그래픽=김일환 기자
글로벌 재보험 중개업체 마시 리는 보고서에서 “노출 범위가 넓은 중대한 장애였지만 고르지 않았고, 전면적인 서비스 중단이나 클라우드 붕괴, 사이버 공격도 아니었다”고 진단했다. 톰 드라이든 맥길앤드파트너스 유럽 사이버 부문 총괄도 “장애의 영향이 넓게 퍼졌다고 해서 반드시 피해가 심각하다는 뜻은 아니다”고 말했다. 피해가 넓게 퍼졌을 뿐 기업 매출과 이익에 직접 타격을 준 경우는 많지 않다는 게 보험업계 판단이다.
보험금 규모를 가르는 핵심은 업무 중단이다. 케이틀린 유잉 알리안츠커머셜 사이버 보험 청구 분석가는 “업무 중단은 여전히 사이버 보험에서 가장 큰 손실 요인이다”며 “업무 중단이 보험금 규모를 좌우한다”고 했다.
마시 리에 따르면 사이버 보험의 업무 중단 보상에는 소기업 약 4시간, 대기업 12시간 이상의 대기시간을 적용받는다. MS의 장애가 36시간 이어졌더라도 개별 기업이 겪은 업무 중단이 계약상 기준에 못 미치면 보상받기 어렵다.
실제 손실을 입증하는 과정도 까다롭다. 글로벌 로펌 헌턴앤드루스커스의 안드레아 디필드 파트너 변호사는 “실제로 시간을 잃은 것인지, 아니면 나중에 만회하면 되는지를 따져야 한다”고 지적했다. 장애 이후 밀린 업무를 처리해 매출을 회복했다면 업무 지연 자체를 보험 손실로 인정받기 어렵다는 설명이다. 일부 중소기업 보험은 해킹 같은 보안 사고에만 보상해 이번과 같은 시스템 장애는 보장 대상에서 빠질 수 있다.
MS에 직접 배상을 요구하는 데도 한계가 있다. MS의 기업용 구독 약관은 배상 책임을 직접 손해에 한해 직전 12개월간 낸 이용료로 제한한다. 매출 손실이나 업무 중단에 따른 간접 손해는 배상 대상에서 제외한다. 약속한 서비스 가동률을 지키지 못했을 때의 구제 수단도 서비스 크레딧(요금 할인)으로 정했다.
소송으로 배상을 받아내기도 쉽지 않다. 캐나다 소비자법률그룹은 14일 피해 이용자를 모아 집단소송 준비에 나섰다. 하지만 MS의 약관이 배상 범위를 좁게 묶어두고 있어 기업들이 소송으로 실제 배상을 받아내기는 어렵다는 관측이 많다.
각국 규제 당국의 틈새도 커 피해 보상과는 거리가 있다. 유럽연합(EU)과 영국은 MS를 금융시스템에 필요한 핵심 IT 공급업체로 지정해 감독하고 있지만, 관련 제도는 장애 발생 시 당국에 보고하고 재발을 방지하는 데 초점을 맞추고 있어 피해 보상 장치는 아니다.
IT와 보험업계는 이번 사고를 2024년 미국 사이버 보안 기업 ‘크라우드스트라이크 사태’와 비교한다. 당시 보안 프로그램 업데이트 오류로 세계 윈도 PC와 서버 약 850만 대가 한 번에 멈췄다. 사이버 위험 모델링업체 사이버큐브는 당시 보험금 규모를 4억~15억달러(약 5360억~2조100억원)로 추산했다. 피해 범위가 넓어도 보험금 지급은 제한적이었던 구조가 이번에도 나타날 수 있다는 것이다. 마크 그레고리 호주 RMIT대 교수는 “기업이 피해 보상을 청구할 수 있는 장치가 있어야 한다”며 “정부는 생산성에 타격을 준 장애에 대해 빅테크에 벌금을 물려야 한다”고 주장했다.
(사진=로이터)
