지난해 말 국군의무사령부의 의료 영상 저장 시스템에 비인가자가 침투해 군 장병들의 엑스(X)선 영상 등 8GB(기가바이트) 분량의 의료 정보에 접근한 것으로 나타났다. 최근 국립외교원 해킹 사태로 외교관들의 신상 정보가 대량으로 유출된 데 이어 군인들의 민감 정보도 불상의 침투자에게 노출된 셈이다. 북한과 중국 등이 전방위적으로 사이버전 능력을 강화하는 가운데 정부 안팎에선 외교·안보 부처의 사이버 보안에 구멍이 뚫린 것 아니냐는 우려가 나온다.

경기도 성남시 국군의무사령부 출입문 전경. 뉴스1

23일 복수의 군 소식통과 국회 국방위원회 임종득 국민의힘 의원에 따르면 국방부 사이버 합동조사팀은 지난해 11~12월 경기도 고양·양주·포천·구리, 강원도 강릉, 대구시 등 6개 군 병원과 연계된 의무사의 ‘모바일 의료영상 저장전송 시스템(PACS)’을 통해 군 장병들의 의료 영상 자료가 대규모로 유출됐을 가능성이 크다고 결론 내렸다. 이런 조사 결과는 안규백 장관에게도 보고됐다.

합동조사팀이 망 연계 장치의 로그 분석 등을 진행한 결과 비인가자가 접속한 데이터는 8GB 규모였다. 이를 X선과 컴퓨터단층촬영(CT), 자기공명영상촬영(MRI) 영상 자료 등 PACS 내 자료로 환산하면 약 1000장 분량이라고 한다. 여기에는 환자의 이름과 성별, 나이, 진료 일자 등도 포함됐다.

PACS는 격오지 등 군부대 밖의 의료진이 휴대전화 등 개인 모바일 장비로 환자의 의료 영상을 열람할 수 있도록 한 일종의 의료 영상 아카이브다. 각 군 병원이 개별 운영하는 서버를 통합해 의료 영상 저장·전송 체계를 구축한 것인데, 침투자가 정확히 이 지점을 노려 전방위로 자료 수집을 시도했다고 볼 여지가 있다.

피해를 본 6개 군 병원은 장성·장교·부사관·병사 등 전 장병이 이용하며, 민간인도 이용할 수 있다. 침투 당시 PACS에는 이들을 포함해 총 115만 명분의 영상 데이터가 축적돼 있었다고 한다. 비인가자가 어떤 의료 영상 자료를 열람했는지, 내려받았는지 여부는 확인되지 않았다. 다만 국방부는 데이터가 광범위하게 유출됐을 가능성을 배제하지 않고 있다.

국방부 로고. 연합뉴스

특히 합동조사팀은 침투 주체와 목적을 규명하진 못했으나, 해외의 여러 국가에서 IP로 접속을 한 흔적이 나왔다고 한다. 이는 접속 장소와 주체를 흐리기 위해 해커들이 쓰는 전형적인 수법이다.

이와 관련, 임종득 의원은 “민간 병원이 아닌 군 병원에 침투했다는 건 단순히 경제적 이득을 노린 것 외에 군 장병들의 개인 정보 수집 등 안보 목적도 배제할 수 없다”며 “115만 명분의 자료가 쌓인 시스템의 보안 통로가 열려 있었고, 침투 사실조차 수개월간 파악하지 못했다는 것은 문제”라고 지적했다.

특히 비인가자는 PC 컴퓨터를 통해 PACS에 우회 접속한 것으로 드러났다. 보안상 닫혀 있어야 할 의무사 웹사이트의 특정 통신 포트가 열려 있었고, 이를 통해 PC에서 PACS 플리케이션으로 침투했다.