한국 병원 영상 해외 음란물 사이트에 유포…경찰, 카메라 보안 허점 수사

치료·옷 갈아입는 환자 담긴 영상 80건 공개

국회의원이 환자들이 치료와 시술을 받고 옷을 갈아입는 모습이 담긴 영상 80건을 확인한 뒤, 해외 음란물 사이트에서 병원 감시 영상이 다시 유포돼 한국 경찰이 수사에 나섰다. 이 가운데 21건은 서울의 한 산부인과에서 촬영된 것으로 파악됐으며, 피해자는 약 100명으로 추산된다.

영상에 표시된 날짜는 2022년 2월부터 2025년 11월까지였다. 일부 영상은 대기실, 상담실, 초음파실, 진료실을 이동하는 환자들을 따라가도록 편집돼 얼굴과 신체가 가림 없이 노출됐다. 성형외과, 한의원, 재활시설에서 촬영된 영상도 포함됐다.

경찰청은 2026년 9월 29일 더불어민주당 허종식 의원의 수사 의뢰를 받아 사건을 충북경찰청에 배당했다. 영상을 처음 해킹해 판매·유포한 혐의를 받는 용의자 4명은 2025년 검거됐다. 수사관들은 현재 다른 웹사이트에 영상을 다시 게시한 사람들을 추적하고 있다.

2026년 10월 7일 국회 보건복지위원회 국정감사에서 정은경 보건복지부 장관은 의료기관의 정보보안이 취약하다는 점을 인정하고 의료계와 함께 대책을 마련하겠다고 밝혔다. 유출 경로로는 인터넷에 연결된 카메라가 의심되지만, 정확한 유출 방식과 책임 소재는 아직 밝혀지지 않았다.

대응의 핵심에는 이미 중요한 구분이 자리 잡고 있다. 의료법은 의무적으로 설치하는 수술실 카메라에 구체적인 보안 요건을 두고 있지만, 병원 내 다른 공간의 감시는 해당 규정의 적용 대상이 아니다. 따라서 설치 의무를 준수했다는 사실만으로 의료시설 전반에서 환자가 보호받고 있는지는 확인할 수 없다.

영상에 담긴 내용

허 의원실은 영상에 보이는 병원 이름과 내부 모습을 서울에서 운영 중인 산부인과와 대조했다. 해당 병원과 연관된 영상은 21건으로, 확인된 80건의 26%를 조금 넘는다. 공개된 사례 중 가장 많은 영상이 한 곳에 집중됐다.

영상은 환자와 의료기관별로 감시 기록을 엮은 형태로 편집된 것으로 보인다. 한 차례 진료 장면만 보여주는 대신 환자가 여러 공간을 이동하는 모습을 담았다. 다른 영상에는 주사, 환자복으로 갈아입는 장면, 성형수술 상담과 시술, 침 치료와 도수치료가 포함됐다.

영상 수와 피해자 수는 구분해야 한다. 영상 80건이 피해자 80명, 병원 80곳 또는 별개의 침해 사건 80건을 뜻하는 것은 아니다. 허 의원은 국정감사에서 80건이 경찰에 수사 의뢰됐으며 피해자는 약 100명이라고 밝혔다. 다른 보도도 피해자가 최소 약 100명이라고 전했다. 최종 피해자 수나 피해 기관 전체 명단은 발표되지 않았다.

국회 보건복지위원회 소속 허종식 의원은 환자들의 신뢰가 훼손될 수 있다고 지적했다.

치료받고 옷을 갈아입는 모습까지 온라인에 유포되는데, 사람들이 어떻게 안심하고 병원에 갈 수 있겠습니까?

첫 검거에도 재유포 막지 못해

경찰은 앞서 해당 영상이 게시된 웹사이트의 접속 차단을 요청하고 피해자 보호 조치에 나섰다. 이후 다른 곳에서 영상이 다시 발견된 것은 특정 사이트의 접속을 막는 것만으로는 복제물의 유포를 막지 못했음을 보여준다.

2025년 검거된 용의자 4명은 최초 해킹과 영상 판매·유포 혐의를 받았다. 이들의 검거만으로 나중에 유포된 영상의 게시자가 누구인지, 현재 유통되는 영상이 모두 같은 해킹으로 입수된 것인지는 확인되지 않는다. 현재 수사는 재유포 책임자를 찾아 유출 경로를 규명하는 데 초점을 두고 있다.

피해 병원 한 곳은 전년도에 조사를 받았고 이후 광범위한 보안 점검을 실시했다고 밝혔다. 하지만 이 설명만으로 새로 발견된 게시물이 과거에 탈취된 영상인지, 나중에 발생한 침해로 입수된 영상인지는 알 수 없다. 허 의원은 영상을 유포한 웹사이트가 해외에 있어 국제 공조를 촉구했다.

현재까지 공개된 주요 날짜는 다음과 같다.

• 2021년: 의료법 개정으로 수술실 카메라 설치 의무 도입.
• 2022년 2월~2025년 11월: 확인된 영상에 표시된 촬영 날짜.
• 2023년 9월: 수술실 CCTV 설치 의무 시행.
• 2025년: 경찰, 영상 해킹·판매·유포 혐의 용의자 4명 검거.
• 2026년 9월 29일: 경찰청, 허 의원의 수사 의뢰 접수.
• 2026년 10월 7일: 국회의원들, 유출 사건과 의료 분야 사이버 보안을 두고 보건복지부 장관 질의.

인터넷 연결 카메라가 조사 대상인 이유

유출된 영상 대부분은 흔히 IP 카메라라고 부르는 인터넷 프로토콜 카메라로 촬영된 것으로 추정된다. 이 장치는 유선 또는 무선 네트워크를 통해 다른 장비로 영상을 전송할 수 있다. 인터넷에서 접속할 수 있는 상태라면 취약한 비밀번호나 설정 오류가 무단 접근 경로가 될 수 있다.

사건 관련 보도에서는 출고 시 설정된 비밀번호가 널리 알려진 일부 수입 제품과, 온라인에서 접속할 수 있는 웹 서버를 통해 영상을 전송하는 카메라가 거론됐다. 이는 보안상 취약점이 될 수 있지만, 이번 사건의 영상이 어떤 경로로 입수됐는지 확인해 주는 것은 아니다. 특정 제조사나 비밀번호 오류, 서버 침해가 원인으로 확인된 바는 없다.

국정감사에서 정은경 보건복지부 장관은 IP 카메라를 당장의 우려 대상으로 지목하면서 경찰이 유출 경로를 확인해야 한다고 강조했다.

현재 IP 카메라가 문제로 지목되고 있는 만큼, 해당 부분에 대한 대응이 필요합니다.

장관은 이들 장비를 수술실에 설치하도록 한 폐쇄회로 카메라와 구분했다. 수술실 카메라 영상은 폐쇄된 네트워크에 보관하는 것이 원칙이다. 네트워크를 분리하면 일반 인터넷에 직접 노출될 위험은 줄지만, 누가 영상을 열람·복사·반출할 수 있는지에 관한 문제까지 해결되는 것은 아니다. 허 의원이 요구한 점검에는 이러한 관리 문제도 포함된다.

수술실 카메라 관련 법규

의료법에 따라 전신마취나 진정 등으로 의식이 없는 환자를 수술하는 의료기관은 수술실에 카메라를 설치해야 한다. 법에서 정한 예외가 적용되지 않는 한 환자나 보호자가 요청하면 촬영해야 한다. 이 제도는 무자격자의 수술 등 불법 행위를 막고 수사와 의료 분쟁에 필요한 증거를 보존하기 위해 도입됐다.

수술실 카메라 관련 규정은 비밀번호 보호, 접근 기록 관리, 접근 권한 제한 등 유출 방지 조치를 요구한다. 보건복지부 요건에 따르면 이 용도로는 인터넷에 연결된 네트워크 카메라가 아닌 폐쇄회로 카메라를 사용해야 한다.

보건복지부가 허 의원실에 제출한 자료에 따르면 설치 의무 대상 기관 2,529곳 중 2,528곳이 2026년 6월 말까지 카메라를 설치했다. 나머지 한 곳은 임시 휴업 중이었다. 즉 자료에 포함된 운영 기관은 모두 설치를 마쳤지만, 이 수치는 설치 여부를 집계한 것으로 병원 내 모든 공간에 있는 카메라의 보안 상태를 보여주는 것은 아니다.

허 의원실은 확인된 영상이 진료실, 상담실, 대기실, 환자실에서 촬영됐으며, 수술실 관리 규정이 구체적으로 적용되는 공간 밖에서 촬영됐다고 밝혔다. 그렇다고 다른 공간의 감시가 모든 개인정보 보호 의무에서 제외된다는 뜻은 아니다. 의료법상 특정 수술실 보안 조치에 공백이 있음을 보여주는 것이다.

수술실 촬영 여부를 두고 보도 엇갈려

일부 보도는 유출 영상에 수술실 장면도 포함됐다고 전했다. 그러나 허 의원이 확인한 영상은 수술실 밖에서 촬영됐으며, 보건복지부는 의무 설치 대상인 폐쇄망 카메라 시스템이 아닌 IP 카메라가 유출 경로로 의심된다고 밝혔다.

따라서 유출 사건과 수술실 카메라 설치 의무에 따라 설치된 장비 사이의 직접적인 연관성은 확인되지 않았다. 병원들이 수술실과 다른 내부 공간을 감시하는 데 IP 카메라를 사용한다는 보도도 있었다. 특정 기관이 법정 장비 대신 IP 카메라를 사용했는지는 점검이 필요하며, 전국 설치 현황만으로는 판단할 수 없다.

서울시의사회는 영상 유출 경위와 규모, 재유포 상황을 조사하고 수술실 카메라 정책을 전면 재검토할 것을 촉구했다. 제도 폐지 가능성도 검토 대상에 포함해야 한다고 밝혔다. 의사회는 민감한 의료 영상이 특별히 큰 피해를 일으킬 수 있고, 복사돼 유포되면 회수가 어렵다고 주장했다.

정책 논쟁의 향방은 수사기관이 아직 밝혀내지 못한 사실에 달려 있다. 의무 설치 대상이 아닌 카메라에서 유출됐다면 병원 내 감시 전반에 대한 관리가 필요하다는 점이 부각될 수 있다. 의무 대상인 수술실 시스템이 침해됐거나 부적절한 장비가 대신 사용된 증거가 나온다면 다른 준수 문제가 제기될 수 있다. 장비와 접근 경로가 확인되기 전에는 어느 쪽도 단정해서는 안 된다.

보건복지부에 CCTV 사고 기록이 없었던 이유

허 의원실에 제출된 보건복지부 자료에는 2021년부터 2026년 8월까지 의료기관에서 발생한 사이버 보안 사고 109건이 기록됐다. 민간 기관이 106건, 공공기관이 3건이었다. 전체의 약 90%인 98건은 랜섬웨어 사고였으며, CCTV 영상과 관련된 사고는 한 건도 확인되지 않았다.

기록이 없다고 카메라 해킹이 없었다는 뜻은 아니다. 경찰은 2025년 이미 병원 영상 관련 용의자들을 검거했지만, 보건복지부 기록에는 이에 해당하는 CCTV 사고가 없었다. 이는 경찰의 수사와 의료 정책 담당 기관에 전달되는 정보 사이에 공백이 있음을 보여준다.

허 의원은 민간 의료기관이 전자의무기록 침해 사고는 보건복지부에 신고하고, 그 밖의 시스템 사고는 과학기술정보통신부나 한국인터넷진흥원에 신고한다고 밝혔다. 이런 체계에서는 병원 카메라 침해 사고가 보건복지부의 사고 기록에 포함되지 않을 수 있다.

정 장관은 언론 보도를 통해 영상 유출 사실을 알게 됐다고 밝혔다. 허 의원은 의무 수술실 카메라 설치 여부에 한정하지 않고 카메라 위치, 영상 저장, 접근 관리, 보안 책임 등을 아우르는 종합 점검을 요구했다.

국정감사에서 드러난 더 광범위한 보안 취약점

카메라 유출 사건은 진료를 중단시키고 다른 환자 정보도 노출한 사이버 공격과 함께 논의됐다. 병원 내부망 랜섬웨어 사고는 2026년 첫 8개월 동안 14건으로, 2025년 한 해의 8건보다 늘었다. 집계 기간이 다르지만, 2026년 부분 연도 통계만으로도 전년보다 6건, 75% 증가했다.

랜섬웨어는 보통 기관에 금전을 요구하기 위해 컴퓨터 시스템을 잠그거나 작동을 방해한다. 강원대학교병원에서는 공격으로 진료가 4시간 50분 동안 중단됐다. 화순전남대학교병원에서는 개인정보 기록 298건이 유출된 것으로 보고됐다.

국가응급의료정보망은 2026년 세 차례 장애를 겪었다. 국립중앙의료원과 관련된 한 차례 장애는 복구에 최대 32시간이 걸렸다. 이는 진료 연속성에 대한 별도의 위험을 보여주지만, 국정감사에서 공개된 자료만으로는 세 건 모두 사이버 공격에 따른 것이라고 확인되지 않았다.

국민의힘 한지아 의원은 상급종합병원을 포함한 종합병원 263곳 중 16.7%가 정보보안 예산이 없다는 자료를 제시했다. 기관당 보안 인력은 평균 0.9명이었다. 한 의원은 2021년 북한 해킹 조직이 서울대학교병원에 침입해 약 83만 명의 건강 정보를 노출한 사건도 언급했다.

이들 사고는 서로 다른 시스템에서 발생했으며 하나의 침해 사건으로 볼 수 없다. 하지만 보건복지부의 대응이 카메라를 넘어 인력, 예산, 병원 네트워크, 의료정보 보호로 확대되는 이유를 보여준다.

정부가 약속한 대책

정 장관은 민간 의료기관과 공동으로 보안 대책을 마련하겠다고 약속하고, 대한의사협회와 대한병원협회에 내부 점검을 강화해 달라고 요청했다고 밝혔다. 병원들이 비용과 전문 인력 부족을 보안 강화의 걸림돌로 꼽는 점도 인정했다.

정은경 보건복지부 장관은 국정감사에서 위협이 커지는 속도에 대해 이렇게 말했다.

공격자들의 속도를 따라가지 못하고 있습니다.

대응 방안에는 공격적 사이버 보안의 도입 검토가 포함됐다. 이는 범죄자가 취약점을 악용하기 전에 인가된 방식으로 공격을 모방해 취약점을 찾는 방법이다. 한 의원은 국립대병원과 국민건강보험공단, 건강보험심사평가원에서 우선 도입하자고 제안했다. 보건복지부는 전문 인력과 예산 확보 방안도 검토하겠다고 밝혔다.

영상 유출 피해자에게는 우선 영상 삭제와 추가 유포 차단, 2차 노출 방지가 시급하다. 허 의원은 의무 수술실 카메라뿐 아니라 병원 내 모든 영상 장비를 대상으로 하는 보안 기준과 점검 의무도 요구했다.

경찰 수사 완료 시점이나 최종 피해자 수, 종합 보안 대책 발표일, 카메라 규정 변경 여부에 대한 결정은 발표되지 않았다. 약속된 조치는 아직 마련 중이며 개혁이 완료된 것은 아니다. 영상이 새로 탈취된 것인지, 기존 영상이 반복 복제된 것인지 밝혀내는 일은 침해 규모와 대응 효과를 판단하는 데 필수적이다.

핵심 내용

• 허 의원실은 한국 의료기관에서 촬영된 영상 80건을 확인했다. 이 가운데 21건은 서울의 한 산부인과와 관련돼 있다.
• 피해자는 약 100명으로 파악됐으며, 최종 규모는 아직 확인되지 않았다.
• 충북경찰청은 2025년 용의자 4명이 검거된 뒤 다시 유포된 사건을 수사하고 있다.
• IP 카메라가 유출 경로로 의심되지만, 의무 수술실 CCTV와의 연관성은 확인되지 않았다.
• 보건복지부 자료에는 2026년 8월까지 의료기관 사이버 보안 사고 109건이 기록됐지만 CCTV 관련 사고는 없었다.
• 정부는 공동 보안 대책과 내부 점검 강화, 인가된 모의 공격 도입 검토를 약속했다.
• 유출 방식과 전체 노출 규모, 개혁 일정은 아직 밝혀지지 않았다.