[식약처 의약품안전나라] 인증 없이 비공개 임상시험 문서 2,672건 노출…보고담당자 1,195명 이름·휴대전화·이메일 유출_2026년 10월

식품의약품안전처가 운영하는 의약품 통합정보 포털 '의약품안전나라'에서 로그인·인증 없이 비공개 임상시험 결과 문서 2,672건을 내려받을 수 있었던 사실이 국정감사에서 드러났습니다. 식약처는 조사 결과 임상시험 보고담당자 1,195명의 이름·휴대전화번호·이메일이 유출됐다고 밝히고, 10월 14일 홈페이지에 사과문을 게시했습니다.

□  개요 

   식품의약품안전처는 2026년 10월 14일 의약품안전나라 홈페이지에 '의약품안전나라 개인정보 유출 사실 안내 및 사과문'을 게시하고, 임상시험 보고담당자 1,195명의 개인정보가 유출됐다고 사과했습니다.
    이 사고는 10월 13일 국회 보건복지위원회 식약처 국정감사에서 드러났습니다. 국민의힘 이소희 의원은 일반 이용자에게 비공개로 처리된 임상시험 결과 문서 2,672건을 해킹이나 로그인·비밀번호 없이, 생성형 AI 도구인 챗GPT를 활용해 내려받았다고 지적했습니다. 확보된 문서 중 839건에는 제약·바이오 기업의 비공개 정보가, 2,208건에는 임상시험 담당자의 개인 휴대전화번호 등이 담겨 있었습니다.
    식약처는 10월 12일 0시경 비정상적인 접근으로 홈페이지 내 임상시험 정보가 유출된 것을 인지했고, 국감 당일인 13일 새벽 외부 접근을 차단했습니다. 이후 조사에서 보고담당자의 이름, 휴대전화번호, 이메일 3개 항목이 1,195명분 유출된 것을 확인하고 개인정보보호위원회에 신고했습니다. 피해 접수는 한국의약품안전관리원 의약품통합정보관리시스템 상담센터(1544-9563)가 맡고 있습니다.

 

□  사고내용 요약  

    1. 회사명 : 식품의약품안전처 – 의약품안전나라(의약품통합정보시스템)
    2. 사고유형
        - 웹 취약점(접근 권한 검증 미흡)으로 비공개 임상시험 문서가 로그인·인증 없이 조회·다운로드되어 개인정보 유출
    3. 유출규모
        - 임상시험 보고담당자 1,195명(식약처 조사 결과)
        - 노출 문서 : 비공개 임상시험 결과 문서 2,672건(비공개 기업정보 포함 839건, 담당자 휴대전화번호 포함 2,208건, 일부 중복 가능)
    4. 유출항목(총 3개)
        - 신원정보 : 보고담당자 이름
        - 연락처 : 보고담당자 휴대전화번호, 이메일
        - (참고) 개인정보 외 노출 자료 : 비공개 기업정보, 시험약 유효성·중대한 이상반응 등 신약개발 관련 임상시험 결과

    5. 특이사항
        - 고난도 해킹이 아니라 로그인·비밀번호 없이 비공개 문서를 내려받을 수 있었던 접근 권한 검증 부재가 원인으로, 국회의원실이 챗GPT를 활용해 확보함
        - 유출 대상이 일반 이용자가 아니라 임상시험 결과를 보고한 제약·바이오 기업 등의 보고담당자여서, 업무 메일·문자를 가장한 맞춤형 피싱·사칭 연락에 악용될 위험이 있음
        - 개인정보뿐 아니라 비공개 기업정보(839건)와 신약개발 관련 임상 결과가 함께 노출되어, 기업 영업비밀 유출 우려도 제기됨
        - 식약처는 국회의 같은 종류 자료 요구는 영업비밀을 이유로 거부해 왔다는 지적을 받음(최근 10년 96건 중 95건 비공개)
        - 식약처는 국감 전날(10/12) 인지하고 13일 새벽 차단했으며, 처장이 관리 소홀을 인정하고 사과함
        - 피해 접수는 식약처가 아니라 한국의약품안전관리원 상담센터(1544-9563, nedrug@drugsafe.or.kr)에서 받음
        - 국회의원실 외 제3자의 다운로드 여부, 최초 노출 시점, 문서별 다운로드 기록은 아직 확인되지 않음

□  사고대응 타임라인  

    - 최초 노출 시점
        . 시점 미공개(비공개 문서가 인증 없이 조회 가능한 상태가 언제부터였는지 미확인)
    - 2026년 10월 12일 0시경
        . 식약처, 비정상적인 접근으로 홈페이지 내 임상시험 정보가 유출된 것을 인지
    - 2026년 10월 13일
        . 새벽, 외부 접근권한 차단 긴급 조치
        . 국회 보건복지위원회 국정감사에서 이소희 의원이 비공개 임상시험 문서 2,672건 노출 지적
        . 오유경 식약처장, 관리 소홀 인정·사과, 자료 폐기 요청 의사 밝힘
    - 2026년 10월 14일
        . 의약품안전나라 홈페이지에 '개인정보 유출 사실 안내 및 사과문' 게시(보고담당자 1,195명 유출 확인)
        . 개인정보보호위원회 신고
    - 진행 중
        . 유출 경로·피해 범위 전수 조사, 자료 보호 체계 재정비
        . 한국의약품안전관리원 상담센터(1544-9563) 피해 접수

□  개인정보 유출 관련 홈페이지 안내  

의약품안전나라 개인정보 유출 사실 안내 및 사과문
2026-10-14

의약품안전나라를 이용해 주시는 모든 분께 머리 숙여 사과드립니다.

의약품안전나라에서 2026년 10월 12일 00시경 비정상적인 접근을 통해 홈페이지 내 임상시험 정보가 유출됨을 인지하였으며 조사 과정에서 1,195명에 대한 개인정보가 유출된 것으로 확인되었습니다. 유출된 개인정보의 항목은 보고담당자의 이름, 휴대전화번호, 이메일 총 3개 항목입니다.

유출 사실을 인지한 후 시스템 내 검증기능 강화, 불필요 항목 조회 내용 삭제 등의 조치를 진행하였으며 추가적인 홈페이지 취약점 점검 및 보완 조치를 하였습니다. 더불어 개인정보위원회에 이 사실을 신고하였습니다.

이번 사고로 인해 유출된 개인정보를 이용하여 웹사이트 명의도용, 보이스피싱, 파밍 등 2차 피해의 우려가 있으므로 혹시 모를 피해를 막기 위하여 아래와 같이 피해최소화 조치를 취할 수 있음을 안내 드립니다.

[피해 최소화 조치]
1. 파싱 문자 및 메일 주의 : 출처가 불분명한 링크 클릭이나 개인정보·금융정보 입력 요구에 응하지 않도록 주의하여 주시기를 바랍니다.
2. 명의도용 확인 : 방지 서비스(예 : 확인서비스 등)를 이용하여 본인 명의의 부정 이용 여부를 주기적으로 확인하여 주시기를 바랍니다.

이번 사고로 인하여 개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 궁금하신 사항에 대한 문의는 아래 담당부서로 연락해 주시기를 바랍니다.

[피해 접수 담당부서]
담당부서 : 한국의약품안전관리원 의약품통합정보관리시스템 상담센터
유선전화 : 1544-9563
이메일 : nedrug@drugsafe.or.kr

이번 개인정보 유출로 인하여 손해를 입으신 경우, 다음과 같은 방법으로 권리를 구제 받으실 수 있습니다.

[권리 구제 방법]
1. 손해배상 청구 : 개인정보처리자의 법 위반으로 인하여 손해를 입으신 경우 고의 또는 과실을 입증하지 않고도 손해액을 산정하여 기관을 상대로 민사소송(청구소송)을 제기하실 수 있습니다.
2. 법정손해배상 청구 : 개인정보처리자의 고의 또는 과실로 인한 개인정보 유출 등이 인정되는 경우, 고의 또는 과실 및 실제 손해액을 입증하지 않고도 민사소송 절차를 통해 손해배상을 청구하실 수 있습니다.
3. 분쟁조정 신청 : 개인정보 침해로 인한 분쟁에 대하여 개인정보 위원회에 조정을 신청하실 수 있습니다.(www.kopico.go.kr / 국번없이 1833-6972)

 

□  대응내역  

    - (식약처) 10월 12일 0시경 비정상 접근 및 임상시험 정보 유출 인지, 13일 새벽 외부 접근권한 차단
    - (식약처) 시스템 내 검증기능 강화, 불필요 항목 조회 내용 삭제, 홈페이지 취약점 점검·보완 조치
    - (식약처) 10월 14일 홈페이지 사과문 게시, 개인정보보호위원회 신고
    - (식약처) 한국의약품안전관리원 상담센터(1544-9563, nedrug@drugsafe.or.kr)를 피해 접수 창구로 운영, 손해배상·법정손해배상·분쟁조정 안내
    - (식약처) 국감에서 관리 소홀 인정·사과, 의원실 확보 자료 폐기 요청, 유출 경로·피해 범위 전수 조사 착수
    - (국회) 접근차단 시점·외부 다운로드 현황 서면 보고, 접속기록 보존, 다른 허가·심사시스템 전수 점검 요구
     ※ 최초 노출 시점, 의원실 외 제3자 다운로드 여부, 보고담당자 개별 통지 여부, 비공개 기업정보가 노출된 기업에 대한 통지 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 비공개 문서는 화면에서 숨기는 것에 그치지 않고, 서버에서 요청마다 권한을 검증(파일 직접 접근 URL·파라미터 조작 차단, IDOR 방지)
        - 첨부파일 다운로드 경로에 인증·세션 확인과 일회성 토큰 적용
        - 자동화된 대량 조회·다운로드를 탐지·차단하는 호출량 제한과 이상 행위 모니터링
        - 공개 문서에 보고담당자 휴대전화번호 등 개인정보가 들어가지 않도록 업로드 단계 마스킹·검사 적용
        - 접속기록을 보존해 최초 노출 시점과 외부 다운로드 현황을 확인

    2. 관리적 조치
        - 의약품안전나라 외 다른 허가·심사·민원 시스템까지 같은 유형 취약점 전수 점검
        - 공공기관 대국민 웹서비스에 대한 정기 모의해킹과 AI 활용 자동화 공격 대비 점검
        - 유출된 보고담당자 개별 통지, 비공개 정보가 노출된 기업에 대한 안내와 영향 평가
        - 이용자 피해 예방 : 식약처·제약사·임상시험기관을 사칭한 문자·메일의 링크·첨부파일 열지 않기, '털린 내 정보 찾기(kidc.eprivacy.go.kr)'와 명의도용 확인 서비스로 부정 이용 여부 확인

□  관련기사(출처)  

• 의약품안전나라 개인정보 유출 사실 안내 및 사과문 - 의약품안전나라
• 국감서 뚫린 '의약품안전나라'…식약처, 개인정보 유출 사과 - 데일리팜
• 의약품 정보 포털서 1195명 개인정보 유출…식약처 사과 - 프라임경제
• 식약처 의약품안전나라 개인정보 1195명 유출…“머리 숙여 사과” - 머니투데이
• “기업 비밀이라더니” … 챗GPT 활용해 식약처 임상 문서 2672건 내려받아 - 뉴데일리
• 식약처 비공개 임상시험 문서 2672건 챗GPT로 뚫렸다 - 의약일보

감사합니다.