결론부터 말하겠습니다. 3PL이나 이커머스 창고를 운영한다면 사이버 보험은 진지하게 살펴볼 가치가 있습니다. Verizon의 2026 Data Breach Investigations Report에 따르면, 조직 규모가 파악된 랜섬웨어 피해자의 96%가 중소기업이었습니다. 공격자는 가장 큰 표적을 노리는 게 아닙니다. 가장 만만한 표적을 노립니다. 그리고 중소기업의 사이버 보험료는 중앙값 기준 연간 약 $1,550인데, 한 번의 공격으로 수십만 달러가 쉽게 날아갑니다. 이 계산은 비교가 안 됩니다.
2024년 가을. 제가 아는 남부 캘리포니아의 3PL — 수십만 평방피트 규모, 이커머스 고객사가 일곱에서 여덟 곳. 화요일 오전 6시, 슈퍼바이저가 WMS 로그인 화면이 열리지 않는 걸 발견합니다. 대신 뜬 메시지는 하나. "데이터가 암호화됐다. 72시간 안에 Bitcoin으로 지불하라." 사흘 동안 80명이 넘는 피커들이 휴게실에 앉아 있었습니다. 지게차는 통로에 멈춰 섰고요. 건물 안의 모든 RF 건은 벽돌이 됐습니다. WMS가 죽으면 웨이브를 릴리스할 수 없고, 라벨을 찍을 수 없고, 현장 전체가 종이와 연필 시대로 후퇴합니다. 사장님의 전화기는 화난 고객들의 전화로 쉴 새 없이 울렸습니다. 시스템은 사흘째 되는 날 복구됐지만, 그 다음 주 초과근무비와 특급 운송비 청구서가 또 구멍을 냈습니다.
WMS가 사흘간 잠기면 실제로 드는 비용
대부분의 사람들은 사이버 공격의 피해가 "몸값"이라고 생각합니다. 틀렸습니다. 몸값은 청구서의 첫 줄일 뿐입니다. 진짜 청구서를 뜯어보겠습니다.
첫째, 다운타임. 창고는 사무실이 아닙니다. 사무실 시스템이 멈춰도 사람들은 이메일 답장을 할 수 있지만, WMS가 죽으면 80명이 앉아서 놀게 됩니다. 작업자 80명에 시간당 $20이면, 사흘간 유급 대기 인건비만 거의 $40,000, 출하량은 제로입니다. 운송사 마감 시간을 놓치면 그날 주문은 전부 지연되고, 소매 고객사와의 EDI 링크가 끊기면 차지백이 자동으로 날아듭니다.
둘째, 복구. 포렌식 업체가 침입 경로를 추적하고, 시스템을 재구축하고, 데이터를 복원합니다. 외부 인시던트 대응 팀과의 계약은 수만 달러부터 시작합니다. 변호사가 끼어들어 고객과 규제 당국에 무엇을 공개해야 하는지 판단합니다. 캘리포니아 개인정보 보호법에는 침해 통지 기한이 있고, 이를 어기면 별도의 벌금이 부과됩니다.
셋째, 그 뒤로 이어지는 지혈 안 되는 출혈. 3PL의 고객 신뢰는 "사고" 건수로 계산됩니다. 사흘짜리 장애 한 번이면, 다음 갱신 협상은 요금 인하 요구로 시작됩니다. 공개된 수치는 심각합니다. 데이터 침해 한 건이 중소기업에 입히는 평균 비용은 $120,000에서 $1.24 million 사이, 랜섬웨어 관련 보험금 청구의 평균은 $269,000에서 $631,000, 그리고 대규모 사이버 공격을 당한 중소기업의 60%가 6개월 안에 문을 닫습니다. 사이버 보험에 가입한 중소기업은 17%에 불과합니다. 즉 83%가 무방비 상태로 돌아다니는 겁니다.
그리고 물류가 집중 표적이 되고 있습니다. CrowdStrike의 2026 위협 보고서에 따르면, 물류 부문을 노린 침입 활동이 2025년에 85% 급증했습니다. 창고는 만성적으로 IT 투자가 부족합니다. WMS, TMS, EDI 인터페이스, 원격 데스크톱, 인터넷에 노출된 레거시 시스템 더미. 공격자에게는 ATM 행렬입니다.
사이버 보험이 실제로 커버하는 것 — 그리고 커버하지 않는 것
일반적인 보험에는 두 개의 바구니가 있습니다. 1자 보상(first-party coverage)은 자사 손실을 지급합니다. 포렌식, 인시던트 대응 팀, 사업 중단 손실, 데이터 복원, 몸값 협상과 지급, 고객 통지 비용, 신용 모니터링. 3자 보상(third-party coverage)은 남이 달려들 때 지급합니다. 데이터 유출 뒤 고객 소송, 규제 대응 비용, 합의금, 변호사 비용입니다.
하지만 함정이 있고, 거기서 데인 사람들을 봤습니다.
알려진 미적용 취약점. 인수심사 담당자는 패치 적용 규율을 물어볼 겁니다. 6개월 전에 패치가 나왔는데 적용하지 않았다는 게 드러나면, 지급 거절 통지서는 저절로 써집니다. MFA도 없고 오프라인 백업도 없고. 요즘 주류 보험 대부분은 다중 인증과 오프사이트 백업을 보상 조건으로 명문화하고 있습니다. WMS 관리자 계정이 아직 "admin/123456"이라면 이번 주에 고치세요. 그리고 자사 직원의 고의 행위는 제외됩니다. 다른 재산 보험과 마찬가지입니다.
비용은 얼마나 될까요. 중개 플랫폼 Insureon의 데이터에 따르면 중소기업의 중앙값은 월 약 $129 — 연간으로 $1,500을 약간 웃돕니다. 전체 범위는 매출, 데이터 양, 보안 태세에 따라 $400에서 $8,000입니다. $1 million 한도가 중소기업의 일반적인 구간입니다. 참고로 전체 요율은 2025년에 실제로 약 11% 하락했지만, AI 기반 공격이 늘면서 15–20%의 반등이 예상됩니다. 일찍 사는 게 늦게 사는 것보다 유리할 겁니다.
제가 계산해 드리죠
100명 규모의 3PL을 예로 듭니다. $1 million 보상에 대한 연간 보험료는 $2,000–3,000. 중규모 랜섬웨어 사고 한 번이면 — 몸값은 제외하고 — 사흘간 대기 인건비, 포렌식, 변호사, 따라잡기 특급 운송으로 $200,000이 가볍게 탑니다. 보험료는 손실에 비해 자릿수가 두 단계나 작습니다. 이건 "보험에 가입해야 하나"의 문제가 아닙니다. "$1을 내고 $100의 리스크를 헤지한다"의 문제입니다. 제 판단은 단호합니다. 창고 사업의 연간 매출이 $5 million을 넘는데 이 보험이 없다면, 도박을 하고 있는 겁니다.
하지만 아직 브로커에게 전화하지 마세요. 보험에서 가장 가치 있는 건 지급금이 아닐 수 있습니다. 인수심사가 먼저 강제하는 네 가지입니다. 전사 MFA, 3-2-1 백업(복사본 3개, 미디어 2종, 오프라인 1개), 엔드포인트 EDR, 30일 이내 패치 적용. 이 네 가지를 하면 실제 리스크는 이미 극적으로 떨어집니다. 견적도 함께 내려가고요. 제가 본 가장 영리한 수는 역방향입니다. 먼저 보안을 인수심사 기준까지 끌어올리고, 개선 기록을 들고 협상에 들어가면 보험료가 떨어집니다.
이번 주에 할 수 있는 게 하나 있습니다. IT에 두 가지 질문을 하세요. 첫째, 인터넷에 노출된 진입점 — WMS, 원격 데스크톱 — 의 관리자 계정에 MFA가 걸려 있습니까. 둘째, 지난주 백업이 정말로 복원 테스트를 거쳤습니까. "백업 성공"이 아니라 진짜로 복원하고 검증했습니까. 둘 중 하나라도 "아니요"라면, 정작 필요할 때 보험이 지급되지 않을 수 있고, 공격자는 똑같이 당신을 잠가 버립니다. 그 두 가지를 먼저 하고 나서 보험 얘기를 하세요.
(참고: 이는 일반적인 리스크 관리 관점의 생각이지, 보험 판매 조언이 아닙니다. 약관과 요율은 변합니다. 각 보험사의 최신 약관을 확인하고, 가입 전 공인 브로커와 상담하세요.)
영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.
