[보안 이슈] 의약품안전나라 1195명 유출, 챗GPT는 범인이 아닙니다 — 로그인 없이 열려 있던 문이 진짜 원인입니다
의약품안전나라에서 이름·휴대전화번호·이메일 등 1195명의 개인정보가 유출됐습니다. 챗GPT가 범인이 아니라, 로그인 없이 열려 있던 문이 진짜 원인입니다.
안녕하세요, dailybetter입니다.
식품의약품안전처가 운영하는 의약품 정보 포털 ‘의약품안전나라’에서 이름·휴대전화번호·이메일 등 1195명의 개인정보가 유출됐습니다. 뉴스 제목만 보면 “챗GPT가 공공 시스템을 해킹했다”처럼 읽히지만, 실제로 벌어진 일은 그 반대에 가깝습니다.
챗GPT는 잠긴 문을 딴 도구가 아니라, 애초에 열려 있던 문을 비춘 손전등이었습니다. 왜 이게 더 심각한지, 그리고 유출 대상에 포함됐을 수 있다면 지금 무엇을 해야 하는지 정리했습니다.
국정감사장에서 드러난 ‘열려 있던 문’
사건은 2026년 10월 13일 국회 보건복지위원회 국정감사에서 공개됐습니다. 국민의힘 이소희 의원이 현장에서 일반 챗GPT만으로 의약품안전나라에 보관된 비공개 임상시험 문서 2672건을 로그인도 비밀번호 입력도 없이 그대로 내려받을 수 있음을 시연했습니다. 이 문서에는 비공개로 분류된 기업 정보 839건, 담당자 휴대전화번호가 담긴 문서 2208건이 섞여 있었습니다.
식약처는 하루 전인 10월 12일 자정 무렵 비정상적인 접근으로 임상시험 정보가 빠져나간 사실을 먼저 인지했고, 조사 과정에서 유출 규모가 1195명으로 확인됐습니다. 식약처는 10월 14일 홈페이지에 ‘개인정보 유출 사실 안내 및 사과문’을 올리고 “머리 숙여 사과드린다”고 밝혔습니다.
챗GPT가 뚫은 게 아니라, 문이 잠겨 있지 않았습니다
이 사건의 본질은 생성형 AI의 위력이 아니라 접근통제(access control)의 부재에 있습니다. 접근통제란 “이 자료를 볼 권한이 있는 사람인지” 시스템이 확인하는 절차로, 쉽게 말하면 건물 출입문의 잠금장치입니다.
정상적인 시스템이라면 비공개 문서는 로그인한 권한자만 열람할 수 있어야 합니다. 그런데 의약품안전나라는 비공개 파일조차 특정 주소만 알면 인증 없이 바로 내려받을 수 있는 상태였습니다. 문에 자물쇠가 아예 없었고, 챗GPT는 그 열린 문의 위치를 빠르게 찾아 정리해준 것뿐입니다. 사람이 수작업으로도 할 수 있었다는 뜻이고, 그래서 누가 언제부터 자료를 가져갔는지 특정하기 어렵다는 점이 더 큰 문제입니다. “해킹당했다”보다 “문을 안 잠갔다”가 사실에 가깝습니다.
내 정보 중 무엇이, 왜 위험한가
유출 항목은 세 가지입니다. 금융정보나 주민등록번호가 빠진 건 다행이지만, 이 조합만으로도 2차 피해의 재료로는 충분합니다.
| 유출 항목 | 왜 위험한가 |
|---|---|
| 이름 | 단독으론 위험이 낮지만, 아래 항목과 묶이면 “실명을 아는 상대”를 가장해 신뢰를 유도하는 도구가 됩니다 |
| 휴대전화번호 | 스미싱(문자 사기)·보이스피싱의 직접 타깃이 됩니다. 이름까지 아는 문자가 오면 속을 확률이 크게 오릅니다 |
| 이메일 | 피싱 메일, 가짜 로그인 페이지로 유도하는 파밍(pharming)의 통로가 됩니다 |
특히 임상시험 담당자라면 “식약처”나 “제약사”를 사칭한 맞춤형 사기를 받을 가능성이 높습니다. 공격자가 실명과 연락처를 알기 때문에, 불특정 다수에게 뿌리는 스팸과 달리 “당신의 임상 자료 건으로 연락드린다”는 식의 정교한 미끼를 던질 수 있습니다.
지금 바로 해야 할 3가지
1. 출처가 불분명한 문자·메일의 링크는 절대 누르지 마세요. 식약처·제약사를 사칭해 “개인정보 확인”, “유출 보상 신청” 명목으로 링크를 보낼 수 있습니다. 어떤 공공기관도 문자 링크로 개인정보나 금융정보를 요구하지 않습니다. 이상하면 해당 기관 대표번호로 직접 전화해 확인하세요.
2. 명의도용 차단 서비스 ‘엠세이퍼’를 신청하세요. 내 명의로 누군가 몰래 휴대전화를 개통하는 걸 막아주는 무료 서비스로, 이름과 번호가 유출된 상황에서 걸어두면 좋은 ‘공짜 자물쇠’입니다. 가입사실 현황 조회로 모르는 사이 개통된 회선이 있는지도 확인할 수 있습니다.
3. 금융 피해가 걱정되면 금융감독원 ‘개인정보 노출자 사고예방시스템’에 등록하세요. 등록해두면 내 명의로 대출·계좌 개설이 시도될 때 금융사가 본인 확인을 강화합니다.
같은 유형의 대응은 티빙 1,953만 명 유출, 지금 당장 해야 할 3가지 조치에서도 단계별로 정리해두었으니 함께 참고하세요.
독자들이 많이 묻는 것들
Q. 나는 의약품안전나라에 가입한 적 없는데 안전한가요?
유출 대상은 주로 임상시험 정보에 연결된 담당자·관계자로 보이지만, 식약처가 개별 통지를 진행 중이므로 통지를 받았다면 위 조치를 바로 실행하세요. 받지 않았어도 번호·이메일 노출 가능성은 늘 있으니 1·2번은 평소 습관으로 두는 것이 좋습니다.
Q. 주민등록번호는 안 털렸으니 괜찮지 않나요?
주민번호가 빠진 건 다행이지만, 이름과 연락처만으로도 정교한 스미싱·피싱은 충분히 가능합니다. “안 털린 정보”에 안심하기보다 “털린 정보로 뭘 할 수 있는지”를 기준으로 경계하는 편이 안전합니다.
💡 dailybetter 분석가 Note
이번 사고의 교훈은 “AI가 위험하다”가 아니라 “AI가 기존의 허술함을 순식간에 드러낸다”는 데 있습니다. 과거엔 열린 문이 있어도 위치를 일일이 찾는 수고 때문에 피해가 더디게 번졌습니다. 이제는 생성형 AI가 그 탐색을 압축해버리기 때문에, “설마 누가 찾겠어”에 기대 방치돼 온 접근통제 결함들이 한꺼번에 수면 위로 올라올 수 있습니다. 공공·민간을 가리지 않고 “인증 없이 열려 있는 문”을 지금 점검해야 하는 이유입니다. 이용자가 할 수 있는 최선은, 유출을 막을 수 없더라도 유출 이후의 피해 경로(명의도용·피싱)를 미리 차단해두는 것입니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요