앤섬 침해로 7,880만 건의 의료 기록 노출 — 최대 규모 의료 데이터 절도

2015년 2월, 미국 최대 건강보험사 중 하나인 앤섬(Anthem Inc.)은 해커들이 자사 데이터베이스에 접근해 약 7,880만 건의 고객 기록을 훔쳤다고 공개했다. 유출된 데이터에는 이름, 사회보장번호, 의료 ID, 주소, 생년월일, 소득 정보가 포함되었다.

이 침해는 국가 후원 해킹 그룹(중국으로 추정)의 소행으로 귀속되었다. 해커들은 직원의 자격 증명을 탈취한 피싱 이메일을 통해 접근한 뒤, 앤섬의 네트워크를 횡적으로 이동해 데이터베이스에 도달했다.

앤섬은 집단 소송 합의로 1억 1,500만 달러를 지급했다 — 당시 역사상 최대 규모의 데이터 침해 합의였다. 이 사건은 의료 데이터가 해커에게 유독 가치가 있다는 점(신용카드 번호처럼 변경할 수 없음)과 단 한 통의 피싱 이메일이 수천만 명의 가장 민감한 개인 데이터를 침해할 수 있다는 점을 보여주었다.

이 침해는 합의금으로 1억 1,500만 달러를 초래했는데, 이는 사상 최대 규모였으며, 그 이유는 도난당한 사회보장번호와 의료 ID가 신용카드처럼 변경될 수 없기 때문이다.

해커들은 직원의 자격 증명을 탈취한 피싱 이메일을 통해 7,880만 건의 의료 기록을 훔쳤다.

유출된 데이터에는 사회보장번호, 의료 ID, 소득 정보가 포함되었다 — 변경할 수 없는 데이터다.

앤섬은 집단 소송 합의로 1억 1,500만 달러를 지급했다.

이 침해는 국가 후원 해킹 그룹의 소행으로 귀속되었다.

의료 데이터는 해커가 훔칠 수 있는 가장 가치 있는 데이터다 — 변경할 수 없기 때문이다. 신용카드는 취소할 수 있지만 사회보장번호는 그럴 수 없다. 인간 계층이 가장 약한 고리다.

앤섬은 1억 1,500만 달러를 지급하고 보안을 전면 개편했다. 이 사건은 의료 업계가 사이버 보안을 강화하도록 촉구했고 HIPAA 집행에 영향을 미쳤다. 이는 미국 역사상 가장 큰 데이터 침해 사건 중 하나로 남아 있다.