Telehealth 거대 기업 Hims & Hers는 자사 고객 지원 시스템이 해킹당했다고 밝혔다.

(techcrunch.com)

TechCrunch2026년 4월 2일정책·규제

Telehealth 거대 기업 Hims & Hers는 자사 고객 지원 시스템이 해킹당했다고 밝혔다.

원격의료 기업 Hims & Hers가 서드파티 고객 지원 시스템 해킹으로 개인정보 유출을 겪은 이번 사건은, 사회 공학적 공격에 노출된 비핵심 시스템의 취약성이 디지털 헬스케어 산업 전반의 보안 위협이 될 수 있음을 보여줍니다.

이 글의 핵심 포인트

1원격의료 기업 Hims & Hers는 서드파티 고객 서비스 플랫폼 해킹으로 데이터 유출을 확인했다.
2해커들은 2월 4일부터 7일 사이에 침입하여 고객 이름, 연락처, 기타 개인 정보가 포함된 지원 요청 데이터를 탈취했다.
3회사 측은 고객의 의료 기록은 유출되지 않았다고 주장했지만, 고객 지원 시스템 데이터는 계정 및 건강 관련 민감 정보를 포함할 수 있다.
4이번 유출은 '사회 공학적 공격'으로 발생했으며, 해커들이 직원들을 속여 시스템 접근 권한을 얻어냈다.
5고객 지원 및 티켓팅 시스템은 최근 금융 동기 해커들의 '풍부한 표적'이 되고 있으며, 이는 Discord 데이터 유출 사례와 같은 추세이다.

이 글에 대한 공공지능 분석

왜 중요한가?

이번 Hims & Hers의 데이터 유출 사건은 단순히 한 기업의 문제를 넘어, 디지털 헬스케어 및 서드파티 서비스 이용 전반의 심각한 보안 취약성을 보여줍니다. 특히, Hims & Hers가 체중 감량 약물이나 성 건강 처방과 같은 매우 민감한 정보를 다루는 원격의료 기업이라는 점에서, 비록 의료 기록이 직접 유출되지 않았다고 하더라도 고객 지원 시스템의 데이터 역시 개인의 건강과 관련된 민감한 내용이 포함될 수 있습니다. 이는 고객 신뢰를 크게 저해하고, 엄격한 규제가 적용되는 헬스케어 분야에서 법적, 재정적 책임을 초래할 수 있어 그 파급력이 큽니다.

어떤 배경과 맥락이 있나?

팬데믹 이후 원격의료 서비스가 급증하면서, 디지털 헬스케어는 편리성과 접근성을 제공하지만 동시에 방대한 양의 민감한 개인 정보를 처리하게 됩니다. Hims & Hers와 같은 기업들은 핵심 서비스 외에 고객 지원, 결제 등 다양한 기능을 서드파티 솔루션에 의존하는 경우가 많습니다. 이번 침해는 '사회 공학적 공격'이라는 전형적인 수법으로, 시스템 자체의 취약점보다는 직원들의 심리를 이용해 접근 권한을 탈취하는 방식이 사용되었습니다. 이는 고객 지원 시스템과 같은 비핵심 시스템이 해커들에게 새로운 '풍부한 표적'이 되고 있음을 보여주는 최근의 흐름과 일치합니다. Discord의 사례처럼, 고객 지원 시스템은 사용자의 신원 확인용 민감 정보까지 포함할 수 있어 그 위험성이 더욱 커지고 있습니다.

업계에 어떤 영향을 주나?

이번 사건은 특히 스타트업을 포함한 모든 기업들에게 서드파티 공급업체 보안의 중요성을 일깨우는 강력한 경고가 될 것입니다. 기업들은 이제 자체 시스템 보호뿐만 아니라, 고객 데이터를 처리하는 모든 외부 파트너들의 보안 태세를 더욱 철저히 검증해야 합니다. 또한, 사회 공학적 공격에 대한 직원 교육 및 보안 인식을 강화하는 것이 필수적입니다. 데이터 유출 발생 시 캘리포니아 법과 같은 엄격한 규제에 따라 신속하고 투명한 정보 공개 의무를 준수해야 하며, 이는 향후 더 강력한 데이터 보호 규제 도입으로 이어질 가능성을 시사합니다. 전반적으로 디지털 헬스케어 및 B2C 서비스 제공자들의 보안 투자와 전략 재검토가 가속화될 것으로 예상됩니다.

한국 시장에 어떤 시사점이 있나?

한국의 스타트업 창업가와 개발자들에게 Hims & Hers의 사례는 중요한 교훈을 제공합니다. 특히 국내 헬스케어 및 비대면 서비스 스타트업들은 개인 정보 및 민감 정보 처리량이 많아 잠재적 해킹의 표적이 되기 쉽습니다. 국내 개인정보보호법(PIPA) 및 정보통신망법 등 관련 법규 준수 외에도, 서드파티 솔루션 도입 시 공급업체의 보안 수준을 철저히 평가하고 계약에 명시적인 보안 조항을 포함해야 합니다. 직원 대상의 사회 공학적 공격 방지 교육은 물론, 만약의 사태를 대비한 비상 대응 계획 및 대외 커뮤니케이션 전략을 미리 수립하는 것이 필수적입니다. 데이터 보안은 이제 제품의 기능만큼이나 비즈니스 성공의 핵심 요소임을 인지하고, 초기 단계부터 보안에 대한 투자를 아끼지 않아야 할 때입니다.

이 글에 대한 큐레이터 의견

이번 Hims & Hers 사례는 스타트업 창업자들이 '핵심 서비스' 외의 영역에서도 발생할 수 있는 보안 위협을 간과해서는 안 된다는 점을 날카롭게 지적합니다. 많은 스타트업이 초기에는 제품 개발에 집중하고, 고객 지원이나 내부 시스템 관리는 비용 효율성을 위해 아웃소싱하거나 최소한의 솔루션을 사용합니다. 하지만 이번 사건은 이러한 '비핵심' 시스템이 오히려 가장 약한 고리가 되어 전체 비즈니스에 치명타를 입힐 수 있음을 명확히 보여줍니다. 특히, 민감한 개인 정보를 다루는 헬스케어 스타트업이라면 고객 지원 시스템에 담긴 '문의 내용' 자체가 의료 기록만큼이나 민감할 수 있다는 인식을 가져야 합니다.

창업자들은 지금 당장 자사의 모든 데이터 접점, 특히 서드파티 솔루션과 관련된 접점들을 맵핑하고, 각 접점의 보안 취약성을 평가해야 합니다. '사회 공학적 공격' 방지를 위한 직원 교육은 단순히 IT 팀만의 문제가 아닌, 전사적인 보안 문화의 일환으로 접근해야 합니다. 보안은 제품 출시 후 보완하는 것이 아니라, 제품 기획 단계부터 아키텍처에 내재되어야 하는 필수 요소입니다. 이를 통해 사용자 신뢰를 얻고, 잠재적인 법적 리스크와 브랜드 가치 하락을 미연에 방지할 수 있습니다.

장기적으로는 '보안'을 차별점으로 활용할 기회도 있습니다. B2B 솔루션 스타트업이라면 강화된 보안 기능을 경쟁 우위로 내세울 수 있고, B2C 서비스라면 고객에게 신뢰할 수 있는 데이터 보호 환경을 제공함으로써 충성도를 높일 수 있습니다. '보안은 투자이지 비용이 아니다'라는 마인드를 가지고, 초기부터 전문가 자문 및 필요한 솔루션 도입에 적극적으로 나서는 것이 중요합니다.

원문 보기 →