6개 군병원에서 발생한 비인가 접속
2025년 11월에서 12월 사이, 국군의무사령부가 운용하는 모바일 의료영상저장전송시스템(PACS)에 비인가자가 접속한 사실이 뒤늦게 확인되었습니다. 고양, 양주, 포천, 강릉, 구리, 대구 등 총 6개 군병원에서 비슷한 시기에 접근 흔적이 포착되었는데요. 당시 시스템에는 군 장병은 물론 민간인 환자까지 포함해 115만 명분의 영상 데이터가 저장되어 있었습니다. 실제로 열람된 데이터는 엑스레이 기준 약 1,000장, 용량으로는 약 8GB 규모로 파악되었습니다. 다만 이 자료들이 실제 외부로 유출되었는지는 아직 명확히 밝혀지지 않았습니다.
사실 이 사건은 2026년 4월 국군방첩사령부가 의무사를 대상으로 진행한 중앙보안감사 과정에서 처음 식별되었습니다. 방첩사와 사이버작전사령부가 공동으로 조사를 벌인 결과, 개인정보가 포함된 의료 영상에 무단 접근이 있었을 가능성이 높다고 판단했습니다. 이에 국방부는 해당 사실을 인지하자마자 모바일 PACS 서비스 운영을 전면 중단하는 조치를 내렸습니다.
열려 있던 통신포트가 사고의 발단
이번 침입이 가능했던 건 기본적인 보안 통제가 제대로 작동하지 않았기 때문입니다. 조사 결과, 비인가자는 개방되어 있던 통신포트를 통해 시스템에 접속한 것으로 나타났습니다. 해당 포트는 2025년 11월부터 2026년 3월까지 장기간 열려 있었으며, 이 사이 누구든 쉽게 진입할 수 있는 상태였던 셈입니다. 국방부는 시스템 도입 초기 관리 미흡이 이번 사고의 직접적인 원인이라고 설명했습니다.
해당 시스템은 2022년부터 2025년 6월까지 진행된 '국방의료정보체계 성능개량사업'을 통해 마련된 모바일 기반 아카이브였습니다. 기존에 6개 병원이 각각 운영하던 서버를 통합하는 과정에서 보안 설정이 소홀해진 것으로 보입니다. PACS는 엑스레이와 CT, MRI 등 민감한 의료 영상을 다루는 핵심 인프라인데요. 이런 시스템의 관리가 허술했다는 점에서 군 내부 정보보호 체계에 대한 우려가 커지고 있습니다.
민감 의료정보 보안, 재발 방지는
노출된 정보에는 성별, 연령, 진료일자와 함께 의료 영상이 포함되어 있어 피해 규모가 적지 않습니다. 특히 현역 군인뿐 아니라 군병원을 이용한 민간인의 개인정보도 함께 저장되어 있어 사안은 더욱 민감합니다. 국방부는 관련 책임이 있는 의무사 소속 현역 장교 3명에 대해 징계위원회를 열어 책임을 묻고 있으며, 연락처가 확인된 대상자들에게는 순차적으로 무단 접속 사실을 통보했습니다.
물론 군 당국도 재발 방지를 위해 여러 대책을 준비하고 있습니다. 외부 접근 차단, 인증 체계 강화, 접속 기록 상시 모니터링 등을 검토 중이며, 사업 관리와 감독 체계 전반을 다시 점검할 계획이라고 밝혔습니다. 다만 모바일 PACS 서비스를 언제 다시 개시할지는 보안 체계를 충분히 정비한 뒤에야 결정될 예정입니다. 기본적인 포트 관리조차 되지 않았던 만큼, 군 의료정보 시스템의 전반적인 보안 수준을 되짚어볼 필요가 있어 보입니다.