암젠, 클라우드 해킹에 환자정보·영업기밀 유출…’중요 사이버 사고’ 공시

• 제3자 클라우드 환경서 데이터 유출 확인…“생산·재무 시스템 영향은 없어”

미국 바이오 기업 암젠(Amgen)이 클라우드 환경에서 발생한 사이버 공격으로 환자 개인정보와 영업기밀 등이 외부로 유출됐다고 공시했다.

암젠은 31일(현지시간) 미국 증권거래위원회(SEC)에 제출한 공시(Form 8-K)를 통해 제3자 클라우드 서비스 제공업체가 운영하는 클라우드 환경에서 비인가 활동을 확인했으며, 일부 데이터가 외부로 유출된 사실을 확인했다고 밝혔다.

회사에 따르면 유출된 정보에는 영업기밀(Proprietary Data)과 환자 보호 건강정보(Patient Protected Health Information), 기타 회사 정보가 포함됐다. 암젠은 사고를 인지한 직후 사이버 보안 대응 계획을 가동하고 외부 디지털 포렌식 전문기관을 투입해 사고 원인과 영향 범위를 조사하고 있다고 설명했다.

다만 현재까지 제품 생산과 제조시설 운영, 재무보고 시스템에는 영향이 확인되지 않았으며, 환자에게 의약품을 공급하는 데도 차질은 없다고 밝혔다.

암젠은 현재 연구개발(R&D) 자료와 지식재산(IP), 기타 기밀 정보가 유출됐는지 여부를 계속 조사하고 있다. 회사는 유출된 파일의 규모와 민감성을 종합적으로 검토한 결과 이번 사건을 ‘중요(Material)’ 사이버 보안 사고로 판단해 SEC에 공시했다고 설명했다.

암젠은 이번 사고가 현재까지 회사의 재무상태나 경영실적에 중대한 영향을 미칠 가능성은 낮은 것으로 보고 있다고 밝혔다. 다만 관련 법규에 따른 규제기관 신고와 영향을 받은 환자에 대한 통지는 조사 결과에 따라 순차적으로 진행할 예정이다.

☻ 편집자 메모

이번 공시에서 가장 중요한 표현은 ‘비인가 접근’이 아니라 ‘데이터 유출(exfiltrated)’이다.

단순히 해킹 시도가 발생한 것이 아니라 환자 보호 건강정보와 영업기밀이 실제 외부로 유출된 사실을 회사가 확인했다는 의미다. 암젠은 이를 중요 사이버 사고(Material Cybersecurity Incident)로 판단해 SEC 공시 의무에 따라 공개했다.

다만 회사는 현재까지 제조시설 운영과 의약품 공급, 재무보고 시스템에는 영향을 확인하지 못했다고 밝혔으며, 연구개발 자료와 지식재산 유출 여부는 계속 조사 중이라고 설명했다.