가장 튼튼한 자물쇠도, 옆집 문이 열려 있으면 소용없다"

며칠째 장마전선이 남쪽으로 밀려나고 나니, 이번엔 후텁지근한 열기가 그 자리를 채우고 있습니다. 창문을 열어도 바람 한 점 들어오지 않는 날들이 이어지는데요, 눈에 보이지 않지만 서서히 실내 온도를 끌어올리는 무더위처럼, 요즘 기업들을 압박하는 사이버 리스크도 딱 그런 모양새로 다가오고 있는 듯합니다. 어느 한 순간 갑자기 터지는 사고라기보다, 벤더와 협력사, 클라우드와 SaaS 시스템 곳곳에서 열기가 조금씩 쌓이다 임계점을 넘는 방식으로요.

AI가 무기가 되는 동시에 방패가 되는 시대

지난주 로이터發 Claims Journal 보도를 접하고 잠시 손을 멈췄습니다. 코카콜라 산하 유제품 기업 페어라이프(Fairlife)가 제3자 시스템 무단접근을 이유로 미국 내 생산을 일시 중단했다는 소식이었는데요, 마침 같은 주 백악관이 AI 개발기업과 핵심 인프라 운영기관 간 사이버 취약점 정보 공유 협의체 출범을 발표했다는 대목이 눈에 들어왔습니다. 공격이 AI로 고도화되는 동시에, 방어 측에서도 AI를 정책 차원의 대응 수단으로 끌어올리고 있다는 뜻이겠지요.

올 1월부터 7월까지 집계된 18건의 주요 사고를 유형별로 들여다보면 흐름이 더 뚜렷해집니다.

• 랜섬웨어·데이터 탈취형: Nike(1.4TB 유출), Crunchyroll(680만 건 이메일 유출), Wynn Resorts(비트코인 150만 달러 요구) 등 금전 갈취와 운영 중단이 결합된 전형적 패턴
• 국가배후·지정학 연계형: Stryker의 주문처리·제조·배송 시스템 마비 — 지정학적 긴장이 민간 제조업 공급망으로 곧장 전이된 사례
• 제3자·공급망 경유형: OpenAI, Rockstar Games, Instructure Canvas, Novo Nordisk 등 다수 — 전체 18건 중 6~7건으로 가장 큰 비중을 차지합니다
• 사회공학형: Blank Rome(IT부서 사칭으로 변호사 기망), Carnival(직원 계정 탈취) — 기술보다 사람이 취약점이라는 점을 다시 확인시킵니다
• 인프라 취약점 대량 악용형: Fortinet 방화벽·VPN 장비 약 7만 5천 대 동시 침해 — 단일 벤더 의존이 곧 집적리스크(Accumulation Risk)로 직결된 사례
• 제조·물류 중단형: West Pharmaceutical Services, Stryker, Hasbro, 그리고 이번 fairlife까지 — 데이터 유출을 넘어 생산라인 자체가 멈춰 서며 기업휴지(BI) 손실이 현실화되고 있습니다

보험 프로그램에서 짚어볼 지점

1. 벤더 실사가 언더라이팅의 중심으로: 제3자·공급망 경유형 사고가 절반에 가까운 비중을 차지하는 만큼, Cyber 및 Tech E&O 심사에서 벤더 실사(Vendor Due Diligence)와 제3자 접근권한 관리 수준을 별도 평가 항목으로 반영해야 할 시점입니다. Fortinet 사례처럼 단일 벤더 제품의 광범위한 사용은 포트폴리오 차원의 집적리스크 관리 모델을 다시 들여다보게 합니다.

2. 국내 기업 익스포저 점검: 미국 소재 자회사, SaaS 벤더, 클라우드 인프라를 통해 국내 제조·헬스케어·게임·소비재 기업들도 동일한 유형의 노출에 놓여 있습니다. 특히 West Pharmaceutical Services·Stryker형 제조라인 마비 사고는 국내 제약·의료기기·완성차 협력업체의 Non-Damage BI 및 기업휴지 담보 설계 시 참고할 만한 사례입니다.

3. D&O 언더라이팅과 이사회 책임: 사회공학형 사고 비중이 높다는 점은, 개인정보보호법상 과징금·집단소송 리스크가 국내에서도 유사한 패턴으로 재현될 수 있음을 시사합니다. 이사회의 사이버 거버넌스 감독 책임 여부가 D&O 심사 항목에서 더 무거워질 가능성을 염두에 두시면 좋겠습니다.

결국 올해 상반기 사이버 사고 동향이 말해주는 것은, 방어선이 더 이상 자사 방화벽 안쪽에 머물러서는 안 된다는 점입니다. 벤더 생태계 전체의 보안 성숙도까지 시야를 넓혀야 할 때입니다.