← 블로그로 돌아가기

3월 2일 보안 브리핑: NIS2 시행을 앞두고 의료기관을 노리는 랜섬웨어

NIS2 규정 준수 기한을 4일 앞둔 상황에서, 랜섬웨어 조직은 규제 압박을 공격 수단으로 삼고 있습니다. 유럽의 대형 병원 세 곳이 이번 주 공격을 받았고, 의료기기를 노리는 새로운 익스플로잇 체인 때문에 FDA와 EMA가 긴급 경고를 발표했습니다.

---

🚨 이번 주의 치명적 취약점

그 밖의 치명적 CVE

CVE	제품	CVSS	영향
CVE-2026-22015	Philips IntelliSpace	9.8	SQL 인젝션 → 환자 데이터 유출
CVE-2026-22016	Siemens Teamplay	9.4	방사선 플랫폼 인증 우회
CVE-2026-22017	Medtronic CareLink	9.1	인슐린 펌프 원격 제어 취약점
CVE-2026-22018	Epic Systems EHR	8.6	다른 환자의 기록에 접근할 수 있는 IDOR

🏥 의료기관 랜섬웨어 급증

이번 주 유럽 대형 병원 세 곳이 조직적인 랜섬웨어 공격으로 마비됐습니다. 시점은 3월 6일 NIS2 기한과겹칩니다. 위협 행위자들은 몸값 지급을 극대화하려 규정 준수 압박을 노골적으로 이용하고 있습니다.

이번 주 공격받은 병원

• Charité Hospital, Berlin(독일): BlackCat 랜섬웨어가 환자 데이터, 방사선 영상, EHR 시스템 847TB를 암호화했습니다. 응급수술은 다른 시설로 이송됐습니다. 요구액은 1,200만 유로이며 병원 IT팀은 완전 복구까지 "수 주"가 걸린다고 밝혔습니다.
• Hospital Universitario La Paz, Madrid(스페인): LockBit 4.0 변종이 GE PACS 취약점(CVE-2026-22014)을 초기 침투에 악용했습니다. 병상 320개가 운영을 멈췄고 진료 예약은 11일간 취소됐습니다. 탐지 31시간 뒤 BSI에 신고해 NIS2의 24시간 규정을 위반했을 가능성이 있습니다.
• CHU Toulouse(프랑스): Royal 랜섬웨어 조직이 침해된 Philips IntelliSpace 플랫폼을 통해 의료 IoT 기기(주입 펌프와 인공호흡기)를 노렸습니다. 시스템을 재구축한 6일 동안 중환자를 수동으로 모니터링했습니다.

⚠️ 의료기기 익스플로잇 체인

미국 FDA와 유럽 EMA는 의료기기를 겨냥한 연쇄 익스플로잇에관한 공동 긴급 경고를 발표했습니다. 공격자는 여러 CVE를 결합해 병원 IT망에서 생명 유지 장비를 제어하는 운영기술망으로 이동하고 있습니다.

관찰된 공격 체인

1. 초기 침투: 가짜 NIS2 규정 준수 감사 이메일로 병원 IT 직원을 표적 스피어피싱(관찰된 열람률 95%)
2. 횡적 이동: CVE-2026-22015(Philips IntelliSpace SQL 인젝션)를 악용해 방사선망 자격 증명 확보
3. 권한 상승: 탈취한 PACS 관리자 자격 증명으로 GE Centricity 시스템 접근
4. 지속성: CVE-2026-22014 익스플로잇을 배포해 의료영상 서버에서 RCE 달성
5. 영향: 환자 데이터 암호화, DICOM 메타데이터 변경, 진단영상 조작 가능성(환자 안전 위험)

🇪🇺 NIS2 기한: 4일 남음

독일 BSI 등록 기한은 2026년 3월 6일 23:59 CET입니다. 의료기관은 NIS2에서 규제가 가장 엄격하고 제재 수위도 가장 높은 "필수 기관"으로 분류됩니다.

의료기관별 NIS2 요건

요건	의료기관에 미치는 영향	미준수 시 제재
24시간 내 침해 신고	랜섬웨어 탐지 후 24시간 안에 BSI에 신고	1,000만 유로 또는 전 세계 매출의 2%
공급망 보안	의료기기 소프트웨어 취약점에 대한 책임	1,000만 유로 또는 전 세계 매출의 2%
취약점 관리	치명적 CVE를 14일 안에 패치	1,000만 유로 또는 전 세계 매출의 2%
개인 책임	병원 CISO/CTO가 과실에 대해 형사책임 부담	형사 기소 가능

랜섬웨어 조직의 NIS2 무기화

랜섬웨어 조직은 NIS2 규정 준수 압박을 악용하도록 전술을 바꾸고 있습니다.

• 이중 갈취: 몸값을 내지 않으면 NIS2 미준수 사실을 BSI에 신고하겠다고 위협
• 시점 공격: 압박이 가장 큰 3월 6일 기한 직전 주에 캠페인 개시
• 규제 방해: 24시간 내 신고를 불가능하게 만들고 벌금을 유도하려 사고 로그 삭제
• 규정 준수 사기: 피싱으로 병원에 가짜 "NIS2 규정 준수 인증서"를 판매해 자격 증명 탈취

🔍 위협 행위자 분석

독일 의료기관을 노리는 BlackCat(ALPHV)

BlackCat 서비스형 랜섬웨어 제휴자는 NIS2 규정 준수 기간에 독일 병원을 명시적으로 겨냥합니다. 이들의 유출 사이트에는 이제 "NIS2 미준수 보고서 생성기"가있으며, 몸값을 내지 않는 피해자를 상대로 BSI 규제 민원을 자동 생성하겠다고 위협합니다.

관찰된 TTP:

• 정보 탈취 악성코드 캠페인에서 구매한 VPN 자격 증명으로 초기 침투
• CVE-2026-22014(GE PACS RCE)를 악용해 권한 상승
• 암호화 전 데이터 유출(병원당 평균 2.3TB)
• 몸값 요구를 무시하면 와이퍼 악성코드 배포(복호화 불가능)

국가 지원 정찰

독일 연방헌법수호청(BfV)은 APT29(Cozy Bear, 러시아 SVR)가 독일 의료 인프라를 상대로 정찰 작전을 수행한다고 보고했습니다. 랜섬웨어 조직과 달리 APT29는 랜섬웨어를 배포하지 않고 향후 파괴 작전에 대비해 병원망을 파악하고 있습니다.

✅ 의료기관의 즉시 조치

1. 의료기기를 즉시 패치: 위에 열거한 모든 CVE(GE PACS, Philips IntelliSpace, Siemens, Medtronic, Epic)를 패치하고 인터넷 노출 시스템을 우선 처리하십시오.
2. 네트워크 분할: 의료기기망을 IT망과 분리하고 PACS/EHR 시스템의 직접 인터넷 접근을 차단하십시오.
3. NIS2 등록: 아직 BSI에 등록하지 않았다면 오늘 처리하십시오. 4일 남았습니다. 미완성 등록이 미등록보다 낫습니다.
4. 사고 대응 훈련: 24시간 안에 침해를 탐지할 수 있는지 시험하십시오. NIS2는 문서화된 사고 탐지 역량을 요구합니다.
5. 백업 검증: 오프라인 백업을 시험하십시오. 의료기관 랜섬웨어 피해자의 73%가 복구 과정에서 백업 손상을 발견합니다.
6. DICOM 무결성 모니터링: 의료영상에 암호학적 검증을 적용하십시오. 환자 안전은 진단 정확성에 달려 있습니다.
7. 공급업체 보안 감사: NIS2에서는 의료기기 제조사의 취약점에 대해서도 책임이 있습니다. GE, Philips, Siemens, Medtronic에 취약점 공개 일정을 요구하십시오.

📚 추가 자료

• KENSAI NIS2 의료 규정 준수 가이드 — 독일 병원을 위한 단계별 체크리스트
• BSI 공식 NIS2 등록 포털 — 기한: 2026년 3월 6일
• FDA 의료기기 사이버보안 지침
• EMA 의료기기 보안 경보

---