국내 대학병원이 연이어 랜섬웨어 공격을 받으면서 의료기관 보안 취약성이 다시 한 번 수면 위로 드러났다. 

전남대학교병원과 강원대학교병원은 각각 27일과 28일 의료영상저장전송시스템(PACS)이 랜섬웨어 공격을 받아 일부 진료에 차질을 빚었다. 두 병원은 현재 복구를 완료하고 정상 진료를 재개한 상태다.

문제가 된 PACS는 MRI·엑스레이(X-ray) 등 의료영상을 디지털로 저장·관리하고 병원 네트워크를 통해 각 진료과 의료진에게 전송·공유하는 핵심 시스템이다. 

필름 기반 진료를 대체하며 2010년대 들어 종합병원의 약 96%가 도입했을 만큼, 사실상 병원 진료의 필수 인프라로 자리 잡았다.

PACS는 병원 내 다양한 의료기기와 네트워크에 연결돼 있어 사이버 공격의 주요 침투 경로가 되기도 한다. 공격으로 시스템이 마비될 경우 영상 자료 조회가 불가능해져 진단과 치료가 지연되고, 응급·중증 환자 진료에도 직접적인 영향을 미친다.

이 때문에 해커들은 병원의 ‘멈추기 어려운 구조’를 노려 PACS를 랜섬웨어로 감염시키는 사례를 반복하고 있다는 분석이 나온다.

의료기관 보안 사고가 잇따르는 배경에는 만성적인 투자 부족과 인력 공백이 자리 잡고 있다. 

한국인터넷진흥원이 2025년 12월 발표한 ‘2025 정보보호 공시 현황 분석 보고서’에 따르면, 의료 업종의 평균 정보보호 투자액은 8개 주요 산업군 가운데 가장 낮은 9억 원에 그쳤다. 

평균 정보보호 전담 인력 수도 2.7명으로 최하위 수준이다. 현장 상황은 더 심각하다. 건강보험심사평가원 학술지 ‘HIRA 리서치’에 실린 연구에 따르면, 종합병원의 94.9%는 정보보안 상주 인력이 없었고 73.7%는 전담 인력 자체를 두지 못한 것으로 나타났다.

전자의무기록(EMR)을 인터넷에 연결해 사용하는 종합병원은 71.3%에 달했지만, 침입방지시스템(IPS)을 구축한 곳은 57.6%에 불과했다. 웹방화벽(38.1%), 메일보안(33.1%) 등 기본적인 보안 솔루션조차 갖추지 못한 병원이 다수였다.

전문가들은 의료기관의 사이버 보안이 여전히 ‘사고 발생 이후 대응’에 머물러 있다고 지적한다. 병원 IT 예산이 의료장비·시설 투자에 밀려 후순위로 배치되고, 보안 역시 비용 부담으로 인식되는 구조가 고착화돼 있다는 것이다.

의료계 안팎에서는 의료기관을 단순한 민간 사업장이 아닌, 환자 생명과 직결된 국가 핵심 기반시설로 관리해야 한다는 목소리가 커지고 있다. 

의무적인 보안 투자 기준 마련과 전담 조직 구축, 정기적인 침해 사고 대응 훈련 없이는 같은 유형의 랜섬웨어 피해가 반복될 수밖에 없다는 경고다.

전남대병원과 강원대병원 사례는 단발성 사건이 아니다. 

의료 현장의 디지털 의존도가 높아질수록, 보안 공백은 곧 진료 공백으로 이어진다. 이제는 “복구했으니 끝”이 아니라, 왜 같은 사고가 반복되는지 구조를 되짚어야 할 시점이다.