'역대급 IT대란'에도 보험금은 '찔끔'…피해 기업들 '보상 사각지대'

[이데일리 김정유 기자] 마이크로소프트(MS)의 클라우드 장애로 세계 곳곳의 기업이 업무 차질을 겪었지만 피해 보상은 제한적일 전망이다. 생산성 손실이 160억달러에 달한다는 추산에도 보험금 지급 예상액은 손실액의 10%에도 미치지 못할 것으로 예상된다. 보험금을 받으려면 업무 중단 시간과 실제 손실을 입증해야 하고, MS도 계약상 배상 범위를 제한하고 있어 피해 기업들의 부담이 커질 것으로 보인다. 사실상 ‘보상 사각지대’에 놓였다는 지적이다.

그래픽=김일환 기자

15일 미국 보험전문매체 비즈니스인슈어런스와 로이터통신 등에 따르면 신용평가사 모닝스타 DBRS는 이번 장애의 전 세계 예상 보험금을 3억~5억달러(약 4020억~6700억원)로 추산했다. 사이버 위험 분석업체 코브르는 7억달러(약 9380억원)로 예상했다. 코브르가 추산한 생산성 손실 160억달러(약 21조4400억원)와 큰 차이다. 아직은 피해 정도를 가늠할 변수가 많아 숫자가 크게 달라질 수 있다.

글로벌 재보험 중개업체 마시 리는 보고서에서 “노출 범위가 넓은 중대한 장애였지만 고르지 않았고, 전면적인 서비스 중단이나 클라우드 붕괴, 사이버 공격도 아니었다”고 진단했다. 톰 드라이든 맥길앤드파트너스 유럽 사이버 부문 총괄도 “장애의 영향이 넓게 퍼졌다고 해서 반드시 피해가 심각하다는 뜻은 아니다”고 말했다. 피해가 넓게 퍼졌을 뿐 기업 매출과 이익에 직접 타격을 준 경우는 많지 않다는 게 보험업계 판단이다.

보험금 규모를 가르는 핵심은 업무 중단이다. 케이틀린 유잉 알리안츠커머셜 사이버 보험 청구 분석가는 “업무 중단은 여전히 사이버 보험에서 가장 큰 손실 요인이다”며 “업무 중단이 보험금 규모를 좌우한다”고 했다.

마시 리에 따르면 사이버 보험의 업무 중단 보상에는 소기업 약 4시간, 대기업 12시간 이상의 대기시간을 적용받는다. MS의 장애가 36시간 이어졌더라도 개별 기업이 겪은 업무 중단이 계약상 기준에 못 미치면 보상받기 어렵다.

실제 손실을 입증하는 과정도 까다롭다. 글로벌 로펌 헌턴앤드루스커스의 안드레아 디필드 파트너 변호사는 “실제로 시간을 잃은 것인지, 아니면 나중에 만회하면 되는지를 따져야 한다”고 지적했다. 장애 이후 밀린 업무를 처리해 매출을 회복했다면 업무 지연 자체를 보험 손실로 인정받기 어렵다는 설명이다. 일부 중소기업 보험은 해킹 같은 보안 사고에만 보상해 이번과 같은 시스템 장애는 보장 대상에서 빠질 수 있다.

MS에 직접 배상을 요구하는 데도 한계가 있다. MS의 기업용 구독 약관은 배상 책임을 직접 손해에 한해 직전 12개월간 낸 이용료로 제한한다. 매출 손실이나 업무 중단에 따른 간접 손해는 배상 대상에서 제외한다. 약속한 서비스 가동률을 지키지 못했을 때의 구제 수단도 서비스 크레딧(요금 할인)으로 정했다.

소송으로 배상을 받아내기도 쉽지 않다. 캐나다 소비자법률그룹은 14일 피해 이용자를 모아 집단소송 준비에 나섰다. 하지만 MS의 약관이 배상 범위를 좁게 묶어두고 있어 기업들이 소송으로 실제 배상을 받아내기는 어렵다는 관측이 많다.

각국 규제 당국의 틈새도 커 피해 보상과는 거리가 있다. 유럽연합(EU)과 영국은 MS를 금융시스템에 필요한 핵심 IT 공급업체로 지정해 감독하고 있지만, 관련 제도는 장애 발생 시 당국에 보고하고 재발을 방지하는 데 초점을 맞추고 있어 피해 보상 장치는 아니다.

IT와 보험업계는 이번 사고를 2024년 미국 사이버 보안 기업 ‘크라우드스트라이크 사태’와 비교한다. 당시 보안 프로그램 업데이트 오류로 세계 윈도 PC와 서버 약 850만 대가 한 번에 멈췄다. 사이버 위험 모델링업체 사이버큐브는 당시 보험금 규모를 4억~15억달러(약 5360억~2조100억원)로 추산했다. 피해 범위가 넓어도 보험금 지급은 제한적이었던 구조가 이번에도 나타날 수 있다는 것이다. 마크 그레고리 호주 RMIT대 교수는 “기업이 피해 보상을 청구할 수 있는 장치가 있어야 한다”며 “정부는 생산성에 타격을 준 장애에 대해 빅테크에 벌금을 물려야 한다”고 주장했다.

(사진=로이터)