2013년 7월 프로그래밍 에러로 인한 FSSA의 고객 의료 정보 누출

개인 정보 누출 사고

• 2013년 7월 1일, 미국 인디애나 주의 헬쓰케어 지원 에이전시인 FSSA(Indiana Family and Social Services Administration)가 개인 정보 누출이 있었음을 언론에 발표함. 일부 FSSA 고객이 자신의 문서뿐만 아니라 다른 사람에게 속하는 문서가 포함된 서신을 받게 됨
• FSSA의 문서 관리 시스템(document management system)을 지원하는 외부 계약 업체인 RCR Technology Corporation의 실수(컴퓨터 프로그래밍 에러)로 문제가 생겼다고 함
• FSSA는 에러가 있는 문서가 얼마나 많은 고객에게 보내졌는지를 RCR 측이 확실하게 파악하지 못함에 따라 영향을 받았을 가능성이 있는 187,533명의 고객 모두에게 통지함. 7월 8일까지 잘못된 문서를 받았다고 FSSA에 연락 해 온 고객은 14명이라고 함
• 이렇게 노출된 정보에는 고객의 이름, 주소, 케이스 번호, 출생일, 성별, 인종, 전화번호, 이메일 주소, 수령하는 복지 혜택 타입, 월 수령 금액, 고용주 정보, 재정 정보(예, 월 소득과 지출, 은행 잔고와 기타 자산), 의료 정보(예, 의료 서비스 제공자 이름, 고객이 장애 복지 혜택을 받는지 여부, 건강 상태), 고객의 가족 구성원에 대한 정보(예, 이름, 성별, 출생일)가 포함됨. 또한 187,533명의 고객 중 3,926명은 사회보장번호도 노출되었을 수 있음

데이터 누출 사고 원인

• FSSA 문서 센터를 위해 특별히 개발된 문서 관리 시스템(Customized Java 코드)의 한 컴포넌트에서 발생한 프로그래밍 에러가 문제를 야기했다고 함. 더 구체적으로는 부적절하게 사용된 변수(an improperly used variable)가 원인이라고 함
• 이 프로그래밍 에러는 2013년 4월 6일에 발생했으며, 2013년 4월 6일부터 2013년 5월 21일 사이에 발송된 고객 서신에 영향을 줌. 2013년 5월 10일에 해당 에러가 발견되었고, RCR이 에러의 근본 원인을 찾아 2013년 5월 21일에 수정함

[2013년 7월 1일자 RTV6 뉴스 영상]