[국군의무사령부] 軍 병원 6곳 의료영상시스템(PACS) 비인가 접속 정황 확인_2026년 07월
국군의무사령부가 운영하는 모바일 의료영상저장전송시스템(PACS)에 비인가자가 접속해 고양·양주·포천·강릉·구리·대구 등 군 병원 6곳의 장병·민간인 의료정보에 접근한 정황이 확인됐다. 해외 IP를 통한 접속 흔적이 발견됐으며, 약 8GB(약 1,000장) 규모 정보에 비정상 접근이 이뤄진 것으로 조사됐다. 군은 시스템을 중단하고 조사 중이며 관련 장교 3명이 징계 의뢰됐다.
□ 개요
2026년 07월 24일 국회 국방위원회 임종득 국민의힘 의원실과 군 당국에 따르면 지난해(2025년) 11~12월 국군의무사령부가 운영하는 모바일 의료영상저장전송시스템(PACS)에 비인가자가 접속한 사실이 확인됐다.
해당 사실은 지난 4월 국군방첩사령부가 국군의무사령부를 대상으로 실시한 중앙보안감사 과정에서 드러났다. PACS는 엑스레이·CT·MRI 등 의료영상을 저장하고 의료진이 조회할 수 있도록 하는 시스템으로, 지난해 7월 전력화됐으며 모바일 PACS는 격오지 등 부대 밖 의료진도 휴대전화로 환자 영상을 확인할 수 있도록 6개 군 병원의 개별 서버를 통합한 형태로 구축됐다.
국방부, 사이버작전사령부, 방첩사령부, 국군의무사령부 등으로 구성된 합동조사팀 조사 결과 약 8GB(의료영상 환산 시 약 1000장) 규모의 정보에 비정상적인 접근이 이뤄진 것으로 파악됐다. 접근 대상에는 성별, 나이, 진료일자, 엑스레이 등 의료영상 정보가 포함된 것으로 전해졌으며, 방첩사·사이버작전사 공동 분석에서는 개인정보 열람을 통한 유출 가능성이 있다고 판단했다.
피해가 의심되는 곳은 고양·양주·포천·강릉·구리·대구 등 6개 군 병원으로, 병사·부사관·장교·장성뿐 아니라 민간인도 이용하는 시설이다. 비인가자 침투 당시 PACS에는 군 관계자와 민간인을 포함해 총 115만명분의 영상 데이터가 축적돼 있었던 것으로 알려졌다.
조사 과정에서 비인가자가 해외 여러 국가의 IP를 통해 접속한 흔적도 확인됐다. 다만 어떤 의료영상을 실제로 열람하거나 내려받았는지 등 구체적인 자료 유출 여부는 확인되지 않았다. 비인가자는 보안상 닫혀 있어야 할 통신 포트를 통해 접근했으며, 해당 포트는 지난해 11월부터 올해 3월까지 외부에서 접근 가능한 상태로 방치돼 있었다.
군 당국은 지난 4월 모바일 PACS 운영을 전면 중단했으며, 시스템에 연락처가 등록된 이용자들에게 무단 접속 사실을 안내했다. 국방부는 PACS 사업을 담당해 온 국군의무사령부 소속 현역 장교 3명에 대해 사업 관리 소홀 책임을 물어 징계위원회 개최를 앞두고 있다. 한편 이 사고는 최근 확인된 국립외교원 장기간 해킹 사고와 함께 거론되며 안보 분야 정부 사이버 방어체계 전반에 대한 우려를 낳고 있다. 또 지난 1월 전남대병원·강원대병원이 각각 랜섬웨어 공격을 받아 PACS 장애를 겪은 사례도 있어, 의료기관 PACS의 보안 취약성이 반복적으로 지적되고 있다.
□ 사고내용 요약
1. 기관명 : 국군의무사령부(고양·양주·포천·강릉·구리·대구 등 6개 군 병원)
2. 사고유형
- 통신 포트 관리 미흡을 악용한 외부 비인가 접속 사고
- 의료영상 시스템(PACS) 개인 의료정보 유출 의심 사고
- 국방·안보 분야 기관 대상 해외발 침해 의심 사고
3. 유출규모
- 비정상 접근 확인 약 8GB(의료영상 약 1000장 분량)
- 침해 당시 PACS 누적 데이터 총 115만명분(실제 열람·유출 여부는 조사 중)
4. 접근(유출 의심) 항목
- 성별, 나이
- 진료일자
- 엑스레이(X-ray) 등 의료영상 정보
※ 실제 열람·다운로드 여부는 미확인 상태
5. 특이사항
- 보안상 닫혀 있어야 할 통신 포트가 약 4개월간(2025.11~2026.3) 외부에 노출된 관리 미흡이 원인
- 비인가자가 해외 여러 국가 IP를 통해 접속한 흔적 확인
- 침해 발생(2025년 11~12월)과 발견(2026년 4월 감사)까지 약 4~5개월 지연 탐지
- 병사·장교·장성뿐 아니라 민간인 이용자도 피해 대상에 포함
- PACS 사업 담당 현역 장교 3명 징계 의뢰
- 같은 시기 확인된 국립외교원 장기 해킹 사고와 함께 정부 안보 분야 사이버 보안 우려 확산
- 앞서 2026년 1월 전남대병원·강원대병원 PACS 랜섬웨어 피해 사례도 있어 의료영상 시스템 보안 취약성이 반복 제기
□ 사고대응 타임라인
- 2025년 07월
. 군 모바일 PACS 전력화(6개 군 병원 통합 아카이브 구축)
- 2025년 11월~2026년 03월
. 보안상 닫혀 있어야 할 통신 포트가 외부에 노출된 상태로 방치
. (2025년 11~12월) 비인가자, 해외 IP를 통해 PACS에 접속(침해 발생)
- 2026년 04월
. 국군방첩사령부, 국군의무사령부 대상 중앙보안감사 실시
. 비인가자 접속 사실 최초 확인
. 모바일 PACS 운영 전면 중단
. 국방부·사이버작전사령부·방첩사령부·국군의무사령부 합동조사팀 구성
- 2026년 04월~07월
. 합동조사팀, 침해 규모·경위 정밀 조사(약 8GB 비정상 접근 확인)
. 시스템 연락처 등록 이용자 대상 무단 접속 사실 안내
. 담당 장교 3명 징계 의뢰 절차 진행
- 2026년 07월 24일
. 국회 국방위원회 의원실 및 언론을 통해 사고 사실 공개
- 조사 진행 중
. 실제 자료 열람·유출 여부 확정
. 시스템 보완 및 재발 방지 대책 수립
□ 대응내역
- 비인가자 접속 확인 즉시 모바일 PACS 운영 전면 중단
- 국방부·사이버작전사령부·방첩사령부·국군의무사령부 합동조사팀 구성·운영
- 침해 규모(약 8GB) 및 경위 정밀 조사
- 시스템 연락처 등록 이용자 대상 무단 접속 사실 안내
- PACS 사업 담당 현역 장교 3명 징계 의뢰
- 개인정보 보호법에 따른 통보 조치
- 조사 결과를 토대로 시스템 보완·재발 방지 대책 수립 예정
□ 재발방지대책(권고사항)
1. 기술적 조치
- 불필요하게 개방된 통신 포트 전수 점검 및 즉시 차단
- 모바일 PACS 등 원격 접속 시스템에 대한 다중인증(MFA) 및 VPN 강화
- 해외 IP 등 이상 접속에 대한 실시간 탐지·차단 체계 구축
- 의료영상·개인정보 데이터베이스 접근권한 최소화 및 접근 로그 상시 모니터링
- 정기 보안감사 및 취약점 점검 주기 단축
2. 관리적 조치
- 군 의료시스템 사업 관리·감독 체계 강화(담당자 책임 명확화)
- 국방·안보 분야 정보시스템에 대한 정기 중앙보안감사 주기 단축
- 실제 유출 확인 시 이용자(장병·민간인) 대상 신속 통지 절차 마련
- 국방부-사이버작전사-방첩사 등 유관 부대 간 상시 협력체계 구축
- 국립외교원 등 유사 공공·안보기관 침해 사례와 연계한 범정부 보안 점검 확대
□ 관련기사(출처)
- 軍 병원 6곳 의료정보 해킹 정황…비정상 접근 - 데일리메디
- 군 의료영상 8GB 외부 노출… PACS 보안 구멍에 장교 3명 징계 - 뉴스핌
- 軍의료영상시스템도 뚫렸다…병사·장성 의료정보 접근 정황, 국방부 조사 - 파이낸셜뉴스
- 외교관 정보 이어 '군 의료 기록'에도 해킹 구멍 - 한국일보
- 장병들 엑스레이·나이·진료 정보 털렸나…軍 의료영상 해킹 정황 - 뉴스1
감사합니다.