정보털리면 피해 수조원…사이버보험 의무가입액 고작 10억

[이데일리 김정훈 기자]

[이데일리 최정훈 기자] 쿠팡을 비롯한 대형 플랫폼에서 연이어 발생한 개인정보 유출 사고가 한국 경제 전반을 위협하는 ‘시스템 리스크’로 번지고 있다. 이커머스·결제·물류·클라우드 등 빅테크가 사실상 사회 인프라가 된 상황에서 하나의 보안 구멍이 금융사기와 계정탈취, 물류 차질로 번지기까지 걸리는 시간은 점점 짧아지고 있다. 그러나 이를 흡수해야 할 사이버보험은 시장 규모가 고작 수십억 원대에 그쳐 사실상 ‘무방비 상태’라는 점에서 우려가 커지고 있다.

14일 보험연구원에 따르면 코로나19 이후 디지털 의존도가 급증하면서 사이버 공격의 빈도와 파급력은 기존 사고와 비교하기 어려울 정도로 커졌다. 글로벌 기업을 겨냥한 주당 사이버 공격 건수는 2021년 818건에서 올해 2분기 1984건으로 두 배 이상 급증했다. 대형 사고 건수도 2015년 120건에서 2024년 1230건으로 폭증했다. 공격자 중 상당수는 국가 지원 해커로, 정보기술(24%), 통신·에너지 인프라(21%) 등 국가 기능의 핵심 영역을 주요 타깃으로 삼는 것으로 나타났다.

SK텔레콤·KT·롯데카드·업비트에 이어 쿠팡까지 사고가 이어지면서 국내에서도 전 업종이 표적이 되고 있다. 보안업계 관계자는 “이용자 대부분이 여러 플랫폼에서 유사 비밀번호를 쓰기 때문에 한 곳이 뚫리면 다른 서비스로 파급되는 구조”라며 “개별 기업의 문제가 아니라 국가적 차원의 리스크”라고 말했다.

하지만 정작 한국의 사이버보험 시장은 이 같은 위험을 감당하기엔 턱없이 부족하다. 글로벌 사이버보험 시장이 2019년 59억달러(약 9조원)에서 2023년 141억달러(약 21조원)로 두 배 이상 성장했지만, 한국 시장 규모는 고작 300만달러(약 44억원)에 불과하다. 호주(4억7000만달러·6944억원)나 일본(1억9600만달러·2896억원)은 물론이고 태국(500만달러·74억원), 필리핀(300만달러·44억원) 수준에 머물러 있다.

한국은 보험료 규모나 경제 수준(GDP)으로 보면 아시아에서 손꼽히는 보험시장이지만, 사이버보험은 예외적으로 낙후된 셈이다. 사이버 사고는 대규모·동시다발적 특성 탓에 보험사가 손해율을 예측하기 어렵다는 점이 시장 위축의 요인으로 꼽힌다. 한 손보사 관계자는 “사고 건수는 늘고 손해율은 90%를 넘는데 배상액은 낮아 보험사 입장에서도 인수가 쉽지 않다”며 “위험은 크게 늘었지만 제도는 아직 과거에 머물러 있다”고 했다.

기업의 의무보험 제도가 사실상 ‘유명무실’한 것도 구조적 문제로 꼽힌다. 쿠팡은 3370만 계정 유출에도 개인정보 유출배상책임보험을 법정 최저 수준인 10억원만 가입한 것으로 확인됐다. 과거 판례 기준 1인당 위자료 약 10만원을 적용하면 잠재적 배상액은 수조원대에 달하지만, 현행 개인정보보호법 시행령은 기업의 매출과 정보 보유량이 아무리 커도 의무가입액을 최대 10억원까지만 규정하고 있다.

대부분의 기업은 최저가입액이 5000만~2억원에 불과해 사실상 보험 기능이 작동하기 어렵다는 비판이 나온다. 권순일 보험연구원 연구위원은 “국내 배상액이 지나치게 낮아 기업이 보안 투자나 보험 가입에 적극적일 유인이 약하다”며 “정보보유 규모·위험도를 반영한 최저가입액 상향이 필요하다”고 지적했다.

전문가들은 국내 빅테크를 금융·통신·물류·결제와 연결된 ‘시스템적으로 중요한 디지털 인프라’로 규정하고 별도의 관리체계를 구축해야 한다고 강조한다. 정광민 포항공대 산업경영공학과 교수는 “빅테크나 결제·물류처럼 사회적 영향력이 큰 기업은 금융회사처럼 주기적인 사이버 스트레스 테스트를 받아 최악의 침해 시나리오에서도 시스템이 버틸 수 있는지 검증해야 한다”며 “징벌적 손해배상 같은 제도적 장치를 강화해 기업의 책임성을 높일 필요가 있다”고 말했다.

정 교수는 이어 “사이버 공격은 한 번에 수백·수천 개 기업으로 번질 수 있기 때문에 단일 보험사가 감당하기 어렵다”며 “정부와 보험사가 함께 부담을 나누는 공·사 공동재보험 체계를 구축해 시장 전체의 복원력을 키워야 한다”고 덧붙였다.