동중국에서 일용소비재 브랜드를 위해 40,000제곱미터 규모의 시설을 운영하는 3PL 고객이 있었습니다. 2024년 9월 어느 화요일 아침, 그들의 WMS 로그인 화면이 몸값 요구 메시지로 바뀌어 있었습니다. 공격자는 수년간 패치되지 않은 프린트 서버를 통해 침입해 데이터베이스를 암호화했고, 비트코인으로 $350,000를 요구했습니다. 72시간 안에 지급하지 않으면 복호화 키를 삭제하겠다는 것이었습니다.
사장님의 첫 질문은 이랬습니다. "Susan 씨, 작년에 사이버 보험에 들었는데, 지금 보험금이 나오나요?" 저는 말했습니다. 진정하세요. 세 장의 청구서를 먼저 합산하고, 그다음에 약관을 보죠.
청구서 하나: 몸값 — 낼 것인가, 말 것인가
벤더 쪽 사람이라면 다 아는 공공연한 비밀이 있습니다. 몸값을 낸 기업 중 완전히 작동하는 복호화 도구를 받은 곳은 절반도 안 됩니다. FBI를 비롯한 각국 사이버 기관은 "내지 마라"고 말하지만, 현실적으로 2024년에 조용히 낸 기업은 많았습니다. 다운타임 비용이 더 컸기 때문입니다.
이 고객은 내지 않았습니다. 왜일까요? 외주 IT팀의 평가에 따르면 데이터베이스는 암호화됐지만, WCS(창고제어시스템)와 자동화 설비는 별도 네트워크 구간에 있어 멀쩡했습니다. 종이 전표로 피킹을 간신히 돌릴 수 있었습니다. $350,000를 내면 작동할지도 모르는 복호화 도구를 사는 셈이고, 안 내면 며칠간의 수작업 운영을 이를 악물고 버티면 됩니다. 이 셈법은 창고마다 다릅니다. 시설이 자동화될수록 "며칠은 수작업으로 버틴다"는 선택지는 사라집니다. 완전 자동화 AS/RS의 WMS가 멈추면, 건물 전체는 비싼 철제 랙일 뿐입니다.
그리고 직관에 반하는 사실이 있습니다. 대부분은 랜섬웨어가 데이터를 훔치는 것이라고 생각합니다. 창고에 치명적인 것은 생산 시스템을 암호화하는 것입니다. 유출된 고객 데이터는 법률과 PR의 문제이고, 암호화된 WMS는 1분마다 돈을 태우는 문제입니다.
청구서 둘: 다운타임 — 멈춘 하루의 진짜 비용
발각된 화요일 오전 8시부터 시스템이 복구된 일요일 밤까지, 꼬박 6일을 멈췄습니다. 함께 계산해 봤습니다.
| 비용 항목 | 금액(6일) | 비고 |
|---|---|---|
| 미출고 주문 | 상품가치 약 $900,000 | 약 15,000건/일, 평균 주문가 약 $10 |
| 임시 인력 | 약 $30,000 | 6일간 종이 전표 운영을 위한 임시직 40명 추가 |
| 고객 클레임 | 약 $80,000 | 대형 고객 2곳이 계약에 따라 SLA 페널티 발동 |
| 마켓플레이스 벌금 | 약 $20,000 | 이커머스 플랫폼의 출하지연 페널티 |
| 합계 | 약 $1,030,000 | 브랜드 손상 제외 |
똑바로 보세요. 몸값 $350,000 대 다운타임 손실 $1,030,000. 몸값 메모의 숫자가 가장 큰 숫자인 경우는 절대 없습니다. 다운타임이 가장 큽니다. 그래서 일부 기업은 조용히 냅니다. $1,030,000의 출혈을 $350,000로 멈출 수 있다면, 겉으로 인정하지 않아도 산수는 맞습니다.
또 다른 고객, 2025년 초 남중국의 국경간 이커머스 창고는 더 전형적인 이야기입니다. 표적 공격이 아니었습니다. 사무 직원이 "송장"으로 위장한 피싱 메일을 클릭했고, 멀웨어가 횡으로 확산됐으며, 이틀 뒤 재무 시스템과 WMS가 모두 암호화됐습니다. 작은 시설, 하루 3,000건, 4일 중단, 손실은 대략 $150,000. 사장님은 말했습니다. "Susan 씨, 해커는 대기업만 노리는 줄 알았어요." 해커는 창고가 얼마나 큰지 신경 쓰지 않습니다. IP 대역을 자동으로 스캔해서 하나씩 시도합니다. 뚫리면 뚫리는 겁니다.
청구서 셋: 데이터 복구 — 백업이 살려주는지는 세 가지에 달려 있다
백업을 사두고 편히 자는 사람이 많습니다. 저는 "백업은 있었는데 복구가 안 됐다"를 너무 많이 봤습니다. 본 네트워크와 같은 구간에 둔 백업은 본 시스템과 함께 암호화됩니다. 3년간 백업을 돌렸지만 한 번도 테스트한 적 없음 — 복구 당일 파일 손상 발각. 보존 기간 7일인데 공격자는 20일 전부터 숨어 있었다 — 모든 백업에 이미 멀웨어가 섞여 있었습니다.
복구가 살려주는지는 세 가지에 달려 있고, 어느 하나도 타협할 수 없습니다.
- 물리적으로 격리하고, 오프사이트에: 백업은 본 네트워크와 물리적으로 격리돼야 합니다 — 오프라인 테이프 또는 불변 스토리지. 본 시스템 옆에 둔 백업은 백업이 아닙니다.
- 정기 훈련: 분기마다 전체 복구 훈련을 하고, 스톱워치로 잰다. 한 번의 훈련으로 "4시간 복구"가 진짜 4시간인지 4일인지 알 수 있습니다.
- 충분한 보존 기간: 최소 30일, 이상적으로 90일. 랜섬웨어 잠복 기간은 주 단위로 셉니다. 7일 보존 기간은 형식일 뿐입니다.
이 고객은 결국 복구와 재구축에 $110,000를 썼습니다. 외부 보안 업체가 네트워크를 정리하고, 서버를 재설치하고, 40일 된 오프라인 백업에서 복구한 뒤, 6일치 종이 전표 운영을 손으로 재입력했습니다. $110,000로 산 것은 비싼 교훈이었습니다.
약관으로 돌아가서: 사이버 보험에 들었다 — 정말 보험금이 나오나
이제 사장님의 원래 질문으로 돌아갑니다. 사이버 보험은 보통 세 가지를 보장합니다. 몸값 자체(일부 약관), 사업 중단 손실, 데이터 복구 비용. 듣기엔 좋습니다. 하지만 벤더 쪽만 아는 내부 사정이 있습니다. 면책 조항에 두 개의 지뢰가 묻혀 있습니다.
지뢰 하나는 "합리적인 보안 유지 의무 위반"입니다. 거의 모든 약관에 있습니다. 사람 말로 풀면, 패치를 한 번도 안 하고 비밀번호가 여전히 admin123이었다면, 보험사가 중과실로 보고 청구를 거절할 수 있다는 뜻입니다. 위 고객의 경우, 그 패치 안 된 프린트 서버가 거절 사유가 될 뻔했습니다. 브로커가 "패치 관리는 IT 업체에 외주했다"고 강하게 주장해 책임선을 흐리게 만들었고, 일부 지급을 받아냈습니다.
지뢰 둘은 "전쟁·국가 행위자 면책"입니다. 일부 새 약관은 "국가 행위자에 의한 것으로 판단되는 공격"을 제외하는데, 귀속 판단 자체가 누구도 깔끔히 증명할 수 없는 난장판입니다. 보험사가 "국가 작전으로 보인다"고 하면, 반증은 행운에 맡겨야 합니다.
그래서 제 결론은 이렇습니다. 사이버 보험은 사기가 아니지만, 조건부로 지급되는 상품입니다. 연간 보험료는 보장 금액의 대략 1%–3% — $2 million짜리 약관은 연간 $20,000–$60,000. $1,030,000의 다운타임 손실 앞에서는 충분히 싼 값입니다. 단, 기본 보안이 이미 좋아서 면책 조항에 걸리지 않는다는 전제가 있어야 합니다. 그렇지 않으면 산 것은 보험이 아니라 플라세보입니다.
다음에 계약을 협상할 때, 이 세 가지를 물어보세요
보험사와 약관을 협상하든, 고객과의 3PL 창고 계약에서 보안 책임 조항을 협상하든, 이 세 가지를 물어보세요.
- "'합리적인 보안 유지 의무 위반'에서 구체적으로 무엇이 해당됩니까?" 항목별로 나열하게 하세요. 나열도 못하는 면책은 그냥 겁주기입니다.
- "사업 중단에 대해 실제 손실을 지급합니까, 아니면 일일 정액입니까?" 실제 손실이라면 어떤 증빙을 요구하는지 물어보세요. 일일 정액이라면 하루 실제 소모액을 커버하는지 확인하세요.
- "백업·복구 훈련이 보장 조건에 명시돼 있습니까?" 일부 약관은 분기별 훈련과 기록 보관을 요구합니다. 빼먹으면 보장이 축소됩니다. 사고 난 뒤가 아니라 미리 물어보세요.
그리고 벤더 쪽에서 드리는 솔직한 한마디. 고객 여러분, 보안 지출은 언제나 순수한 비용으로 보입니다. 당신을 구한 돈으로 보이는 그날이 오기 전까지는요. WMS 로그인 화면이 몸값 요구 메시지로 바뀌고 나서 "Susan 씨, 좋은 보험 브로커 아세요?"라고 묻지 마세요.
Susan, 3PL 영업 이사 지음
영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.
