의사 남편과 회계사 아내가 병원 랜섬웨어 당하고 보험금 0원 받은 이유

새벽 3시에 걸려온 간호사의 다급한 전화를 아직도 잊을 수가 없어요. "원장님, 큰일 났어요. 접수 컴퓨터에서 이상한 화면이 떠요..." 작년 9월 27일 새벽이었는데, 그 전화 한 통으로 저희 부부가 7년간 일궈온 병원이 완전히 뒤집어졌죠. 남편은 내과 의사고 저는 회계사로 병원 재무를 담당하면서 나름 안정적으로 운영해왔다고 생각했거든요. 그런데 그날 새벽, 우리가 얼마나 안일했는지 뼈저리게 깨달았어요.

부랴부랴 병원에 도착해서 본 광경은 정말 충격적이었어요. 모든 모니터에 빨간 자물쇠 그림이랑 "Your files have been encrypted"라는 메시지가 떠 있더라고요. 간호사는 울먹이면서 "환자 기록이 하나도 안 열려요"라고 하고, 저는 떨리는 손으로 회계 프로그램을 켜봤는데 역시나 똑같았어요.

그 후 72시간은 정말 지옥 같았죠. 첫날엔 그나마 수기로라도 진료를 해보려고 했어요. 근데 환자들의 과거 병력이나 복용 약물, 알레르기 정보 없이 진료한다는 게 얼마나 위험한지 금방 알게 됐죠. 결국 응급 환자만 받고 나머지 분들은 죄송하다고 돌려보낼 수밖에 없었어요.

둘째 날에는 IT 전문업체 직원이 와서 봤는데, 고개를 절레절레 흔들더라고요. "최신 랜섬웨어네요. 복호화 키 없이는 불가능합니다." 3년 동안 차곡차곡 쌓아온 환자 데이터며 재무 기록, 보험 청구 자료가 전부 인질로 잡힌 셈이었죠.

셋째 날, 더는 기다릴 수 없어서 결단을 내렸어요. 백업 데이터가 2개월 전 것밖에 없었지만, 그거라도 복원하기로 한 거죠. 그 사이에 쌓인 데이터는 영영 날아간 거예요. 정말 막막했어요.

가장 마음 아팠던 건 단골 환자분들의 반응이었어요. "우리 개인정보는 안전한가요?" "혹시 다른 병원으로 옮겨야 하나요?" 7년 동안 정말 열심히 쌓아온 신뢰가 단 72시간 만에 와르르 무너지는 걸 그냥 지켜봐야만 했어요.

사건이 터지고 나서 당연히 보험 처리가 될 거라고 생각했어요. 매달 보험료도 꼬박꼬박 냈고, 배상책임보험에 재산종합보험까지 빈틈없이 들어놨으니까요. 그런데 보험사 직원이 하는 말을 듣고 정말 할 말을 잃었어요. "고객님, 사이버 공격은 일반 보험 약관에서 보장하지 않습니다."

화재나 도난, 의료사고까지 다 대비했는데 정작 가장 현실적인 위협인 사이버 공격은 보장 범위에 없다니, 정말 어이가 없더라고요. 회계사인 제가 손실액을 계산해보니까 더 암담했어요. 시스템 복구 비용 1,200만원, 3일 휴진으로 인한 수익 손실 2,100만원, 환자분들께 안내문 보내고 보상하는 데 900만원, 새로운 보안 시스템 구축하는 데 600만원...

근데 진짜 손실은 여기서 끝이 아니었어요. 사건 후 3개월 동안 환자 수가 30%나 줄어서 추가 손실이 5,000만원이나 됐죠. 돈도 돈이지만, 신뢰를 잃은 게 제일 아팠어요.

그 일을 겪고 나서 저는 정말 미친 듯이 사이버보험을 공부했어요. 의료계 지인들한테 물어봤더니 놀랍게도 대부분이 우리처럼 무방비 상태더라고요. 3개월 동안 여러 보험사를 만나고 약관을 분석하면서 깨달은 게 있어요. 병원이야말로 사이버보험이 꼭 필요한 곳이라는 거예요. 환자의 민감한 의료정보를 다루고 있고, 시스템이 멈추면 생명과도 직결될 수 있으니까요.

특히 기억에 남는 건 한 보험사 직원이 했던 말이에요. "요즘 해커들은 대형병원보다 보안이 취약한 중소병원을 노립니다. 돈을 낼 능력은 있으면서 방어는 약하니까요." 정말 우리 얘기더라고요.

결국 우리는 연 380만원짜리 사이버보험에 가입했어요. 처음엔 좀 비싸다고 생각했는데, 4,200만원의 직접 손실과 그보다 더 큰 간접 손실을 겪고 나니까 전혀 아깝지 않더라고요.

그런데 정말 신기한 일이 있었어요. 보험 가입하고 6개월쯤 지났을 때, 직원 한 명이 실수로 피싱 메일을 열어서 환자 정보가 유출될 뻔한 사건이 있었거든요. 다행히 초기에 발견해서 큰 피해는 없었지만, 혹시나 해서 보험사에 연락했어요.

놀랍게도 24시간 안에 보험사 전속 IT 보안팀이 와서 시스템 전체를 점검하고 취약점을 보완해줬어요. 혹시 모를 환자 정보 유출에 대비해서 법률 자문이랑 대응 매뉴얼까지 제공받았고요. 이 모든 게 보험으로 처리됐어요. 그때 정말 가입하길 잘했다고 생각했죠.

지금 이 글을 읽고 계신 원장님들, 혹시 이런 생각하고 계신가요? "우리는 작은 병원이라 타겟이 안 될 거야", "EMR 업체가 알아서 보안 관리하겠지", "일반 보험으로도 충분할 거야"... 작년의 저희도 똑같이 생각했어요. 그리고 그 대가를 정말 톡톡히 치렀죠.

제가 회계사로서 냉정하게 계산해봤어요. 연 300-500만원 정도의 사이버보험료는 월 진료 수익의 0.5%도 안 돼요. 하지만 한 번 사고가 나면 입는 피해는 연 매출의 10-20%에 달할 수 있죠. 더 중요한 건, 돈으로는 살 수 없는 환자들의 신뢰예요. 우리 병원은 사건이 있은 지 1년이 지난 지금도 완전히 회복하지 못했거든요.

의사인 남편이 늘 하는 말이 있어요. "예방이 최선의 치료"라고요. 사이버보험도 똑같은 것 같아요. 사고가 나기 전엔 그 가치를 잘 모르죠. 하지만 한 번 당하고 나면, 왜 진작 가입하지 않았나 정말 후회하게 돼요.

우리 병원이 겪은 72시간의 악몽이 다른 병원에서는 절대 반복되지 않았으면 좋겠어요. 오늘 당장은 아니더라도, 이번 주말에라도 시간 내서 병원의 사이버 보안 상태를 한번 점검해보세요. 그리고 믿을만한 보험사에 연락해서 상담이라도 받아보시길 정말 권하고 싶어요.

새벽 3시에 걸려올 그 전화, 여러분은 받지 않으셔도 됩니다. 정말로요.