Cencora(구 AmerisourceBergen) 개인정보 유출 집단소송 2026: 약 4,000만 달러 합의, 대상 확인과 클레임 신청법

내 정보가 Cencora에서 샜다면, 지금 해야 할 일은 클레임 확인이다

결론부터 말하겠다. 2024년 2월 Cencora와 자회사 Lash Group의 시스템에서 환자 관련 정보가 유출된 사건은 약 4,000만 달러 규모 집단소송 합의로 정리됐고, 통지를 받은 사람이라면 직접 신청해야 돈을 받을 수 있다. 자동 입금이 아니다. 클레임을 제출하지 않으면 한 푼도 오지 않는다.

그런데 이 사건이 헷갈리는 이유가 있다. 많은 피해자가 “나는 Cencora와 거래한 적이 없는데?”라고 느낀다. 맞다. 거래한 적이 없다. Cencora는 병원도 보험사도 아니고, 약품 유통과 제약사 대행 서비스를 하는 회사다. 환자가 복용하는 고가 약이나 특수 치료제에 붙은 환자 지원 프로그램(복약 상담, 본인부담금 지원, 보험 승인 대행)을 제약사 대신 운영하는 하청 구조 안에서, 환자 정보가 이 회사로 흘러갔다.

그래서 통지문이 도착했을 때 스팸이나 피싱으로 착각해 버린 사람이 적지 않았다. 나라면 지금 당장 책상 서랍과 이메일 스팸함부터 뒤지겠다. 합의 통지는 대개 한 번 오고 끝난다.

이 글은 누가 대상인지, 어떻게 확인하고 신청하는지, 어떤 보상이 가능한지, 그리고 합의금과 별개로 지금 해야 할 방어 조치를 순서대로 정리한 실전 가이드다. 미국 거주자가 아니어도 통지를 받았다면 해당될 수 있어 한국 독자 기준으로 풀었다.

이 사건은 정확히 무슨 일이었나? (타임라인)

Cencora는 2023년 8월 사명을 AmerisourceBergen에서 바꾼 미국 최대급 의약품 도매 유통사다. Lash Group은 그 산하에서 제약사의 환자 지원 및 접근성 프로그램을 대행하는 서비스 조직이다. 두 이름이 같은 사건에 등장하는 이유다.

시기	사건	의미
2024년 2월	내부 시스템 침입 탐지, 데이터 반출 확인	사고 인지 시점
2024년 2월 말	SEC 공시(8-K)로 외부 공개	상장사로서의 최초 공식 고지
2024년 봄~여름	영향받은 개인에게 순차 통지	통지문이 낯선 발신인으로 도착
2024년 이후	피해자들이 연방법원에 집단소송 제기, 병합	개별 소송이 하나로 묶임
이후	약 4,000만 달러 합의안 마련, 법원 승인 절차 진행	클레임 접수 단계

정확한 날짜와 현재 단계는 시간이 흐르면서 바뀐다. 공식 합의 사이트의 “Important Dates” 항목이 유일한 기준이다. 블로그 글(이 글 포함)은 사이트 날짜를 이기지 못한다.

유출된 정보의 종류도 중요하다. 통지문에 따라 개인마다 달랐지만, 이름, 주소, 생년월일, 진단과 처방 약 같은 건강 정보, 건강보험 정보가 포함됐고 일부에게는 사회보장번호(SSN)가 들어 있었다. 건강정보와 SSN이 한꺼번에 묶여 나간 경우가 가장 위험하다. 비밀번호는 바꾸면 되지만 SSN과 병력은 바꿀 수 없다.

누가 합의 대상(Class Member)이 되나?

일반적인 구조는 이렇다. 2024년 유출과 관련해 Cencora나 Lash Group으로부터 통지문을 받은 개인이 중심이다. 통지는 우편이 기본이고, 일부는 이메일이었다.

본인이 대상인지 가려내는 현실적인 순서는 다음과 같다.

1. 우편함, 이메일 스팸함에서 2024년 이후 “Cencora”, “Lash Group”, “Notice of Data Incident”가 들어간 메시지를 찾는다.
2. 통지문에 적힌 클레임 ID(또는 Unique ID)와 PIN을 확인한다.
3. 공식 합의 사이트 자격 조회 메뉴에 입력한다.
4. 통지문이 없다면 합의 관리자 고객센터(번호는 사이트에 기재)에 이름과 주소로 조회를 요청한다.
5. 가족 구성원, 특히 미성년 자녀나 고령의 부모 이름으로 온 통지도 따로 확인한다.

여기서 흔한 함정이 하나 있다. 본인이 직접 약 환자가 아니어도 보호자나 보험 가입자 정보 때문에 이름이 올라간 경우가 있다. 그리고 사망한 가족 앞으로 온 통지를 버리는 사람이 많은데, 상속 정리 중이라면 대리 청구 가능성을 합의 관리자에게 물어볼 수 있다. 사망자 정보의 도용 위험은 상속세 포터빌리티와 DSUE 정리 글에서 다룬 것처럼 유족이 서류를 챙겨야 하는 시기와 겹치기 쉽다.

피싱도 조심하자. 합의 통지를 사칭해 “수수료를 내면 합의금을 먼저 보내주겠다”는 메일이 돈다. 진짜 클레임은 신청에 돈을 받지 않는다.

어떤 보상을 받을 수 있나? (클레임 옵션 비교)

합의 구조는 사건마다 비슷한 틀을 쓴다. 하나의 표로 보면 이해가 쉽다. 아래는 이런 의료정보 유출 합의의 일반적 구성이며, 실제 한도와 항목은 반드시 공식 사이트에서 확인해야 한다.

보상 유형	대상	증빙	금액 성격
실손 피해 보전	사기 피해, 신용 복구 비용, 통신비·우편비 등을 실제로 쓴 사람	영수증, 계정 명세 등 필요	인당 상한 안에서 보전, 상한은 사이트 확인
시간 손실 보상	사고 처리에 시간을 쓴 사람	간단한 자기 진술	시간당 소액, 총 시간 상한 있음
일괄(비례) 현금	증빙 없이 청구하는 사람	대체로 불필요	합의금 잔액을 청구자 수로 나눈 변동 금액
신용·신원 모니터링	대상자 전원 또는 선택자	신청	일정 기간 무상 이용
보안 개선 약속	전원에게 간접 혜택	없음	회사의 시스템 강화 의무

반드시 알아야 할 점이 있다. “일괄 현금”은 확정 금액이 아니라 변동 금액이다. 4,000만 달러가 전부 피해자에게 가는 것도 아니다. 변호사 비용, 통지·행정 비용, 때로는 서비스 보상금이 먼저 빠지고 남은 몫을 나눈다. 청구자가 몰리면 1인당 금액은 줄고, 적게 몰리면 늘어난다. 이 글에서 구체적인 1인당 금액을 말하지 않는 이유다. 공식 사이트가 안내하는 범위를 보는 것이 맞다.

나라면 이렇게 고르겠다. 실제로 사기 피해를 입었거나 신용 복구에 돈을 썼다면 실손 보전을 청구하고 증빙을 모은다. 아무 피해가 없다면 일괄 현금과 모니터링 서비스를 같이 신청한다. 둘은 보통 함께 선택할 수 있다.

클레임은 어떻게 신청하나? (단계별)

신청 자체는 20분이면 끝난다. 준비가 문제다.

1단계, 공식 사이트 진위 확인. 통지문에 적힌 URL을 쓰거나, 법원 문서 번호로 검색해 합의 관리자 사이트를 찾는다. 검색 광고 맨 위에 뜬 사이트가 가짜인 경우가 있다.

2단계, 클레임 양식 작성. 이름, 주소, 이메일, 클레임 ID를 입력한다. 보상 유형을 체크한다.

3단계, 증빙 업로드. 실손 피해를 청구한다면 카드 사기 청구서, 신용 동결 수수료 영수증, 신원 복구 서비스 결제 내역을 PDF나 사진으로 올린다.

4단계, 지급 방식 선택. 전자 결제(디지털 페이먼트)나 수표를 고른다. 해외 거주자는 수표를 현금화하기 번거로우니 가능하면 전자 방식을 택하고, 안 된다면 합의 관리자에게 대안을 묻는다.

5단계, 제출 확인서 보관. 확인 번호를 캡처해 둔다. 이후 지급이 늦어질 때 이 번호가 증거다.

하나만 덧붙이면, 클레임 후 지급은 법원의 최종 승인 이후다. 합의가 승인돼도 항소가 나오면 지급이 몇 달 밀릴 수 있다. 신청했다고 바로 돈이 들어오는 건 아니다.

마감일은? 이미 지났다면?

솔직히 말하겠다. 지금은 2026년 10월이다. 이 합의의 일정은 법원이 정한 것이고, 내가 알고 있는 어떤 날짜도 공식 사이트보다 정확하지 않다. 사이트에서 세 가지 날짜를 반드시 확인하라.

마감 유형	의미	놓치면
클레임 제출 마감	보상 신청 최종일	합의금 청구권 소멸
제외(Opt-out) 마감	합의에서 빠질 수 있는 최종일	합의에 구속되어 별도 소송 불가
이의 제기(Objection) 마감	합의 조건에 반대 의견을 낼 수 있는 최종일	항소·이의 권리 제한

클레임 마감이 이미 지났다면 선택지는 좁다. 합의 관리자에게 “늦은 청구 수용 가능성”을 문의해 볼 수는 있지만 기대는 말자. 대신 신원도용이 실제로 터졌다면 합의와 별개로 변호사 상담이 의미가 있다. 상담료가 걱정이라면 변호사 상담료 가이드에서 첫 상담 비용을 어떻게 줄이는지 확인해 보자.

한 가지 오해를 풀자. 제외하면 더 많이 받는다고 생각하는 사람이 있다. 집단소송 구조상 개인이 대기업을 상대로 별도 소송을 이기려면 비용이 크고, 피해가 소액이면 합의에 남는 쪽이 합리적인 경우가 압도적으로 많다. 큰 실손 피해가 있다면 이야기가 다르다.

합의금 말고, 지금 당장 해야 할 방어 조치 7가지

돈보다 중요한 건 방어다. SSN과 건강정보는 몇 년 뒤에도 악용될 수 있다. 우선순위는 이렇다.

1. 신용 동결. Equifax, Experian, TransUnion 세 곳에 모두 건다. 무료고, 필요할 때 일시 해제할 수 있다. 가장 효과적인 한 방이다. 신용 경보(Fraud Alert)보다 강력하다.

2. 신용 보고서 무료 열람. AnnualCreditReport.com에서 확인한다. 모르는 계좌나 조회 기록이 있으면 그 자리에서 분쟁 신청을 한다.

3. IRS Identity Protection PIN. 세금 환급 사기는 SSN 유출의 대표 피해다. IRS에서 IP PIN을 발급받으면 남이 내 SSN으로 세금 신고를 못 한다. 미국에서 세금 신고를 하는 사람이라면 필수에 가깝다.

4. 의료 청구 점검. 보험사의 EOB를 월 단위로 훑어보자. 내가 받지 않은 진료나 약이 있으면 의료 신원도용이다. 병원 기록이 섞이면 훗날 보험 가입이나 치료에도 악영향이 있다.

5. 은행·카드 알림. 소액 결제 알림을 켠다. 사기범은 소액으로 테스트부터 한다.

6. 피싱 경계. 유출된 정보를 아는 사기범이 약 이름과 병원 이름까지 대며 접근한다. 내 정보를 안다는 사실은 신뢰의 근거가 되지 못한다. 전화·문자로 온 링크는 누르지 않는다.

7. 보험 구조 이해. 건강보험 정보가 샌 경우 보험사에 이를 알리고 새 보험 ID 발급이 가능한지 묻는다. 미국 건강보험 전환이나 갈아타기를 고민 중이라면 4세대 실손보험 갈아타기 글처럼 보장 구조를 먼저 이해하고 접근하는 편이 낫다.

흔한 실수 6가지

현장에서 반복되는 실수를 모았다.

실수	왜 문제인가	대안
통지문을 스팸으로 버림	클레임 ID 분실, 신청 불가	합의 관리자에게 재조회 요청
가짜 사이트에 개인정보 입력	2차 피해	통지문 URL이나 법원 문서 번호로 접근
마감 후 확인	청구권 소멸	통지 받은 즉시 캘린더 등록
신용 동결 없이 모니터링만 사용	모니터링은 사후 알림일 뿐	동결이 먼저, 모니터링은 보조
증빙 없이 실손 청구	거절될 가능성	영수증·명세서를 먼저 모은 뒤 신청
합의 조건 미확인 후 청구	청구 면제 범위를 모른 채 권리 포기	면제 조항을 사이트에서 읽기

특히 마지막 항목은 소홀히 넘어가기 쉽다. 클레임을 낸다는 것은 같은 사안으로 더 이상 Cencora를 상대로 청구하지 않겠다는 동의를 포함한다. 이미 큰 신원도용 피해가 있는 사람은 클레임 전에 변호사를 한 번 만나야 한다. 사고 피해 사건에서 변호사가 성공 보수로 일하는 구조는 세미트럭 언더라이드 사고 변호사 글에서 설명한 것과 비슷하다. 데이터 유출도 피해가 입증되면 성공보수 변호사를 만날 수 있다.

왜 배후 업체의 유출이 더 위험한가?

여기서부터 내 의견이다. 병원이나 보험사의 유출은 환자도 위험을 안다. 그런데 Cencora 같은 중간 유통·서비스 업체는 환자 눈에 보이지 않는다. 환자는 제약사에 동의서를 쓰고, 제약사는 업무를 위탁하고, 위탁받은 업체는 다시 시스템 업체를 쓴다. 정보가 흐르는 고리가 길수록 어디서 터져도 환자가 알기까지 시간이 걸린다.

HIPAA는 이런 업체를 비즈니스 어소시에이트(Business Associate)로 보고 보안 의무를 지우지만, 소송에서 책임을 다투는 것은 결국 “합리적인 보안 조치를 했는가”라는 과실 문제다. 이런 위탁 구조에서는 책임이 서로 미뤄지기 쉽고, 그래서 집단소송이 개인이 감당 못 할 입증 부담을 대신해 주는 도구가 된다.

기업 쪽에서 보면 이 구조는 보험으로 흡수된다. 사이버 책임 보험이 합의금의 상당 부분을 감당하는 경우가 많다. 사업자가 책임 보험을 어떻게 설계하는지는 차량 보관 책임보험 비용 글에서 본 보험료 구조와 같은 논리(위험이 클수록 보험료와 면책 조건이 달라진다)로 움직인다.

자주 묻는 질문 요약과 마지막 점검

핵심만 다시 짚는다. 통지문을 찾고, 공식 사이트에서 자격과 마감일을 확인하고, 피해 증빙을 모아 클레임을 제출한다. 그리고 합의금과 상관없이 신용 동결, IRS IP PIN, EOB 점검을 오늘 끝낸다.

합의금은 대체로 크지 않다. 솔직히 몇십 달러에서 수백 달러 사이를 기대하는 게 현실적이고, 정확한 범위는 사이트에서 확인해야 한다. 하지만 클레임 신청은 공짜이고 20분이면 된다. 반면 신원도용 한 건을 복구하는 데는 수개월이 든다. 돈을 받으려고 클레임을 내는 것이 아니라 내 정보 사고를 공식 기록으로 남기는 의미도 있다.

마지막 체크리스트:

• 통지문과 클레임 ID 확보
• 공식 사이트에서 3개 마감일 확인
• 실손 피해 증빙 수집
• 신용 동결 3곳, IP PIN 신청
• 클레임 제출 후 확인 번호 보관

---

이 글은 일반적인 정보 제공을 목적으로 작성됐으며 법률 자문이 아닙니다. 합의 내용, 금액, 마감일은 법원 승인과 합의 관리자 공지에 따라 달라질 수 있으므로 반드시 공식 합의 사이트에서 최신 정보를 확인하시기 바랍니다. 개별 사안은 자격을 갖춘 변호사와 상담하세요.