병원 공식 계정이 해킹됐을 때의 대응

접근 권한과 공개 피해의 분리

병원 실장은 계정 담당자에게 로그인 가능 여부와 현재 역할을 먼저 묻습니다. 담당자가 관리 화면에 들어갈 수 있는지, 소유자 권한으로 사용자 조치를 할 수 있는지를 나누어 기록합니다. 로그인 자체가 불가능하면 아래의 사용자 삭제 절차를 실행할 수 있다고 전제하지 않으며, 복구 완료 시점도 이용자에게 약속하지 않습니다.

낯선 이름이 있다는 사실만으로 해킹을 확정하지는 않습니다. 외부 운영업체나 이전 담당자가 사용하는 계정일 수 있으므로 병원에서 승인한 이메일 주소와 현재 사용자 목록을 대조합니다. 담당자는 의심 항목을 찾는 동안 이용자가 접하는 공개 내용도 따로 수집하고, 승인 여부를 가릴 사람에게 판단을 요청합니다.

플랫폼과 역할에 따른 조치 범위

구글 비즈니스 프로필에서는 소유자와 관리자의 사용자 관리 권한이 다릅니다. 구글은 소유자가 다른 사용자를 삭제할 수 있지만 관리자는 사용자를 추가하거나 삭제할 수 없다고 설명합니다. 병원은 직책이나 업무 경력으로 권한을 추정하지 말고 관리 화면에 표시된 역할을 기준으로 조치 담당자를 정합니다.

유튜브 안내는 채널의 사용자 접근을 관리할 때 채널 권한을 사용하도록 설명하며, 브랜드 계정의 사용자 목록을 조회하는 경로도 안내합니다. 병원 담당자는 해당 채널이 어떤 방식으로 관리되는지부터 가려야 합니다. 비즈니스 프로필의 사용자 삭제 메뉴를 유튜브에도 그대로 적용하거나, 목록 조회 경로만으로 유튜브의 삭제 절차까지 단정하지 않습니다.

사용자 선택이나 삭제가 되지 않으면 화면에 나온 상태를 기록합니다. 구글은 비즈니스 프로필에서 관리자 수준의 접근 권한 때문에 사용자를 선택하지 못할 수 있고, 신규 소유자에게도 일부 작업 제한이 있다고 설명합니다. 실장은 이를 즉시 추가 침입의 증거로 판단하지 않고, 기존 소유자에게 조치 가능 여부를 요청합니다.

담당자별 대응 순서와 준비 자료

병원 실장은 권한 조치를 할 사람과 공개 내용을 수집할 사람을 정합니다. 계정 담당자는 승인된 사용자 자료를 준비하고, 상담 담당자는 이용자가 전달한 의심 게시물이나 답글을 모읍니다. 자료에는 계정 이름, 발견 시각, 화면 내용, 병원 승인 여부를 기재하되 환자 이름과 연락처를 불필요하게 복사하지 않습니다.

1. 계정 담당자가 관리 화면 접근 여부와 자신의 역할을 기록합니다. 접근 가능한 소유자가 누구인지 실장에게 전달하고, 접근 불가 상태와 권한 부족 상태를 따로 기록합니다.
2. 접근 가능한 담당자가 현재 사용자와 대기 중인 초대를 승인 자료와 대조합니다. 비즈니스 프로필에서는 더보기의 비즈니스 프로필 설정에서 사용자 및 액세스 권한을 선택하고, 이름뿐 아니라 이메일 주소도 읽습니다.
3. 비즈니스 프로필 소유자가 승인되지 않은 사용자를 선택해 사용자 삭제를 진행합니다. 대기 중인 초대는 해당 항목에서 초대 취소를 선택하고, 조치한 대상과 결과를 기록합니다.
4. 공개 내용 담당자가 남아 있는 게시물·리뷰 답글·댓글을 조사합니다. 이용자의 행동에 영향을 주는 내용부터 실장에게 전달하고, 병원이 통제할 수 있는 다른 공식 채널의 안내문을 준비합니다.

승인 자료에는 외부 업체의 회사명만 기재하지 말고 실제 접근에 사용하는 이메일 주소도 포함합니다. 이전 계약 자료와 현재 담당자의 설명이 다르면 승인 여부를 미정으로 기록하고 계약 책임자에게 판단을 요청합니다. 공개 내용의 수집은 그 판단이 끝날 때까지 미룰 필요가 없습니다.

피해 내용에 따른 이용자 안내

이용자 안내는 병원이 사실을 확인한 범위에서 작성합니다. 아래 내용은 플랫폼의 해킹 처리 규칙이 아니라 병원이 피해 확산을 줄이기 위해 선택할 수 있는 업무 절차입니다. 다른 공식 채널도 병원이 현재 통제할 수 있는지 검토한 뒤 게시 담당자와 승인자를 정합니다.

안내문에는 영향을 받은 계정과 문제 내용을 이용자가 식별할 수 있게 적되, 악성 내용을 그대로 재현하지 않습니다. 원장이나 실장은 진료·예약 관련 문장을 담당 부서에 대조하도록 요청하고, 게시 담당자는 공개할 연락 방법이 실제로 연결되는지 시험합니다. 이용자가 이미 요청을 따랐을 가능성이 있으면 상담 담당자에게 전달할 항목도 함께 정합니다.

권한 삭제 후에도 남는 공개 내용

사용자 삭제 완료와 공개 피해 처리 완료는 서로 다른 상태입니다. 구글은 비즈니스 프로필에서 삭제된 사용자가 더 이상 정보를 변경하거나 관리 작업을 할 수 없지만, 이전 리뷰 답글과 게시물·댓글 등은 남는다고 설명합니다. 병원은 삭제 결과와 별개로 이용자가 현재 접할 수 있는 내용을 조사해야 합니다.

공개 내용 담당자는 병원 연락 방법을 다른 곳으로 유도하는 문장, 결제나 개인정보 입력을 요구하는 문장, 예약·진료 안내를 왜곡하는 문장을 먼저 가립니다. 문구가 불쾌한지에만 집중하면 이용자가 실제로 취할 수 있는 잘못된 행동을 놓칠 수 있습니다. 각 항목에는 노출 위치와 문제 문장, 병원이 승인한 내용과의 차이를 기록합니다.

문제 내용을 정리할 때는 권한을 삭제한 사용자가 작성했다고 추정하는 항목과 작성자를 특정할 수 없는 항목을 나눕니다. 사용자 목록에서 낯선 계정을 발견했다는 사실만으로 모든 잘못된 게시물의 작성자를 확정할 수는 없습니다. 병원은 공개 안내에 책임 주체를 추정해 기재하기보다, 승인하지 않은 내용과 이용자에게 필요한 행동을 중심으로 작성합니다.

안내 상태와 처리 기록의 관리

처리 기록에는 권한 조치 결과, 공개 내용의 현재 상태, 이용자 안내의 게시 상태를 별도 항목으로 기재합니다. 한 항목이 완료돼도 다른 항목이 미정이면 전체 대응을 완료로 표시하지 않습니다. 실장은 담당자에게 미정 항목의 다음 작업과 책임자를 요청하고, 새로운 피해 내용을 받으면 기존 기록에 추가합니다.

안내문을 수정할 때는 새로 판명된 내용과 이전 안내에서 달라진 부분을 명시합니다. 권한 조치만 끝난 상태에서 정상 운영이나 피해 해소를 단정하면, 남은 게시물을 접한 이용자가 잘못된 안내를 계속 따를 수 있습니다. 게시 담당자는 종료 문구를 작성하기 전에 공개 내용 담당자와 상담 담당자에게 미처리 항목이 있는지 묻습니다.

이용자가 보낸 화면은 현재 병원 담당자가 열람하는 화면과 다를 수 있습니다. 해당 자료는 촬영 시점과 접한 위치를 함께 받아 기록하고, 현재 노출 여부를 별도로 조사합니다. 오래된 화면이라는 이유로 이용자의 제보를 폐기하거나, 현재 화면에서 찾지 못했다는 이유로 피해가 없었다고 결론 내리지 않습니다.

악성 내용을 다시 퍼뜨리지 않는 안내

주의 안내에 의심 게시물의 전체 화면을 넣는 방식은 신중하게 선택합니다. 외부 접속 정보나 결제 지시를 그대로 공개하면 병원이 그 내용을 다시 전달하는 결과가 생길 수 있습니다. 담당자는 이용자가 문제 항목을 식별하는 데 필요한 제목이나 게시 위치만 남기고, 행동을 유도하는 세부 내용은 공개 안내에서 제외합니다.

내부 기록용 자료와 공개 안내용 자료는 따로 관리합니다. 내부 자료에는 사실관계를 판단할 내용을 보존하되 열람할 담당자를 정하고, 공개 자료에는 이용자에게 필요한 주의사항만 담습니다. 화면에 개인의 이름이나 연락처가 포함돼 있으면 게시 전에 해당 정보를 제외하고, 안내 승인자는 남은 문장만으로도 주의 대상이 식별되는지 검토합니다.

이어서 읽을 주제

병원홈페이지제작은 긴급 안내를 게시하고 수정할 담당자와 승인 방법을 정하는 관점에서 이어 읽을 수 있습니다. 병원 유튜브 운영은 채널 권한과 브랜드 계정의 관리 방식을 이해하고 일상적인 접근 승인 업무를 정리하기 위해 이어 읽을 수 있습니다.