Offcanvas

CSO / 보안 / 분쟁|갈등 / 악성코드

사이버전쟁 피해, 기업 보험 적용 '불투명'··· 비공개로 종결 난 몬델리즈-취리히 소송

2022.11.04 Christopher Burgess  |  CSO
2017년, 러시아 당국이 배후로 추정되는 낫페트야(NotPeya) 맬웨어 공격으로 큰 피해를 본 미국의 대형 제과회사 몬델리즈 인터내셔널(Modelez International)이 전담 보험사인 취리히 아메리칸 보험(Zurich American Insurance)과 4년 간 이어온 소송을 합의로 종결한 것으로 드러났다. 그러나 합의 내용이 밝혀지지 않아 사이버전쟁 피해가 기업 보험에 포함돼야 할지에 대한 기준을 확립하기 어려워졌다. 낫페트야 공격으로 비슷한 피해를 본 제약회사 머크(Merck)는 보험사 에이스 아메리칸(Ace American)에 건 소송에서 지난 1월 승소했다. 
 
ⓒGetty Images Bank

2017년 6월 27일, 낫페트야 맬웨어는 몬델리즈에 있던 1,700개의 서버와 24,000대의 노트북을 영구적으로 손상시켰다. 회사는 피해액이 1억 달러에 달한다고 밝혔다. 

이에 몬델레즈는 보험 규정에 "기계코드나 명령의 악의적인 도입으로 인한 물리적 손실이나 손상을 포함해 전자 데이터, 프로그램 또는 소프트웨어에 대한 물리적 손실이나 손상을 보상한다"라고 명시돼 있다며 전담 보험사인 취리히 아메리칸에 보험금을 청구했다. 
 

‘전쟁면책’ 들며 지급 거절 

처음 몬델레즈는 보험 정책이 당연히 유효하리라 믿었다. 맬웨어가 인프라에 분명한 손상을 입혔기 때문이다. 하지만 몬델레즈는 2018년 6월 1일 취리히로부터 서면 거절을 받았다고 밝혔다. 다음과 같은 전쟁 상황은 면책 대상이라는 점이 거절 사유였다. 
 

평화 또는 전쟁 시 적대적이거나 호전적인 모든 사건은 면책 대상이다. 여기에는 실제, 임박하거나 예상되는 공격에 대한 방해, 전투 또는 방어 행동을 포함한다. 공격 대상은

i) 정부 또는 주권(재판 또는 사실상의)
ii) 군대, 해군 또는 공군
iii) 상기 ii 또는 ii에 명시된 당사자의 대리인 또는 권한을 모두 포함한다. 


그러나, 몇 주 후 취리히 보험은 태도를 바꿔 몬델레즈에 1,000만 달러의 합의금을 제안했다. 안타깝게도 말은 쉽다는 격언처럼 해당 제안은 논의만 되고 성사되지 않았다. 
 

몬델레즈, 4년에 걸친 소송 시작 

2018년 10월이 되자 회사는 "더 이상 참지 못한다"라며 소송을 제기했다. 소송이 진행되면서 사이버보안 업계 관계자들은 사이버보안 피해의 보험 보상 문제라는 더 큰 사안에 대해 촉각을 곤두세우며 지켜봐야 했다. 

올해 1월 제약회사 머크가 에이스 아메리칸 보험사와의 소송에서 승소하자 전세는 몬델레즈 측으로 기우는 듯했다. 에이스 아메리칸도 '사이버 전쟁' 면책을 주장하며 보상을 거부하자 머크는 2019년에 소송을 제기했다. 2022년 1월 13일, 뉴저지주 1심 법원(Superior Court of New Jersey)은 정부 기관이 명확하게 관여한 경우에만 “사이버 전쟁” 조항이 적용될 수 있다며 보험회사 패소 판결을 했다. 낫페트야 공격의 배후는 러시아 정부로 추정될 뿐 명백히 사실로 밝혀지지 않았기 때문이다. 법원은 약관 문언이 모호하며, 모호할 때는 면책을 명확히 할 부담이 보험회사에 있다고 지적했다.

그러나 소송은 여전히 끝날 기미가 보이지 않았다. 
 

다시 기운 전세 이후 종결된 소송 

2022년 8월, 영국 런던의 금융가 시티오브런던에 있는 보험시장 런던로이즈(Lloyd's of London)는 사이버보안 피해 보상에 관한 예외 조항을 명시했다. 사이버보안 관계자들은 긴장의 끈을 놓을 수 없었다. 회사는 2023년 3월 31일부터 ‘전쟁 면책’의 예외대상은 반드시(must) 다음과 같은 사항을 충족해야 한다고 발표했다.  
 

1. "국가 지원 사이버 공격"과 관련된 배제는 정책에 별도의 전쟁 배제가 없는 경우 전쟁에서 발생하는 손실을 배제해야 한다.
2. (조항 3번도 해당) "국가 지원 사이버 공격"과 관련된 제외는 국가의 기능 능력을 현저하게 손상시키거나 국가의 보안 능력을 현저하게 손상시키는 국가 지원 사이버 공격에서 발생하는 손실을 제외해야 한다.
3. "국가 지원 사이버 공격"과 관련된 제외사항은 위의 2(a) 및 (b)에 설명된 방식으로 영향을 받는 국가 외부에 있는 어떤 컴퓨터 시스템을 제외하는지를 명확히 해야 한다.
4. "국가 지원 사이버 공격"과 관련된 제외사항은 국가가 지원하는 사이버 공격이 하나 이상의 국가에 귀속되는 방식에 관련 당사자들의 명확한 합의를 명시해야 한다. 


이에 업계가 몬델레즈와 취리히 사이의 법정 다툼이 어떻게 전개될지 숨죽이며 기다리던 와중, 소송이 갑자기 합의로 종결돼버렸다.
 

‘전례 없음’, 보험사에 가장 유리한 역사   

레드포인트 사이버보안(Redpoint Cybersecurity) 클라이언트 관리 VP를 맡고 있는 바이올렛 설리반 "양측의 비공개 합의는 전쟁 배제 논쟁을 약화시키기만 했다"라고 평가했다. 

그는 이 합의가 논쟁의 선례가 될 만한 법적 명확성을 제공하지 못한 채 사각지대만 남겼다며 "최근 머크 소송과 함께 이번 합의는 독립적인 사이버 정책이 아닌 재산 정책에 기반을 두고 있었다. 양측 모두 복잡한 내용이 많지만, 이는 사이버 전쟁과 같은 행위에 대한 보험 적용 기준과 전쟁과 같은 사이버 행동 중 언제 보험이 적용될지에 대한 의문이 여전히 대두되고 있음을 의미한다"라고 말했다. 

설리번은 CIO 및 CISO에게 "사이버 브로커 또는 보험사와 협력하여 사이버 리스크 및 정책 언어를 진정으로 이해해야 한다"라며 "전문가들은 이미 보험 적용이 얼마나 어려운지 알고 있으리라. 이제 회사의 보험 담당 팀은 어떤 전례도 없이 앞날을 헤쳐 나가야 하는 셈이다"이라고 말했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.