웜(worm)은 사람이 파일을 열어 주지 않아도 망을 타고 이 컴퓨터에서 저 컴퓨터로 스스로 퍼지는 악성코드입니다. 감사원에 따르면 WannaCry는 조직 안에서 파일을 나누는 데 쓰는 윈도의 일부 약점을 파고들어 일부 경우 자동으로 퍼졌고, 큰 윈도 망을 가진 기관이 가장 크게 당한 축에 들었습니다. 감염된 트러스트는 직원이 평균보다 많은 경향이 있었습니다 (영국 감사원 조사 보고서). 교훈 검토는 WannaCry를 「크립토웜」이라 부르면서, 첫 감염이 처음 짐작했던 이메일 피싱보다는 인터넷에 노출된 취약한 지점을 통해 들어왔을 것이라고 적었습니다 (보건부 의뢰 교훈 검토). 직원 한 사람이 메일을 잘못 연 이야기로 이 사건을 기억하면, 교훈 검토가 그린 경로와 어긋납니다.

패치를 얼마나 했는지에서 문서가 가장 크게 갈립니다. 교훈 검토는 WannaCry의 영향을 받은 80개 NHS 기관 가운데 4월 25일 CareCERT 경보가 권한 패치를 적용한 곳은 하나도 없었다고 적고, 각주에서 그것이 권고였지 지시가 아니었으며 NHS Digital에는 기관에 강제할 권한이 없다고 덧붙였습니다 (보건부 의뢰 교훈 검토). 하원위원회에서 NHS Digital은 공격 당시 트러스트의 3분의 2가 넘는 곳에서 패치가 돼 있었다고 말했고, 위원회의 결론부는 같은 사실을 「약 3분의 2에서만」 패치가 됐다고 적었습니다 (하원 공공회계위원회 보고서). 교훈 검토의 「80곳 가운데 0곳」은 영향을 받은 기관을, 하원위원회의 「3분의 2」는 전체 트러스트를 센 숫자라서 두 숫자는 분모가 다릅니다. 다른 집단을 셌다면 둘 다 맞을 수 있지만, 문서는 둘의 관계를 설명하지 않습니다.

왜 패치를 미뤘는지에 대한 답도 있습니다. 교훈 검토에 따르면 지역 NHS 기관의 절반이 넘는 곳이 필요한 때 패치하지 않았고, 그 이유로 패치에 필요한 중단 시간이 진료에 줄 영향을 걱정했다고 보고했습니다 (보건부 의뢰 교훈 검토). 하원위원회도 같은 어려움을 적었습니다. 패치가 의료 장비 사용을 방해해 환자에게 임상적 위험이 될 수 있고, IT 시스템의 한 곳에 패치를 하면 그 시스템의 다른 곳이 흔들릴 수 있다는 것입니다 (하원 공공회계위원회 보고서). 위원회는 NHS Digital 스스로 「깊은 기술 역량을 갖춘 사람」이 18~20명뿐이라고 증언한 대목도 함께 들었습니다 (하원 공공회계위원회 보고서). 지역 기관 절반 넘는 곳이 패치를 미룬 이유로 든 것은 진료 중단에 대한 걱정이었습니다.

패치만이 유일한 겹은 아니었습니다. 다층 방어는 한 겹이 뚫려도 다음 겹이 막거나 알아챌 수 있게 성격이 다른 방어를 여러 겹 겹쳐 두는 방식입니다. NHS Digital과 NHS England는 패치가 어려워도 방화벽을 관리하고, 망을 나눠 모든 기기가 서로 닿지는 않게 하며, 특히 의료기기를 망에서 떼어 두는 것으로 스스로를 지킬 수 있다고 하원위원회에 말했습니다 (하원 공공회계위원회 보고서).

원인의 무게를 어디에 두는지는 기관마다 달랐습니다. NHS England는 WannaCry가 NHS 일부를 감염시킨 것이 주로 기관들이 좋은 보안 관행을 유지하지 못했기 때문이라고 보았습니다. NHS Digital은 그것이 사이버보안을 소홀히 해서라기보다 트러스트들이 사이버 위험의 성격을 잘 이해하지 못했기 때문이라고 보았습니다. 트러스트들은 사이버보안을 환자 결과의 위험으로 보지 않았고, 자기들의 대응 준비를 과대평가했다는 것입니다 (영국 감사원 조사 보고서).

시험하지 않은 비상 계획

현장을 확인하는 장치도 약했습니다. 공격 전에는 경보를 이행했는지 확인할 공식 장치가 없었습니다. NHS Digital이 공격 전에 236곳 가운데 88개 트러스트에 현장 사이버보안 점검을 했는데 통과한 곳이 없었고, NHS Digital은 어떤 기관이 걱정스러워도 조치를 강제할 수 없었습니다 (영국 감사원 조사 보고서). 하원위원회가 보고서를 낸 2018년 초에는 점검을 받은 트러스트가 200곳으로 늘었고, 모두 불합격이었습니다. 기준이 높아서라는 설명이 있었지만, 일부 트러스트는 그때도 시스템을 패치하지 않아서 떨어졌습니다. 위원회는 패치 미적용을 NHS가 WannaCry에 취약했던 주된 이유로 적었습니다 (하원 공공회계위원회 보고서).

비상 계획도 있었지만 시험되지 않았습니다. 사고 대응 계획(incident response plan)은 공격을 받았을 때 누가 무엇을 하고 누구에게 알리는지를 미리 정해 둔 계획입니다. 감사원에 따르면 보건부는 공격에 대응할 때 전국·지역 기관의 역할과 책임을 담은 계획을 만들어 두었지만, 지역 수준에서 시험하지 않았습니다. 그래서 NHS는 WannaCry를 맞았을 때 무엇을 해야 할지 분명하지 않았습니다. 감사원은 사이버 공격이 다른 사고보다 눈에 덜 띄고, 큰 교통사고처럼 한 지역에 갇히지 않아 원인과 규모를 파악하는 데 시간이 더 걸렸다고 덧붙였습니다 (영국 감사원 조사 보고서). 하원위원회에 따르면 NHS England는 중대 사고를 선포하고 3시간이 지나서야 비상 대응 계획을 가동했고, 그것이 너무 느렸다는 데 NHS England도 동의했습니다 (하원 공공회계위원회 보고서).

대응에 대한 평가는 문서마다 가장 멀리 벌어집니다. 자체 점검인 교훈 검토는 NHS가 전례 없는 사고에 잘 대응했고, 공식 비상 체계로 사고를 관리한 것이 성공이었다고 적었습니다 (보건부 의뢰 교훈 검토). 의회 조사인 하원위원회 보고서는 보건부와 산하 기관들이 「비교적 단순한」 WannaCry 공격에 준비돼 있지 않았다고 보았습니다. 그리고 NHS는 운이 좋았다고 적었습니다. 공격이 여름철 금요일 오후에 일어나지 않았거나 킬 스위치가 비교적 빨리 발견되지 않았다면, 차질은 훨씬 컸을 수 있다는 것입니다 (하원 공공회계위원회 보고서). 독립 감사인 감사원 보고서는 시험하지 않은 계획 때문에 무엇을 할지 분명하지 않았다고 적었습니다. 같은 한 주를 두고, 정부·NHS 쪽의 자체 점검은 「잘 대응했다」고 쓰고 의회 위원회는 「운이 좋았다」고 썼습니다.

「비교적 단순하다」는 말에는 근거가 붙어 있습니다. 하원위원회는 WannaCry가 금전 목적의 랜섬웨어라서 기기를 잠갔을 뿐 데이터를 바꾸거나 훔치려 하지 않았다고 보았고, 앞으로의 공격은 더 정교해 환자 데이터 탈취로 이어질 수 있다고 적었습니다 (하원 공공회계위원회 보고서). NHS Digital도 분석으로는 데이터를 노린 공격이 아니었던 것으로 보이지만 확실히 알지는 못한다고 감사원에 말했습니다 (영국 감사원 조사 보고서). NHS가 스스로 정리한 교훈은 넷이었습니다. 사이버 공격 때 할 일과 기관별 역할을 담은 대응 계획, 패치 같은 경보의 이행, 시스템이 꺼져도 통하는 연락 수단, 그리고 이사회와 직원이 위협을 진지하게 받아들이는 일입니다 (영국 감사원 조사 보고서).

네 문서 가운데 공격자를 지목한 것은 외무부 발표 하나입니다. 2017년 12월 19일 영국 외무부의 사이버 담당 장관 아마드 경은, 영국 국가사이버보안센터(NCSC)가 「라자루스 그룹」이라 알려진 북한 행위자들이 WannaCry의 배후였을 가능성이 「매우 높다」고 평가했다고 발표했습니다 (영국 외무부 발표). 발표문은 그 평가의 근거 자료를 담지 않았습니다. 같은 발표는 피해 규모를 150개국 30만 대로 적었는데, 감사원의 적어도 100개국 20만 대 넘게, 교훈 검토가 유로폴 보고를 따라 적은 적어도 150개국 23만 대 넘게와 또 다릅니다 (영국 외무부 발표; 보건부 의뢰 교훈 검토). 감사원·교훈 검토·하원위원회 보고서는 공격자를 지목하지 않습니다. 하원위원회는 금전 목적이었다고만 적었습니다 (하원 공공회계위원회 보고서).

그 주의 병원 기록을 다시 센 연구

그 주의 진료는 뒤에 병원 기록으로 다시 세어졌습니다. 잉글랜드 병원 이용 통계(HES)로 WannaCry 주간의 외래 취소, 응급·예정 입원, 응급실 방문, 응급실 사망을 평소와 견준 분석입니다 (PMID 31602404). 문서들이 세지 못한 것을 이 사건에 한해 직접 잰 연구는 이 글이 본 근거 가운데 이것 하나입니다. 전체 트러스트를 합쳐 보면 그 주의 진료량은 평소와 유의한 차이가 없었습니다. 트러스트들은 하루 평균 응급 입원이 1% 많았고 응급실 방문이 1% 적었습니다 (PMID 31602404). 차이는 감염된 병원에서 났습니다. 랜섬웨어에 직접 감염된 병원은 병원당 하루 전체 입원이 약 6% 줄었고, 응급 입원은 4%, 예정 입원은 9% 줄었습니다. 감염 트러스트에서 줄어든 진료의 경제적 가치는 590만 파운드로 추산됐습니다 (PMID 31602404).

응급실 사망에서는 차이가 관찰되지 않았습니다. 다만 저자들은 사망률 증가가 보고되지 않았다고 쓰면서, 이것이 환자 피해를 재는 거친 척도라고 바로 덧붙였습니다. 그리고 사이버 공격이나 IT 장애가 진료와 환자 안전에 주는 영향을 알려면 더 많은 연구가 필요하다고 결론지었습니다 (PMID 31602404). 이 사건을 직접 잰 연구가 본 것은 감염 병원의 진료량 감소이고, 응급실 사망에서는 차이가 없었지만 저자 스스로 그 척도가 거칠다고 적었습니다.

다른 나라, 다른 해의 병원들

이 절의 연구들은 WannaCry 한 사건을 잰 것이 아닙니다. 대부분 미국 병원의 자료이고 다른 해의 다른 공격을 잰 것이라, 숫자를 영국의 그 한 주에 옮겨 놓을 수는 없습니다. 대신 병원 랜섬웨어가 대체로 무엇을 하는지를 보여 줍니다.

미국에서는 병원 랜섬웨어가 늘었습니다. 2016~2021년 미국 의료기관이 당한 랜섬웨어 공격 374건이 확인됐고, 한 해 공격 수는 43건에서 91건으로 두 배 넘게 늘었습니다 (PMID 36580326). 그 가운데 44.4%가 진료를 흔들었고, 전자 시스템 중단, 예정 진료 취소, 구급차 우회가 흔한 차질이었습니다. 저자들은 지금의 감시·보고 체계가 주는 정보가 제한적이라고 적었습니다 (PMID 36580326).

환자 결과까지 잰 연구도 있습니다. 미국 경제학 학술지에 2026년 실린 「Hacked to Pieces?」는 병원 랜섬웨어 공격 목록을 만들어 미국 노인 공공보험인 메디케어 청구 자료와 이었습니다 (DOI: 10.1257/pol.20240594). 공격 첫 주에 병원 진료량은 17~24% 줄었고 3주 안에 회복됐습니다. 공격이 시작될 때 이미 입원해 있던 환자의 병원 내 사망률은 34~38% 높아졌습니다 (DOI: 10.1257/pol.20240594). 청구 자료를 이어 본 관찰 연구이고, 대상은 미국 메디케어 환자입니다. 영국 연구가 응급실 사망에서 차이를 찾지 못한 것과 겹쳐 놓으면 엇갈려 보이지만, 나라와 해와 공격과 잰 사망이 모두 다릅니다. 메디케어 자료로 농촌 병원을 따로 본 연구에서도 공격 첫 주 입원이 농촌 병원에서 14.7%, 도시 병원에서 16.9% 줄었고, 농촌 병원에서는 공격받지 않은 가장 가까운 병원까지 가는 시간과 거리가 도시보다 4~7배 길었습니다 (PMID 38494590).

공격받지 않은 이웃 병원이 흔들린 기록도 있습니다. 2021년 5월 미국 샌디에이고에서 한 의료기관의 병원 4곳이 한 달 동안 랜섬웨어에 묶였을 때, 근처의 공격받지 않은 대학병원 응급실 두 곳은 공격 전 4주보다 붐볐습니다 (PMID 37155166). 공격 기간에 이 응급실들은 하루 평균 환자 수와 구급차 도착이 늘었고, 진료를 받지 못하고 떠난 환자도 늘었으며, 뇌졸중 응급 호출은 59건에서 102건으로 늘었습니다 (PMID 37155166). 저자들은 표적이 된 병원의 공격이 지역 안 다른 병원의 진료까지 흔들 수 있어 지역 재난으로 다뤄야 한다고 결론지었습니다. 같은 시기(2021년 5월) 공격받지 않은 이웃 대학병원 두 곳을 본 다른 분석에서는, 두 병원의 심정지 78건 가운데 병원 밖 심정지 환자의 신경학적 결과가 좋은 생존 비율이 공격 전 40.0%에서 공격 중 4.5%로 떨어졌다가 공격 뒤 41.2%로 돌아왔습니다 (PMID 38605720). 두 병원의 사례 수가 적은 연구이고, 저자들은 이웃 병원이 병원 밖 심정지 환자에게서 「더 나쁜 결과를 볼 수 있다」고 적었습니다 (PMID 38605720). 잉글랜드에서도 다섯 응급실의 환자가 이웃 응급실로 갔지만, 그 수를 센 자료는 없습니다.

전자 기록이 멈춘 시간이 왜 위험한지도 기록이 있습니다. 환자안전 사건 보고 가운데 전자의무기록이 멈춘 동안의 사건으로 확인된 76건을 보면, 절반 가까이(48.7%)가 검사 처방과 결과에 얽혀 있었고, 46%는 중단 때의 절차가 지켜지지 않았거나 아예 없었습니다 (PMID 28575417). 잉글랜드에서 감염된 트러스트가 검사 결과를 보내지 못했던 것과 같은 자리입니다. 미국 병원의 대비가 얇다는 조사도 있습니다. 미국 병원 비상관리 담당자 57명을 조사한 설문에서 52.6%는 비상 운영 계획에 사이버보안을 따로 적어 두지 않았다고 답했고, 저자들은 미국 병원들이 사이버 재난에 덜 대비돼 있다고 보았습니다 (PMID 36945857). 랜섬웨어 공격 뒤 응급 진료 현장의 의료진과 IT 직원 9명을 인터뷰한 질적 연구에서도 참가자들은 대비가 부족하다고 말했고, 저자들은 병원들이 이 연구에 참여하기를 크게 꺼렸다고 적었습니다 (PMID 37318433).

의료기기 쪽의 어려움도 측정됐습니다. 36개 넘는 나라의 공공 조달 기록을 뒤져 보면, 각국 국가 보건 서비스가 사들인 의료기기에 서로 다른 취약점 661개가 있었습니다 (PMID 37945583). 취약점이 발견되자마자 패치를 했더라도, 기기를 산 때부터 그 취약점이 공표될 때까지 약 3.2년 동안 시스템이 노출돼 있었던 것으로 계산됩니다 (PMID 37945583). 의료기기 안에 남는 취약점이 한 나라 한 병원의 일만은 아니라는 뜻입니다.

세지 않은 피해

남은 물음의 한가운데에는 환자가 있습니다. 감사원 보고서는 사고 중에 자료를 모으지 않아 돌려보낸 구급차와 환자 수를 모른다고 적었고, NHS England는 확인된 진료 취소 6,912건 너머의 실제 수를 확인할 계획이 없었습니다 (영국 감사원 조사 보고서). 환자 피해는 기관들이 기존 경로로 보고하리라는 기대에 맡겨졌고, 보고된 것은 없었습니다 (영국 감사원 조사 보고서). 그 뒤 병원 기록으로 잰 연구는 감염 병원의 진료량 감소를 찾았지만, 사망에서는 차이가 없었고 그 척도가 거칠다고 스스로 밝혔습니다 (PMID 31602404).

그래서 이 한 주가 환자에게 무엇을 했는지는 아직 다 알 수 없습니다. 미국 자료에서는 이미 입원해 있던 환자의 사망률 증가와 이웃 응급실의 부담이 측정됐지만, 그 숫자는 다른 나라 다른 공격의 것입니다. 그 사이를 이을 자료, 곧 잉글랜드에서 미뤄진 암 진료가 그 뒤 어떻게 됐는지, 멀리 돌아간 응급 환자가 어떻게 됐는지를 따라간 자료는 이 글이 본 문서와 연구에 없습니다.

잠긴 화면 너머의 환자

문서들이 든 원인은 한 사람의 실수보다 여러 겹에 걸쳐 있습니다. 하원위원회는 패치 미적용을 NHS가 취약했던 주된 이유로 적었고, NHS England는 기관들이 좋은 보안 관행을 지키지 못한 탓으로 보았습니다. 그 아래에는 강제할 권한이 없는 경보가 있었고, 진료 중단이 걱정돼 패치를 미뤘다고 보고한 절반 넘는 지역 기관이 있었습니다. 장비 안의 옛 운영체제는 병원이 직접 고칠 수 없었고, 계획은 있었지만 시험되지 않았습니다. 그 위에서 평가는 갈렸습니다. 정부·NHS 쪽 자체 점검은 잘 대응했다고 적었고, 의회 위원회는 운이 좋았다고 적었습니다.

병원 일이 흔들리면 피해는 잠긴 화면에서 끝나지 않고 취소된 진료와 먼 응급실로 이어집니다. 그 가운데 돌려보낸 구급차와 환자 수, 취소된 동네 의원 진료 수는 사고 중에 자료를 모으지 않아, 감사원 조사 시점까지 보건부도 NHS England도 알지 못했습니다.

이 하루가 흔든 것은 보안 첫걸음 편 「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」이 가용성이라 부른 성질, 곧 허락받은 사람이 필요할 때 정보와 시스템을 실제로 쓸 수 있는 성질입니다. 패치가 나와도 실제 기계에 닿기까지 왜 오래 걸리는지는 형제편 「Log4j 취약점 — 벽 속에 묻힌 부품은 누가 찾아내나」에서 다른 사건으로 이어집니다. 병원을 직접 노리지 않은 공격이 진료비 청구와 약국 처방의 길을 막은 일은 「Change Healthcare 랜섬웨어 — 청구 한 곳이 멈추자」가 다룹니다.

사건 자료

• "Investigation: WannaCry cyber attack and the NHS" (2017-10-27 첫 공개, 받은 판본은 2018-04-25 재발행본) — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/ — 영국 감사원(NAO)의 독립 조사. 잉글랜드 NHS만, 2017-05-12 직전~09-30. 피해 규모·환자 영향·원인·대응.
• "Lessons learned review of the WannaCry Ransomware Cyber Attack" (2018-02-01) — https://www.england.nhs.uk/wp-content/uploads/2018/02/lessons-learned-review-wannacry-ransomware-cyber-attack-cio-review.pdf — 보건부 위원회가 NHS 체계 CIO 윌리엄 스마트에게 의뢰한 정부·NHS 쪽 자체 점검. 경과 시각표, 피해 수치, 원인 해석, 22개 권고.
• "Cyber-attack on the NHS" (2018-04-18) — https://publications.parliament.uk/pa/cm201719/cmselect/cmpubacc/787/787.pdf — 하원 공공회계위원회의 의회 조사. 감사원 보고서와 증인 청문을 바탕으로 준비 부족·소통·비용·패치의 어려움을 평가.
• "Foreign Office Minister condemns North Korean actor for WannaCry attacks" (2017-12-19) — https://www.gov.uk/government/news/foreign-office-minister-condemns-north-korean-actor-for-wannacry-attacks — 영국 외무부 보도자료. NCSC 평가를 인용한 공격자 귀속, 근거 자료는 담지 않음.

근거 논문

• "A retrospective impact analysis of the WannaCry cyberattack on the NHS." (2019) — PMID 31602404 — 잉글랜드 병원 이용 통계(HES) 분석. 전체 트러스트 진료량은 평소와 유의한 차이 없음, 감염 병원은 하루 입원 약 6% 감소(응급 4%·예정 9%), 590만 파운드, 사망률 차이 없음 — 저자: 거친 척도, 더 연구 필요.
• "Trends in Ransomware Attacks on US Hospitals, Clinics, and Other Health Care Delivery Organizations, 2016-2021." (2022) — PMID 36580326 — 미국 의료기관 랜섬웨어 374건, 연간 43→91건, 44.4%가 진료 차질. 감시·보고 체계의 정보가 제한적.
• "Hacked to Pieces? The Effects of Ransomware Attacks on Hospitals and Patients" (2026) — DOI: 10.1257/pol.20240594 — 학술지판. 병원 랜섬웨어 목록과 메디케어 청구 자료 연결. 공격 첫 주 진료량 17~24% 감소·3주 내 회복, 이미 입원한 환자의 병원 내 사망률 34~38% 증가.
• "What happens to rural hospitals during a ransomware attack? Evidence from Medicare data." (2024) — PMID 38494590 — 공격 첫 주 입원 농촌 14.7%·도시 16.9% 감소, 2~3주 내 회복. 농촌은 가장 가까운 비공격 병원까지 시간·거리 4~7배.
• "Ransomware Attack Associated With Disruptions at Adjacent Emergency Departments in the US." (2023) — PMID 37155166 — 2021년 샌디에이고, 공격받지 않은 이웃 응급실 2곳에서 환자 수·구급차 도착·대기·뇌졸중 호출 증가. 저자: 지역 재난으로 다뤄야.
• "Ransomware Cyberattack Associated With Cardiac Arrest Incidence and Outcomes at Untargeted, Adjacent Hospitals." (2024) — PMID 38605720 — 같은 공격 기간 이웃 병원 2곳의 심정지 78건. 병원 밖 심정지의 좋은 신경학적 생존 40.0%→4.5%→41.2%. 저자: 더 나쁜 결과를 볼 수 있다.
• "Implications of electronic health record downtime: an analysis of patient safety event reports." (2018) — PMID 28575417 — 사건 보고 80,381건 중 전자의무기록 중단 관련 76건, 48.7%가 검사, 46%는 중단 절차 미준수·부재.
• "A National Survey of Hospital Cyber Attack Emergency Operation Preparedness." (2023) — PMID 36945857 — 미국 병원 비상관리자 57명, 52.6%가 비상 운영 계획에 사이버보안을 따로 적지 않음. 저자: 덜 대비됨.
• "Hacking Acute Care: A Qualitative Study on the Health Care Impacts of Ransomware Attacks Against Hospitals." (2024) — PMID 37318433 — 의료진·IT 직원 9명 인터뷰. 응급 진료 흐름과 직원에게 큰 영향, 대비 부족, 병원들의 참여 기피.
• "Cybersecurity vulnerability analysis of medical devices purchased by national health services." (2023) — PMID 37945583 — 36개 넘는 나라 조달 기록 9,200만 건, 의료기기 취약점 661개, 즉시 패치해도 약 3.2년 노출.