[보안이슈] 낫페트야(NotPetya) 사태로부터 시작된 사이버 보험 재판

회사 몬델레즈(Mondelez International)와 사이버 보험사 취리히보험(Zurich American Insurance) 간 법정 공방이 5년째 계속되고 있다. 그런데 최근, 둘 사이 협의가 이루어졌다는 소식이 나왔다. (재판 결과가 아닌 협상)

 

2017년, 몬델레즈는 낫페트야(Notpetya) 사태로 큰 피해를 입었다. 1700여대의 서버와 24,000여대의 랩톱들이 일제히 마비되어 정상적인 업무가 불가능했고, 장비 복구 비용과 사업이 중단된 동안 발생한 피해액이 1억 달러 이상으로 집계됐다. 그래도 사이버 보험을 들어둔 상태였는데, 취리히보험은 보상이 불가능하다는 답변을 했다.

 

이유?

- "전쟁 행위로 인한 피해는 보상하지 않는다" 라는 조항이 있었기 때문.

＃낫페트야: 우크라이나에서 먼저 피해가 발생했고, 전 세계로 퍼졌다. 65개국 기업이 낫페트야로 인해 마비되었고, 총 피해액은 수십억 달러에 이름.

- 세계 여러 정부 및 기업들이 낫페트야 공격이 러시아 정부와 첩보 기관이 저지른 짓이라고 규정히고 있었고, 러시아가 적대 국가를 노린 공격이었기에.

- 그러나 전쟁 중 타겟으로서 몬델레즈가 노려진 것은 아니고, 휘말린 것.

 

몬델레즈의 주장

- 취리히보험 측에서는 예외 조항들에 대해 명확하게 설명하지 않았음

- 서명한 보험 상품 내에는 "모든 물리적 손실과 피해로 이어질 수 있는 위험을 커버. 여기에는 기계 코드나 명령의 악의적 개입으로 인해 발생한 전자 데이터, 프로그램, 소프트웨어의 손실 및 피해도 포함된다." 라고 명시

- 만약 보상이 불가능하다면, '모든' 이라는 말이 적혀있어선 안된다.

 

 그런데 둘의 공방 이전에도, 낫페트야 관련한 재판이 있었다. 머크와 에이스아메리카보험 간의 다툼이다.

여기서 대법원은 보험사가 14억달러를 보상해 주어야 한다고 판결을 내렸다. 이런 판례가 존재함에도 불구하고 몬델레즈가 재판을 이어나간 것이 아니라 타협했다. 보안 업계들은 이를 의아하게 생각하고 있는 듯.

그래서인지 전쟁 행위 보상 불가능 등의 예외 규정을 오히려 강화하는 보험사도 생기고 있다.

 

참고 기사 (보안뉴스)