2018 SingHealth 데이터 침해

2018 SingHealth 데이터 침해

날짜	2018년 6월 27일부터 7월 4일까지
기간	8일
위치	싱가포르
유형	고급 지속적 위협
원인	불충분한 직원 교육, 느린 취약성 수정
참가자	정체불명의 국가 행위자

2018 SingHealth 데이터 침해는 2018년 6월 27일에서 7월 4일 사이에 발생한 미확인 국가 행위자들에 의해 시작된 데이터 침해 사건이다. 이 기간 싱헬스 환자 150만 명의 인적사항과 16만 명의 외래진료 의약품 기록이 도난당했다. 2015년 5월 1일부터 2018년 7월 4일 사이에 전문 외래진료소와 폴리클리닉을 방문한 환자의 이름, 주민등록번호, 주소, 생년월일, 인종, 성별 등이 악의적으로 접속되어 복사되었다. 환자 진단, 검사 결과 및 의사의 기록과 관련된 정보는 영향을 받지 않았다.^[1] 리셴룽 총리 관련 정보가 구체적으로 타깃이 됐다.^[2]

디스커버리

공공 의료 IT 제공자인 통합 건강 정보 시스템(IHIS)의 데이터베이스 관리자는 7월 4일 SingHealth의 IT 데이터베이스 중 하나에서 비정상적인 활동을 감지하고 추가 침입에 대한 예방 조치를 실시했다. 네트워크 트래픽 모니터링이 강화되었다. 7월 4일 이후 추가적인 악성 활동이 감지되었지만 어떠한 데이터도 도난당하지 않았다.^[3] 관리자들은 사이버 공격이 발생한 사실을 확인하고 7월 10일 각 부처에 통보해 사이버보안국(CSA)을 불러 법의학 조사를 진행했다. 기관은 가해자가 프런트 엔드 워크스테이션을 훼손해 IT 네트워크에 대한 특권을 획득했다고 판단하고, 디지털 발자국을 숨긴 채 데이터베이스를 평가하기 위한 로그인 자격증을 취득했다.^[3] 이번 공격은 지난 7월 20일 정보통신부와 보건부가 발표한 성명에서 알려졌다.^[2][4] 이번 공격의 발견과 발표 사이에 열흘이 지연된 것은 IT 시스템 강화, 사전 조사, 피해 환자 파악, 발표 물류 준비 등에 필요한 시간이 필요했기 때문으로 풀이된다.^[5] 이후 데이터가 영향을 받은 환자에게 문자메시지가 발송됐다.^[3]

조사

2018년 8월 6일, S. 의회에서. 이스워란 통신정보부 장관은 이번 공격이 싱헬스의 바이러스 백신과 보안 툴을 우회하기 위해 맞춤형 악성코드를 작성한 정교한 국가 연계 행위자들의 소행이라고 설명했다. 이스와란은 국가안보를 위해 어떤 국가도 언급하지 않았다.^[6]

2018년 7월 24일 조사위원회가 소집돼 공격원인을 조사하고 유사 공격을 막기 위한 대책을 강구했다. 4명으로 구성된 위원회는 리처드 매그너스 전 지방법원장이 위원장을 맡고 있으며 사이버보안업체, 헬스케어 기술업체, 전국무역연합회의(NTC) 대표 등으로 구성돼 있다.^[7] 위원회는 법무장관회의소에 증거 인수를 요청했고, 법무장관회의소는 사이버보안청을 임명해 범죄수사부의 지원을 받아 수사를 지휘하도록 했다. 위원회는 8월 28일부터 비공개 공청회와 공청회를 열었고 9월 21일부터 10월 5일까지 또 다른 공청회가 있었다.^{[8][9][10][11]} 또한, 개인 데이터 보호 위원회는 데이터 보호에 있어 개인 데이터 보호법의 위반 가능성을 조사하여 가능한 조치를 결정했다.^[12]

조사 위원회 청문회

조사위원회 청문회는 2018년 9월 21일에 시작되었다. 첫 번째 공판에서, Kwek Mean Luck 법무장관은 일련의 직원 실수와 시스템 공백이 이 위반의 원인이 되었다고 말했다. 언급된 몇 가지 예는 1999년부터 시행된 EMR 시스템이다. 이와 함께 이번 사건의 배후 사이버 공격자가 해킹 도구를 이용해 이르면 2017년 8월부터 워크스테이션에 감염되기 시작했다는 내용도 거론됐다. 사용 중인 마이크로소프트 아웃룩 버전에는 그 해킹 도구에 의한 공격을 막는 패치가 없었다. 2017년 12월~2018년 5월 사이 사이버 공격기가 옆으로 이동해 워크스테이션에 접근해 다른 컴퓨터에 악성코드를 감염시켰다. 확인된 또 다른 불충분한 점은 존재하지 않는 계정이나 시스템에 큰 권한이 없는 계정으로 수행된 시스템 로그인에 대한 여러 번의 실패 시도를 식별할 수 없다는 것이다. 결국 6월 26일 코딩 취약점을 통해 진입에 성공해 관리자가 제지하는 7월 4일까지 SQL 질의를 보냈다. 또 사이버 공격에 대한 지식이 처음 알려진 며칠이 지나도록 직원들이 대응하지 않거나 대응하지 못한 기간도 3건이었다. 이날 직원 2명은 사이버 공격을 보고할 수 있는 프레임워크가 마련돼 있지만, 어떻게 해야 할지에 대한 교육이 미흡해 어떤 조치를 취해야 할지가 불분명하다고 말했다.^[13][14][15]

9월 24일 다음 공판에서 리셴룽 총리의 개인자료와 외래환자 기록과 함께 익명의 2명이 NRIC 번호를 이용해 서버에 잠입한 해커들에 의해 검색된 사실이 밝혀졌다. 나머지 질의는 일반적으로 싱가포르 종합병원의 최초 2만 건의 기록과 같은 환자 인구통계학적 데이터에 대해 이루어졌다. 이를 통해 비정상적인 활동을 감지한 수석 분석가는 자신의 범위가 아닌 다른 부서에 경고를 보내 해당 쿼리를 이해할 수 있는 직원을 찾아냈다. 애널리스트의 상사는 애널리스트에게 상황을 계속 모니터링하라고 말했고, 그런 누설이 있다는 사실을 알리기 전까지는 의료 데이터가 없다고 생각한다고 말했다. 애널리스트가 보고 담당자에게 알렸듯이, 애널리스트에게 후속 조회를 요청하면서 직접 조회를 보고하는 것은 의미가 없었다. 보고 절차와 봉쇄 조치에 대한 세부사항이 언급되었다.^[16][17]

셋째 날에는 사건 발생 당시 휴일에 있던 통합건강정보시스템(IHIS)의 사이버보안 직원이 조사를 위해 작업대에서 자료를 수집한 것으로 보여 이메일을 읽고도 후속 조치를 취하지 않았다. 또 IHIS의 컴퓨터 1대만 사용하여 법의학 검사를 실시함으로써 문제 진단이 지연되었다.^[18] 이는 재판 나흘째까지 확정되는데, 심판의 실패와 조직적 과정이 노출된다. 예를 들어, 보안 관리 부서와의 회의는 정기적으로 실시되지 않았으며, 사이버 보안 위험에 대한 적절한 대응책을 마련하거나 직원이 휴직할 경우 커버링 담당자를 임명할 수 있는 프레임워크가 만들어지지 않았다. 2018년 3월 경영진으로부터 사고 에스컬레이션을 위한 표준 운영 절차를 승인받은 프로세스에 대한 설명이 제공되었다. IHIS 직원이 동료들에게 데이터가 도난당하지 않았다고 잘못 알리면서 직원들이 7월 4일 이후 6일을 더 소요한 사실도 이날 드러났다. 그 질문들은 나중에 재현되었다.^[19][20][21]

해커가 악용한 서버가 월 몇 차례 패치를 했던 통상적인 기간과 비교해 워너크라이 랜섬웨어 공격으로 2017년 5월 이후 1년여 만에 보안 업데이트를 받지 못한 사실도 5일 밝혀졌다. 게다가 컴퓨터의 안티바이러스 소프트웨어는 너무 오래되어서 다시 설치해야 했다. 매니저는 서류상으로는 서버를 관리하도록 되어 있지 않았지만, 실제로 2014년에 서버가 싱가포르 국립암센터에 위치해 있어 도움이 필요할 경우 직원들이 접근하는 것이 편리하다. IHIS에는 서버 관리를 맡을 사람이 없었다. 실제로 IHIS 이사는 2014년 IHIS가 리서치 서버를 관리하지 않겠다는 지시만 했을 뿐 실제 서버가 회사에 의해 관리되지 않는다는 사실을 알지 못했다.^[22][23] 다음 날, 플러그가 꽂히지 않은 보안 허점이 긁혔다. IHIS 직원이 허점을 플래그로 표시했음에도 불구하고 아무런 조치도 취하지 않았다. 실제로 이 직원은 경쟁업체에 결함의 세부사항을 보낸 뒤 해임됐다.^[24][25][26]

2018년 10월 5일 두 번째 청문회가 끝날 무렵, 공격자들이 능숙해지자 7월 19일 다른 서버를 통해 서버를 해킹하려는 두 번째 시도가 있었던 것으로 밝혀졌다. 이것은 시작하자마자 즉시 중단되었다. 또한 사용된 멀웨어는 시스템에 맞게 사용자 정의되었으며 상위 안티바이러스 소프트웨어에서 탐지되지 않았다. 이 과정에서 PowerShell이라는 도구가 사용되어 7월 13일에 비활성화되었다. 한편 IHIS는 비밀번호 변경, 손상된 계정 제거, 서버 재부팅 등으로 보안을 강화했다.^[27][28]

세 번째 청문회는 2018년 10월 31일에 시작되었다. 관리자들이 사건 보고를 꺼리는 것은 업무량이 증가해 병목현상이 발생한다는 증거였다. 한편 최고정보책임자는 팀원들에게 병목현상은 용납될 수 없다며 IHIS 직원이 어떤 사건을 발견하면 싱헬스 관련 사이버보안 사건을 어떻게 보고할지에 대한 서면 의정서가 없다고 말했다. 또 다른 지적은 매년 사이버보안 훈련이 중요정보 인프라(CII) 사업자에게 의무화돼 있기 때문에 직원들이 지능적 지속적 위협(APT)을 파악할 수 있어야 한다는 것이다. 그러나 이러한 테스트는 교실 설정을 위한 것이었으며, SingHealth 사례에는 반드시 적용되지 않을 수 있으므로 상황 인식이 없다면 이러한 연습의 목적을 저버린다. 헬스케어 분야에서도 2018년까지 안전한 인터넷 브라우징 계획이 있었지만 기술적인 문제로 1년 늦춰질 수밖에 없었다.^[29][30][31]

다음 날 싱가포르 종합병원과 클라우드 기반 시스템 간 네트워크 링크에서 시스템적 약점을 찾아낸 2016년 감사결과 IHIS가 관리하는 시스템의 미흡함이 더 드러났다. 이 사건은 운영팀이 이들 취약점을 해결하기 위한 작업이 이뤄졌는지를 아무도 확인하지 않은 채 경영진에 '플러그드'된 것으로 보고됐다. 사이버보안청도 이번 조사에서 비슷한 취약점을 발견했다. 이 때문에 운영팀, 기술팀, 내부감사팀에서 컴플라이언스 검사를 실시하는 '3선 방어'가 생기고, IHIS에 대한 교육을 강화해 공격의 조기 감지가 확보되도록 할 예정이다.^[32] 다음날 지적했듯이 취약점이 발견되더라도 공공의료기관이 24시간 운영돼 다운타임이 거의 발생하지 않아 기대만큼 빠르게 고쳐지지 않을 수 있다.^[33]

이후 청문회에서는 싱헬스 임원들이 전 직원을 대상으로 사이버 안전의식을 제고하는 것은 물론 환자의 데이터를 엄격하게 포착할 수 있는 새로운 시스템을 구축하겠다고 밝혔다. 그것은 또한 환자들이 처방전 없이 세부 사항을 갱신할 수 있게 할 것이다. 최신 사이버 위협에 대한 직원들의 업데이트를 위해 더 많은 타운홀이 열릴 것이며, 로그인 메시지가 데이터 보호의 중요성을 강조하기 위해 강화될 것이다. 스토리텔링 형식도 이러한 개념을 설명하는 데 사용될 것이다.^[34][35] 이후 청문회에서는 데이터 침해를 시뮬레이션하는 사이버 보안 연습이 더 많이 요구되었는데, 이 연습들은 유사한 사건이 다시 발생할 경우 전문가들이 어떻게 해야 하는지를 더 잘 알 수 있게 해준다. 또한, 이 전문가는 비활성 데이터를 포함하여 시스템 내의 모든 데이터를 암호화하도록 권고했다. 운영상의 문제로 인해 완전한 암호화는 실현 불가능하므로, 개인 데이터는 익명화를 위한 2단계 인증으로 대신 익명화될 수 있다. 같은 공청회에서, 많은 서면 제출이 유용한 것으로 판명되었다.^[36]

최종변론에서 한 전직 국가안전보위부 국장이 정부와 산업계 파트너들이 협력하고 정보를 공유해 새로운 위협이 출현하는 것을 서로 배우고 업데이트하도록 하자고 제안했다. 그것은 현재의 보호 조치가 계속 진화하는 취약성에 대해 불충분하기 때문이다. 같은 청문회에서 보건부의 수석 데이터 고문은 특히 안티바이러스 소프트웨어 업데이트가 네트워크 내부가 아닌 일부 컴퓨터에 대해서만 이루어질 경우 인터넷 분리가 환자의 대기시간 연장, 생산성 저하, 직원 피로 증가, 새로운 사이버 위험 등을 초래한다고 지적했다. 따라서 ISS를 계속하려면 이러한 요인을 고려해야 한다.^[37][38] 다음 날 보안 전문가는 보고 지연의 원인 중 하나인 오보를 줄이기 위해 위반 시 발생하는 모든 사건을 기록하는 중앙집중식 사고 관리 및 추적 시스템을 갖출 것을 권고했다. 게다가, 다른 채팅 플랫폼을 사용했다는 것은 공격에 대한 중요한 세부사항들이 없어졌다는 것을 의미했고, 따라서 사건과의 연관성은 그리 많지 않았다.^[39]

마지막 날 데이비드 고 사이버보안청장은 사이버 공격 시 보다 신속한 대응이 보장될 수 있도록 보건분야 IT 담당자의 사고 보고 방식을 바꾸고, 해당 분야의 IT 프로세스와 직원 교육을 실시할 것을 제안했다. 또한 사이버 보안 프로세스를 사후 고려로서만 존재하는 것이 아니라 핵심으로 간주할 것을 제안했다. 따라서 청문회는 2018년 11월 14일에 마무리되었다.^[40][41][42]

폐막작전은 2018년 11월 30일에 열렸다. 사이버 보안을 개선하기 위한 제안은 조직 내 "침해 추정" 사고방식을 포함하여 필요한 조치를 취하고, 그러한 조치를 보완할 수 있는 적절한 인력과 프로세스를 갖추는 것을 포함하여 공유되었다. 관리자 비밀번호는 15자로 돼 있지만 2012년 이후 바뀌지 않은 8자로 문제가 된 비밀번호는 1개라는 지적도 나왔다. 마지막으로 사이버 공격을 늦추기 위한 조치를 취했더라도 고도화된 지속적 위협(APT)을 통해 공격이 이뤄졌다는 점에 유의해야 한다.^[43][44] 이후 S에게 보고서를 제출했다. 2019년 1월 10일 공개된 공개 버전으로 2018년 12월 31일 이스와란.^[45][46]

보고서 공개

2019년 1월 10일 조사위원회는 싱헬스 위반에 대한 보고서를 발표했다. 보고서는 직원들이 사이버 보안에 대해 불충분한 교육을 받고 있기 때문에 그들은 공격을 멈출 수 없다는 것을 발견했다. 핵심 참모들은 압력을 두려워하는 공격을 막기 위해 즉각적인 조치를 취하지 않았다. 엎친 데 덮친 격으로 네트워크와 시스템의 취약성이 빠르게 패치되지 않고, 공격자가 숙달되어 있다는 점까지 겹쳐진다. 결과적으로, 공격자들은 침입하기 쉽다는 것을 알았다. 보고서는 만약 직원들이 적절한 훈련을 받고 취약점을 빨리 고쳤다면, 이 공격을 피할 수 있었을 것이라고 지적했다. 보고서는 또한 이것이 고급 영구 위협 그룹의 소행이라는 것을 발견했다.^[47]

같은 보고서에서 조사위원회는 사이버 보안을 강화하기 위한 16가지 권고안을 우선순위와 추가 권고로 구분했다.^[48] 다음 구성 요소:

• 우선 순위:
  • iHiS 및 공중 보건 기관의 향상된 보안 구조 및 준비 상태 채택
  • 온라인 보안 프로세스를 검토하여 사이버 공격 방어 및 대응 능력 평가
  • 사이버 공격에 대한 직원 인식 개선
  • 특히 중요 정보 인프라(CII) 시스템에서 향상된 보안 검사 수행
  • 권한 있는 관리자 계정으로 제어 강화 및 모니터링 강화
  • 사고 대응 프로세스 개선
  • 보다 높은 사이버 보안을 달성하기 위해 업계와 정부 간의 파트너십 구축
• 추가:
  • IT 보안 위험 평가 및 감사는 반드시 진지하게 처리하고 정기적으로 수행되어야 함
  • 전자 의료 기록의 기밀성을 보호하기 위해 강화된 안전장치가 마련되어야 한다.
  • 공격에 대한 도메인 보안 향상
  • 강력한 패치 관리 프로세스 구현
  • 사이버 보안을 중심으로 소프트웨어 업그레이드 정책 구현
  • 외부 위협에 대한 노출을 제한하는 인터넷 액세스 전략 구현
  • 사이버 보안 사고에 언제 어떻게 대응해야 하는지에 대한 보다 명확한 지침
  • 컴퓨터 보안 사고 대응 인력의 역량 향상
  • 네트워크에 대한 침식 후 독립적 법의학적 검토를 고려하십시오.

2019년 1월 15일 S. 이스와란 정보통신부 장관은 국회에서 정부가 보고서의 권고사항을 수용했으며 이를 완전히 채택할 것이라고 발표했다. 또한 CII의 보안을 강화하기 위해 사이버보안법 시행에 박차를 가했다.^[49] 이와는 별도로 간 김용 보건부 장관은 싱가포르의 보건 기관과 IHIS의 거버넌스 및 운영 강화를 위한 변화가 있을 것이라고 발표했다. 보건부 최고정보보안책임자(MOH CISO)와 IHIS의 사이버보안 거버넌스 국장의 이중역할을 분리해 MOH CISO는 전담사무소를 두고 MOH의 상임이사국에 보고하는 한편 IHIS는 사이버보안 거버넌스 담당 국장을 별도로 두고, IHIS는 사이버보안 거버넌스 담당 국장이 바뀌게 된다.수평을 이루다 이는 IT 시스템의 운영과 거버넌스를 강화하는 데 도움이 될 것이다. 이와 함께 MOH는 공공보건의료 3개 라인(Three Line of Defense) 시스템을 구축하고 국립대 보건시스템(National University Health System)을 위한 가상 브라우저(Virtual Browser)를 시범 운영한다. 사이버 공격 직후 시행된 '인터넷 서핑 분리'에 모든 공공의료진이 잔류하고, 국가전자건강기록(NEHR) 시스템에 대한 환자 의료 데이터의 의무적 기여는 계속 유예된다.^[50]

여파

사이버 공격 이후, 모든 공공 의료 IT 단말에서 일시적으로 인터넷 접속이 해제되어 의료 네트워크에 접속하게 되었고, 추가적인 시스템 모니터링과 통제가 실시되었다.^[51]

이 공격으로 싱가포르의 스마트 네이션 이니셔티브가 2주 동안 중단되고 그 기간 동안 공공부문의 사이버 보안 정책에 대한 검토가 이루어졌다. 검토 결과 추가적인 보안 조치를 이행하게 되었고, 공공 부문 관리자에게 가능한 경우 인터넷 접속을 없애고, 그렇지 않은 경우 보안 정보 교환 게이트웨이를 사용할 것을 촉구했다.^[52] 이번 공격은 또한 싱가포르에서 전자 환자 데이터를 중앙 집중화하려는 지속적인 노력에 대한 일부 의료 종사자들의 우려를 다시 불러일으켰다. 2018년 말 의료사업자가 환자 방문 및 진단 관련 자료를 의무적으로 국가전자건강기록시스템에 제출하도록 하는 법률 통과 계획이 연기됐다.^[53] 이와 함께 보건부는 2018년 8월 6일 국가전기건강기록(NEHR)을 사이버보안청과 프라이스워터하우스쿠퍼스로 구성된 독립된 단체에서 검토한 뒤 사이버 공격의 영향을 받지 않았음에도 의사들에게 모든 기록을 NEHR에 제출해 줄 것을 요청한다고 밝혔다.^[54]

싱가포르 통화당국은 2018년 7월 24일 싱가포르의 은행들에게 유출된 데이터가 고객을 사칭하는 데 사용될 경우 고객 검증 절차를 강화하라고 지시하고 추가 정보를 요청했다. 은행들은 또한 위험도 평가를 실시하고 정보의 오용에 따른 위험을 완화하라는 지시를 받는다.^[55][56][57]

통합건강정보시스템(IHIS)은 이후 데이터 침해에 대한 공중보건 시스템을 강화했다. 모든 의심스러운 IT 사고는 24시간 이내에 보고되어야 할 것이다. 또한 모든 관리자에 대한 2단계 인증, 사전적 위협 추적 및 인텔리전스, 병원 네트워크에 최신 보안 업데이트가 있는 컴퓨터만 허용, 새로운 데이터베이스 활동 모니터링을 포함한 18가지 다른 조치들이 또한 시행되고 있다. 가상 브라우저를 대안으로 시범 운영하면서 건강관리 시스템의 일부 부분에서 인터넷 분리 체계(ISS)를 영구적으로 유지하기 위한 연구가 수행된다.^[58][59]

보고서가 공개된 뒤 2019년 1월 14일 통합건강정보시스템(IHIS)은 중간관리감독관 2명과 브루스 리아 CEO 등 고위관리진 5명에게 각각 금융제재 조치를 내리고, 직원 2명을 해임하고 1명을 강등시켰다.ng. IHIS로부터 3명의 직원이 직무 범위에 속하지 않는 상황에서도 사건을 부지런히 처리했다는 찬사를 받았다. IHIS는 이후 사이버 보안을 강화하기 위한 18가지 조치들을 신속하게 추적해왔다.^[60][61] 다음날, 개인 데이터 보호 위원회는 개인 데이터 보호법에 따라 개인 데이터를 충분히 보호하지 않았다는 이유로 IHIS 75만 달러와 SingHealth 25만 달러를 벌금으로 부과하여, 데이터 침해에 대해 부과되는 가장 큰 벌금이 되었다.^[62]

이어 2019년 3월 6일 사이버보안업체 시만텍이 사이버 공격 배후에 있는 국가지원단체 '화이트플라이'를 확인했다. 비록 국가가 확인되지 않았지만, 그 그룹은 2017년 이후 싱가포르에 본사를 둔 여러 기업들에 대한 사이버 공격의 배후로 밝혀졌다.^[63][64]

참조