금융권을 중심으로 해킹과 개인정보 유출 사고가 잇따르는 가운데 사이버보험을 판매하는 손해보험사들의 고민도 깊어지고 있다. 사진은 보안업체 SK쉴더스의 보안관제본부 모습(기사 내용과 무관) /SK쉴더스

[더팩트 | 김태환 기자] 금융권을 중심으로 해킹과 개인정보 유출 사고가 잇따르면서 사이버보험 수요가 커질 것으로 예상되지만 손해보험사들의 고민도 깊어지고 있다. 사이버보험은 성장 가능성이 큰 시장인 반면 동일한 클라우드·보안솔루션 등 공통 인프라에 가입기업이 몰릴 경우 한 번의 공격이 여러 계약의 보험금 청구로 동시에 번질 수 있어 대형 누적손실 위험이 크기 때문이다. 최근 인공지능(AI)을 활용한 자동화 공격 정황까지 나타나면서 보험사들이 시장 확대와 인수위험 관리 사이에서 균형점을 찾아야 한다는 지적이 나온다.

13일 금융·보험업계에 따르면 최근 신한·KB국민·하나·BNK부산은행을 비롯해 저축은행과 캐피탈사 등 금융회사에서 해킹과 정보유출 사고가 잇따르고 있다. 시중은행을 공격한 일부 IP가 토스뱅크와 보험사에도 접근을 시도한 흔적이 확인되면서 금융권 전반으로 공격 범위가 확산할 가능성도 제기됐다. 경찰은 금융권 해킹 사건 수사를 위해 28명 규모의 전담팀을 꾸렸다.

특히 최근 금융권 공격에서는 AI 도구를 활용해 다수 금융사를 대상으로 자동화된 공격을 시도한 정황도 나타났다. 공격자가 AI를 활용해 취약점을 탐색하고 공격을 자동화할 경우 개별 기업을 일일이 노리지 않고도 다수 기업을 동시에 공격할 수 있어 보험사가 관리해야 할 사이버위험의 상관관계도 커질 수 있다.

글로벌 사이버보험 시장은 이미 성장세를 보이고 있다. 뮌헨리에 따르면 지난해 글로벌 사이버보험 시장의 보험료 규모는 약 150억달러로 추산되며 2030년에는 약 280억달러까지 확대될 전망이다. 조사 대상 금융업 경영진의 63%가 사이버공격을 우려하거나 크게 우려한다고 응답해 IT, 헬스케어·제약에 이어 높은 수준을 보였다. 국내에서도 최근 금융권 침해사고가 이어지면서 기업들의 위험 이전 수요가 확대될 가능성이 커졌다.

국내에서도 대규모 정보유출 사고가 반복되면서 보험을 통한 피해보상 필요성이 부각되고 있다. 다만 현재 제도상 의무보험 가입 기업 상당수가 법에서 정한 최저 보장금액 수준에 머물고 있다는 지적도 나온다. 최근 보도에 따르면 개인정보 손해배상책임보험 의무가입 기업 가운데 약 80%가 최저 의무금액 수준으로 가입한 것으로 나타나 실제 대형 사고가 발생할 경우 보상한도가 충분하지 않을 수 있다는 문제가 제기됐다.

문제는 수요가 늘어나는 만큼 손보사가 인수물량을 단순히 늘리기 어렵다는 점이다. 사이버위험은 개별 기업에서 발생한 사고가 해당 계약에서 끝나는 전통적 위험과 달리 동일한 클라우드·통신망·보안솔루션을 사용하는 여러 기업으로 손실이 동시에 확산할 수 있기 때문이다.

보험업계에서는 이를 ‘누적위험(accumulation risk)’으로 관리한다. 동일한 클라우드·통신망·보안솔루션 등 공통 인프라를 사용하는 여러 기업이 한 번의 장애나 사이버공격으로 동시에 피해를 입으면 보험사 역시 여러 계약에서 보험금 지급 의무가 한꺼번에 발생할 수 있다. 스위스리는 소수 클라우드와 AI 서비스 사업자에 대한 의존도가 높아지면서 시스템 차원의 누적위험이 확대될 수 있다고 지적했다.

가령 동일 클라우드를 이용하는 은행·카드사·보험사들이 각각 사이버보험에 가입한 상태에서 해당 사업자에 대규모 장애나 공격이 발생하면 개인정보 유출이나 데이터 복구, 영업중단 등을 보장하는 계약에서 손실이 동시에 발생할 수 있다. 보험사가 가입 기업 자체의 보안 수준뿐 아니라 어떤 클라우드와 소프트웨어, 외부 서비스업체를 이용하는지까지 파악해야 하는 이유다.

금융사가 직접 관리하기 어려운 외부 위탁업체와 판매채널까지 공격 경로가 확대되는 점도 변수다. 최근 보험업권에서는 대형 법인보험대리점(GA)의 전산·보안 체계가 취약한 고리로 지목되면서 금융당국과 금융보안원이 긴급 점검에 나섰다. 제3자 사업자가 여러 금융회사에 동일한 서비스를 제공하는 경우 해당 사업자의 침해사고가 여러 피보험자의 손실로 동시에 번질 수 있어 사이버보험사의 위험관리도 한층 복잡해질 수 있다.

결국 사이버보험 확대의 관건은 단순한 판매량보다 손보사가 전체 포트폴리오에 쌓인 위험을 얼마나 정확히 파악할 수 있느냐에 있다는 평가다. 동일한 클라우드나 보안업체를 사용하는 기업을 과도하게 인수하면 평상시에는 계약이 분산돼 보이더라도 대형 사고가 발생하는 순간 손실이 한꺼번에 집중될 수 있기 때문이다.

업계에서는 사이버보험 시장 확대의 또 다른 관건으로 재보험을 꼽는다. 원보험사가 대규모 사이버위험을 모두 보유할 경우 단일 사고만으로 손해율과 자본부담이 급격히 커질 수 있어 일정 부분을 재보험으로 이전해야 추가 인수여력을 확보할 수 있기 때문이다. 반대로 재보험사가 특정 클라우드나 소프트웨어에 대한 누적위험을 이유로 인수한도를 줄이거나 조건을 강화하면 원보험사 역시 사이버보험 판매를 확대하는 데 제약을 받을 수 있다.

보험업계 관계자는 "사이버보험은 해킹 사고 증가로 수요 확대가 예상되는 분야지만 하나의 공격이나 시스템 장애가 여러 기업에 동시에 영향을 줄 수 있어 개별 계약뿐 아니라 전체 포트폴리오 차원의 누적위험 관리가 중요하다"며 "시장 확대 과정에서는 계약 건수나 보험료 성장뿐 아니라 클라우드·공급망별 익스포저 관리와 인수한도 설정, 재보험을 통한 위험 분산 능력이 손보사의 실제 경쟁력을 좌우할 것"이라고 말했다.

kimthin@tf.co.kr