케어클라우드 데이터 유출 피해자 375만 명 확인…의료기록·SSN·금융정보까지 노출

피해 규모가 당초 추정보다 크게 늘어난 이유

케어클라우드(CareCloud)는 해커들이 3,756,469명의 개인정보와 의료기록을 훔쳤다고 미국 보건복지부(HHS) 산하 민권국(OCR)에 신고했다. 이 수치는 2026년 미국에서 신고된 의료 데이터 절도 사건 가운데 당시 기준 다섯 번째로 큰 규모다. 당초 피해 통지 대상은 약 34만5,000명으로 알려졌지만, 연방 신고를 통해 실제 규모가 10배 이상 커졌다. 2

HHS의 OCR 침해사고 공개 포털은 500명 이상에게 영향을 준 비보호 건강정보 유출 사건을 공개하고, 현재 조사 중인 사건을 목록으로 관리한다. 케어클라우드의 신고는 2026년 8월 공개되며 이번 사고의 375만 명 이상 규모를 공식적으로 드러냈다. 피해자 수는 추가 조사에 따라 달라질 가능성이 있다. 12

공격은 2026년 3월 AWS 환경에서 발생

케어클라우드에 따르면 공격자는 2026년 3월 회사의 클라우드 저장 환경 가운데 한 곳에 6일 동안 접근했다. 이후 케어클라우드의 아마존웹서비스(AWS) 계정에 저장된 데이터를 외부로 반출했다. 2

회사는 3월 당시 네트워크 장애와 서비스 중단 사실을 공개했지만, 처음에는 피해자 규모를 약 34만5,000명으로 파악했다. 포렌식 조사와 연방 신고 과정에서 접근 및 유출 가능성이 있는 기록의 범위가 크게 확대된 것으로 보인다. 다만 공개된 자료만으로는 공격자가 AWS 환경에 처음 침입한 구체적인 경로까지 확인되지 않는다. 2

어떤 정보가 유출됐나

유출된 자료에는 다음과 같은 민감정보가 포함된 것으로 신고됐다.

• 이름과 우편 주소
• 미국 사회보장번호(SSN)
• 의료기록 및 건강 관련 정보
• 여권번호와 운전면허번호 등 정부 발급 신분증 정보
• 일부 사람의 은행정보 및 기타 금융정보 2

이 정보 조합은 단순한 연락처 유출을 넘어 신원 도용이나 금융 사기에 악용될 수 있는 유형이다. 다만 현재 공개된 자료는 각 정보 항목이 모든 피해자에게 동일하게 노출됐다는 뜻은 아니며, 금융정보 역시 일부 피해자에게만 해당한다. 2

케어클라우드는 어떤 회사인가

케어클라우드는 미국 뉴저지주에 기반을 둔 의료기술 기업이다. 병원, 의사 진료실 및 기타 의료기관을 대상으로 전자의무기록(EHR)을 저장하고, 청구와 진료실 운영에 필요한 데이터를 처리하는 서비스를 제공한다. 2

따라서 케어클라우드가 직접 환자를 진료하지 않더라도, 고객 의료기관을 대신해 수많은 환자의 의료·신원·청구 관련 정보에 접근할 수 있다. 이번 사고의 피해 규모가 회사 자체 고객 수를 넘어 수백만 명 단위로 확대된 배경도 여기에 있다. 2

아직 답변되지 않은 핵심 질문

케어클라우드는 3월 침해 사실을 알린 이후 공격 과정에 대한 상세한 설명을 공개적으로 내놓지 않았다. 보도에 따르면 최고경영자(CEO) 스티븐 스나이더는 몸값을 지급했는지, 사이버보안 업무의 책임자가 누구였는지, 사임할 계획이 있는지 등에 관한 질문에 답하지 않았다. 2

현재 공개적으로 확인된 사실만으로는 다음 사항을 단정할 수 없다.

• 케어클라우드가 해커에게 몸값을 지급했는지
• 특정 랜섬웨어 또는 사이버범죄 조직이 공격을 주도했는지
• 회사 경영진에게 법적·관리상 책임이 인정될지
• 스티븐 스나이더 CEO가 사임할 예정인지 2

즉, 피해 규모와 일부 유출 정보는 연방 신고로 확인됐지만, 공격자의 신원과 침입 경로, 협상 또는 몸값 지급 여부는 여전히 공개된 정보가 제한적이다.

2026년 미국 의료 데이터 유출 가운데 어느 정도 규모인가

케어클라우드 사고는 당시 공개된 신고 기준으로 2026년 미국 의료 데이터 유출 가운데 다섯 번째로 큰 사건으로 분류됐다. 인지도가 높은 비교 사례로는 다음이 있다.

• TriZetto Provider Solutions: 3,433,965명 영향. 케어클라우드보다 적은 규모로 신고됐다. 13
• DentaQuest: HHS 신고상 1,500만 명 영향으로 기록돼 케어클라우드보다 훨씬 크다. 13
• Craneware: 2026년 주요 의료기술 분야 침해 사례로 언급됐지만, 공개 보도만으로는 케어클라우드와 직접 비교할 수 있는 최종 피해자 수가 확정되지 않았다. 따라서 현재 자료만으로 순위를 매기는 것은 적절하지 않다. 3

케어클라우드 사건이 특히 주목받는 이유는 의료기관이 사용하는 전자기록·청구 시스템의 사업자가 침해되면서, 의료정보뿐 아니라 신원확인 및 금융 관련 정보까지 한꺼번에 영향을 받았기 때문이다.