치과 진료소 소프트웨어 개발사, 환자 의료 기록 노출 버그 수정

(techcrunch.com)

TechCrunch2026년 4월 30일개발자 도구

치과 관리 소프트웨어 개발사인 'Practice by Numbers'에서 URL의 문서 번호만 변경하면 타인의 의료 기록을 볼 수 있는 심각한 보안 결함이 발견되어 수정되었습니다. 이번 사건은 기술적 취약점뿐만 아니라, 보안 문제를 제보하려는 사용자의 연락을 무시하거나 제보 채널이 부재했던 회사의 미흡한 대응 프로세스가 큰 문제로 지적되었습니다.

이 글의 핵심 포인트

1Practice by Numbers의 환자 포등에서 URL 숫자 변경만으로 타인의 의료 기록에 접근 가능한 IDOR 취약점 발생
2환자의 개인정보, 의료 이력, 신분증 사진 등 민감 데이터 노출 확인
3회사의 보안 제보 이메일이 작동하지 않아 사용자가 TechCrunch에 직접 제보하는 사태 발생
4회사는 취약점 수정 후 10명 미만의 환자에게만 영향이 있었다고 발표했으나, 보안 감사 실시 여부는 불투명함
5보안 제보 채널 부재 및 대응 미비가 기업의 신뢰도 하락을 가속화함

이 글에 대한 공공지능 분석

왜 중요한가

민감한 의료 데이터를 다루는 헬스케어 SaaS 기업에 있어 데이터 노출은 단순한 버그를 넘어 기업의 존립을 흔드는 법적·윤리적 리스크입니다. 특히 기술적 결함보다 '보안 제보 채널의 부재'라는 운영적 실패가 언론을 통해 공론화되면서 기업의 신뢰도를 회복 불가능한 수준으로 떨어뜨릴 수 있음을 보여줍니다.

배경과 맥락

최적화된 사용자 경험을 위해 제공되는 '환자 포털'과 같은 기능이 보안 설계(Security by Design) 없이 도입될 때 발생하는 전형적인 IDOR(Insecure Direct Object Reference) 취약점을 보여줍니다. 최근 글로벌 기업들에서도 보안 취약점을 발견한 사용자가 적절한 제보 경로를 찾지 못해 언론에 먼저 알리는 사례가 빈번해지고 있습니다.

업계 영향

B2B2C 모델을 채택한 소프트웨어 기업들은 자사 제품이 최종 사용자(환자)의 데이터를 직접 노출할 수 있는 접점이 있음을 인지해야 합니다. 보안 감사(Security Audit)와 더불어, 보안 연구자나 사용자가 문제를 안전하게 알릴 수 있는 '취약점 공개 프로그램(VDP)' 구축이 필수적인 업계 표준으로 자리 잡고 있습니다.

한국 시장 시사점

개인정보보호법이 매우 엄격한 한국 시장에서 의료·금융 데이터를 다루는 스타트업은 기술적 방어만큼이나 '사후 대응 프로세스' 구축에 집중해야 합니다. 보안 사고 발생 시 초기 대응 실패와 소통 부재는 막대한 과징금과 함께 서비스 폐쇄로 이어질 수 있는 치명적인 경영 리스크입니다.

이 글에 대한 큐레이터 의견

스타트업 창업자들에게 이번 사례는 '보안은 기능(Feature)이 아니라 기반(Foundation)이다'라는 격언을 다시금 상기시킵니다. 기술적으로는 URL의 순차적 번호(Sequential ID)를 사용한 것이 치명적인 실수였지만, 더 큰 위협은 회사의 '소통 불능' 상태였습니다. 보안 제보 이메일이 작동하지 않고, 링크드인 메시지조차 무시하는 태도는 잠재적 보안 전문가를 '적'으로 만드는 행위이며, 이는 결국 TechCrunch와 같은 매체를 통해 기업의 치부를 드러내는 부메랑이 되어 돌아왔습니다.

따라서 초기 단계의 스타트업이라 할지라도, 최소한의 보안 제보 채널(Security.txt 등)을 마련하고, 취약점 발견 시 이를 은폐하거나 무시하기보다는 투명하게 인정하고 수정 과정을 공유하는 '책임 있는 공개(Responsible Disclosure)' 문화를 내재화해야 합니다. 보안 사고를 막는 것은 어렵지만, 보안 사고를 '관리 가능한 위기'로 만드는 것은 기업의 운영 역량에 달려 있습니다.

원문 보기 →