컬럼비아대, 1,610만 달러 개인정보 유출 합의금 청구 접수 개시

컬럼비아대학교가 지난해 발생한 개인정보 유출 사고의 피해자를 대상으로 1,610만 달러 규모 합의금의 청구 접수를 시작했다. 대학은 지난 9월 집단소송 합의에 동의했으며, 피해자는 신용 모니터링, 신원도용 복구 서비스, 현금 지급 가운데 보상을 받을 수 있다. 청구 마감은 2027년 1월 21일이다.

이 사고는 블룸버그가 처음 보도한 사이버 공격으로, 입학 지원자를 포함한 수백만 명의 정보가 노출되었다. 유출 정보에는 사회보장번호, 주소, 인구통계 정보, 금융계좌 정보, 학업 이력, 의료 정보가 포함되었다. 피해 규모는 지난해 집계된 약 87만 명에서 지난 5월 주 당국 신고 기준 약 310만 명으로 늘었다. 대학 측은 공격이 금전적 목적이었다거나 데이터가 다크웹에서 판매·유포되었다는 증거는 발견되지 않았다고 밝혔다.

컬럼비아대가 2025년 6월 사고를 인지한 이후에도 해커들은 연말까지 아이비리그 대학들을 잇달아 공격했다. 텍사스주 법무장관실 자료에 따르면 펜실베이니아대에서는 44만 명, 다트머스대에서는 9만 9천 명이 피해를 입었으며, 두 대학의 유출 정보에도 사회보장번호와 금융 정보가 포함되었다.

출처: Cameron Fozi, 「Columbia Opens Claims for $16 Million Data Breach Settlement」, Claims Journal, 2026년 11월 2일 (원출처 Bloomberg)
https://www.claimsjournal.com/news/national/2026/11/02/340988.htm

바이낸스 63억 달러 해킹, 암호화폐 보험의 작동법

 바이낸스 63억 달러 해킹, 암호화폐 보험은 어떻게 작동하는가

2026년 10월 30일, 미국 보험 전문지 Insurance Journal은 로이터 벵갈루루 주재 기자 Noor Zainab Hussain과 Manya Saini가 쓴 기사 「Binance's $6.3 Billion Hack: How Crypto Insurance Works」를 게재했다. 편집은 Saumyadeb Chakrabarty가 맡았고, 기사는 국제·재보험 뉴스와 사이버 분야로 분류되었다.

해커가 바이낸스에서 63억 달러를 탈취했다. 암호화폐 사상 최대 규모의 도난이다. 이 기사는 사건 자체보다 그 뒤에 남는 질문, 즉 거래소의 디지털 자산이 과연 보험으로 지켜지는가를 다룬다.

답은 단순하지 않다. 보장 여부는 자산의 보관 방식, 해커의 침입 경로, 그리고 약관의 구체적 조건에 따라 갈린다. 규제의 공백과 가격 변동성 탓에 보험사들은 오랫동안 이 시장을 경계해 왔고, 인수는 여전히 Lloyd's와 버뮤다의 전문 보험사 중심의 틈새 영역에 머물러 있다.

그럼에도 시장은 커지고 있다. Data Bridge Market Research는 글로벌 암호화폐 보험시장이 2025년 93.7억 달러에서 2033년 1,849.8억 달러로 성장할 것으로 내다본다. 보장 구조도 여러 갈래로 분화했다. 도난과 사회공학 사기는 범죄보험이, 해킹과 규제 대응은 사이버 배상책임이, 소프트웨어 결함과 스마트계약 실패는 E&O가, 경영진을 겨냥한 소송은 D&O가, 인프라 제공자의 책임은 기술배상책임이 각각 맡는다.

주목할 대목은 숫자의 간극이다. 바이낸스가 2018년 7월 설립한 이용자 보호 비상기금 SAFU(Secure Asset Fund for Users)의 규모는 약 10억 달러이며 전액 비트코인으로 보유되어 있다. 피해액 63억 달러 앞에서 이 기금은 어디까지 버틸 수 있는가. 바이낸스는 보험 가입 내역을 묻는 로이터의 질의에 즉답하지 않았다.

면책 조항은 또 다른 벽이다. 가치 변동, 피보험자의 사기 행위, 부실하거나 과실 있는 키 관리는 이 분야 약관에서 흔한 면책 사유다. 전통적 범죄보험은 현금과 유가증권, 귀금속 같은 실물을 전제로 설계되었고, 사이버보험은 포렌식 조사와 고객 통지, 법률비용은 담보하되 자금의 손실이나 이체는 대체로 제외한다. 디지털 자산 특약 없이는 도난당한 코인의 가치가 보상되지 않는 이유다. 외부 해커가 자격증명을 훔쳤는가, 내부 직원이 의도적으로 자산을 옮겼는가라는 구분 하나가 범죄보험과 사이버보험 가운데 어느 쪽이 응답할지를 가른다.

Marsh의 금융기관·디지털자산 부문 리더 Jacqueline Quintal은 기업과 기관 고객이 "무엇이 보장되는지 정확히 이해해야 한다"고 말한다. 그는 잠재 손실과 가용 보험 용량 사이의 격차를 감안하면 보안 통제와 거버넌스, 재무 건전성이 보험만큼 중요하다고 덧붙였다.

보험은 리스크를 지우지 않는다. 다만 어디까지 넘기고 어디부터 떠안을지를 정할 뿐이다. 63억 달러라는 숫자는 그 경계선을 미리 그어두지 않은 조직이 치르는 대가를 보여준다.

원문: https://www.insurancejournal.com/news/international/2026/10/30/890982.htm

바이낸스 63억 달러 해킹, 리스크 관리자의 시선으로 본다

2019년 4천만 달러, 2022년 5억7천만 달러, 그리고 2026년 63억 달러. 7년 사이 바이낸스가 겪은 사고의 규모는 150배로 커졌다. 그런데 사고가 시작된 곳은 언제나 비슷하다. 시스템의 가장 약한 고리, 곧 사람과 단말이다.

1. 무슨 일이 있었나

10월 29일 밤, 세계 최대 거래소 바이낸스에서 63억 달러가 빠져나갔다. 탈취의 대부분은 목요일 늦은 시각부터 약 20분 사이에 이루어졌다. 초기 조사 결과 침입은 바이낸스 엔지니어 한 명의 노트북 해킹에서 시작된 것으로 보이며, 공격자는 이를 통해 내부 시스템에 접근해 무단 출금을 실행했다. 이후 조사에서는 직원 노트북 외에 추가 침투 경로도 드러났으나, 회사는 세부 내용을 공개하지 않았다.

배후로는 북한이 지목됐다. FBI는 북한의 TraderTraitor 조직을 이번 공격의 주체로 판단했다. TRM Labs에 따르면 공격자는 바이낸스 지갑이 해커 지갑으로 자금을 비우도록 명령했는데, 이는 2025년 바이빗 해킹과 같은 수법이다. 엘립틱은 이번 사건을 알려진 모든 절도 가운데 단일 규모로 가장 큰 사건으로 평가했다.

2. 손실의 구조: 동결과 자가부담

업계 협력으로 약 30억 달러가 동결됐다. 테더 약 15억7천만 달러, 서클 8억 달러 이상, 리플 약 2억 달러, 아비트럼 보안위원회 3,050만 달러다. 나머지 약 33억 달러는 여전히 회수되지 않았다. 회수가 어려운 부분도 분명하다. TRM Labs에 따르면 약 24억 달러 상당의 비트코인과 이더는 아직 공격자 손에 있으며, 스테이블코인과 달리 이를 동결할 발행 주체가 없다.

보상은 보험이 아니라 회사 대차대조표에서 나온다. 바이낸스는 손실 보전을 위해 약 63억4천만 달러의 자체 자금을 따로 떼어 두었다고 밝혔지만, 자금 출처는 밝히지 않았다. 2018년 설립된 사용자 보호기금 SAFU는 전액 비트코인으로 보유되며 규모는 시세에 따라 10억~12억 달러 수준이다. 이는 추정 손실의 5분의 1에도 못 미치므로, 나머지는 바이낸스의 자기자본으로 메워야 한다.

3. 시장과 업계로의 파급

비트코인은 7만6,368달러로 6주 만의 최저치를 기록했고, 이더는 3% 넘게 내려 2,178달러로 두 달 만의 최저치를 찍었다. BNB는 24시간 동안 5.3% 하락했다. 대출 프로토콜 에이브는 예방 차원에서 일부 시장을 동결했다.

진짜 시험은 출금 재개였다. 11월 1일 출금을 재개한 뒤 바이낸스는 46억5천만 달러의 출금과 10억1천만 달러의 입금을 처리했다. 순유출 36억4천만 달러는 총자산 1,710억 달러의 2.1%에 해당한다. 바이낸스는 탈취된 자산의 약 95%를 회사 자금과 준비금으로 보충했다고 밝혔다. 뱅크런은 일어나지 않았다. 그러나 이를 증명하는 절차는 아직 끝나지 않았다. 완전한 준비금 증명은 계산에만 40~50시간이 걸려 11월 3일(UTC)로 늦춰졌다.

4. 리스크 관리 관점에서 본 다섯 가지 교훈

첫째, 단일 장애점이다. 수십억 달러의 자산이 엔지니어 한 사람의 단말에서 뚫렸다. 내부 권한이 얼마나 넓게 열려 있었는지, 그리고 출금 승인이 몇 겹으로 걸러졌는지가 물어야 할 첫 질문이다.

둘째, 핫월렛 집중이다. 2019년 사고 당시에도 피해는 전체 비트코인 보유량의 약 2%가 담긴 핫월렛에 국한됐다. 7년이 지났지만 공격 표면은 같은 자리에 있었고, 피해 규모만 커졌다.

셋째, 자가보험의 한계다. 바이낸스는 보상했다. 그러나 이 정도 손실을 흡수할 수 있는 거래소는 극히 드물다. 같은 사고가 중견 거래소에서 일어났다면 결과는 파산이었을 것이다. 고객 보호의 근거가 한 회사의 재무 체력에 달려 있다면, 그것은 제도가 아니라 운에 가깝다.

넷째, 보험시장의 수용 능력이다. 암호자산 도난 전문 인수 역량은 대부분 런던에 있으며, 올해 늘어나기는 했으나 공개된 보상 한도는 63억 달러 손실의 극히 일부에 불과하다. 전통 보험도 해법이 아니다. 일반 범죄보험은 원래 현금, 유가증권, 귀금속 같은 실물 자산을 위해 설계됐기 때문에 대부분 암호화폐 손실을 보상하지 않는다. 여기에 북한 연루 사실은 면책 조항 적용 여부라는 쟁점을 낳는다. 국가 행위자에 의한 공격이 전쟁 면책에 해당하는지는 앞으로 업계가 마주할 문제다.

다섯째, 인수심사의 변화다. 언더라이터들은 앞으로 핫월렛 보유 비중, 특권 접근 통제, 엔지니어 단말 보안, 그리고 자가보험 준비금이 실제로 존재하고 적립되어 있다는 증거를 요구할 것으로 보인다. 보험료는 결국 통제 수준을 증명할 수 있는 회사와 그렇지 못한 회사를 가를 것이다.

5. 맺으며

이 사고는 고립된 사건이 아니다. TRM Labs에 따르면 2026년 첫 4개월 동안 암호화폐 해킹 피해액의 약 76%가 북한 연계 조직에 돌아갔다. 국가가 조직적으로 거래소를 털고, 업계는 사고가 날 때마다 회사 금고를 열어 막는다.

"Funds are SAFU." 2019년에도, 2026년에도 바이낸스는 같은 말을 했다. 문제는 그 말이 언제까지 유효하냐는 것이다. 다음 표적이 바이낸스만큼 금고가 두껍지 않다면, 누가 그 손실을 떠안을 것인가.

[정보 출처]

  • Reuters (Virginia Business 전재), Hackers steal $6.3B from Binance in record heist blamed on North Korea, 2026.10.30: https://virginiabusiness.com/hackers-steal-6-3-billion-binance-north-korea-heist/
  • CNBC, Binance sees $3.64 billion in net outflows as withdrawals resume, 2026.11.02: https://www.cnbc.com/2026/11/02/binance-outflow-hack-bitcoin.html
  • Insurance Business UK, Binance hack: record US$6.3bn loss puts Lloyd's crypto and cyber wordings in the spotlight: https://www.insurancebusinessmag.com/uk/news/cyber/binance-hack-record-us6-3bn-loss-puts-lloyds-crypto-and-cyber-wordings-in-the-spotlight-595596.aspx
  • Insurance Business AU/NZ, Binance hit by "largest bank heist in human history": https://www.insurancebusinessmag.com/au/news/cyber/binance-hit-by-largest-bank-heist-in-human-history-as-withdrawals-frozen-worldwide-595583.aspx
  • Insurance Journal (Reuters), How crypto insurance works, 2026.10.30: https://www.insurancejournal.com/news/international/2026/10/30/890982.htm
  • Forklog, Binance Allocates $6.34 Billion to Cover Hack Losses: https://forklog.com/en/?p=106091
  • Analytics Insight, Binance Reopens Withdrawals After Covering 95%: https://www.analyticsinsight.net/news/binance-reopens-withdrawals-after-covering-95-of-usd-63-billion-crypto-hack
  • Feld Thoughts, Binance Update: Waiting on a Zero-Knowledge Proof: https://feld.com/archives/2026/11/binance-hack-update
  • Piper Alderman, 2019 Binance 7,000 BTC hack: https://piperalderman.com.au/insight/one-of-the-worlds-largest-crypto-exchanges-hacked-for-7000-bitcoins/
  • NBC News, 2022 BNB Chain bridge hack: https://www.nbcnews.com/tech/crypto/crypto-exchange-binance-suffers-570-million-hack-rcna51266

※ 사건이 아직 진행 중이므로 수치는 11월 2일 기준이다. 바이낸스의 공식 사후 분석 보고서와 완전한 준비금 증명이 공개되면 내용이 달라질 수 있다.

삼성전자 미국법인, 스마트TV 시청정보 무단수집 혐의로 캘리포니아서 집단소송 피소

삼성전자 미국법인(Samsung Electronics America)이 스마트TV 이용자의 시청 정보를 동의 없이 수집했다는 이유로 다시 집단소송을 당했다. 2026년 10월 6일 삼성 스마트TV 구매자 대니엘 틸러리(Danielle Tillery), 마이클 월시(Michael Walsh), 데이비드 로젠버그(David Rosenberg)가 캘리포니아 북부 연방지방법원에 소장을 냈다. 사건명은 Tillery, et al. v. Samsung Electronics America Inc.(사건번호 3:26-cv-11448)이다. 세 원고는 모두 2014년에서 2021년 사이에 삼성 스마트TV를 구매하였고, 소장은 88쪽에 이른다.

원고 측이 문제 삼는 것은 자동콘텐츠인식(ACR) 기술이다. 원고들에 따르면 삼성 TV는 화면을 1초에 두 번꼴로 캡처해 고유한 디지털 '지문'으로 바꾸고, 이를 대조해 무엇을 보는지 식별한다. 이렇게 모은 시청 기록은 광고용 소비자 프로필 구축에 쓰이며, 안테나로 수신한 방송까지 포함된다. 원고 측은 삼성이 적어도 2013년부터 ACR을 운용해 왔다고 본다. 처음에는 외부 업체를 썼고, 이후 타깃광고 사업부인 삼성애즈(Samsung Ads)와 연동된 자체 시스템을 구축했다는 것이다.

소송의 핵심은 삼성 자신의 고지 문구이다. 삼성은 시청정보 서비스(Viewing Information Services) 안내문에서 기기에 표시되는 영상이나 콘텐츠를 일절 수집하지 않는다고 밝혀 왔다. 원고 측은 이 문장이 거짓이라고 주장한다. ACR은 화면을 캡처하고 지문을 만들어 전송하는 방식으로만 작동하기 때문이다. 원고들은 수집에 동의한 적이 없으며, 판매 시점에 이 사실을 알았다면 TV를 사지 않았거나 훨씬 낮은 값을 치렀을 것이라고 말한다. 소장은 이 사건을 감시 그 자체에 관한 것이라고 규정한다. 아울러 '동의'를 만들어 내는 허위 보증과 조작적 설계, 수년간의 공개 경고를 무시한 행태를 함께 문제 삼는다.

청구는 모두 14건이다. 사생활 침해, 과실, 부당이득에 더해 캘리포니아 도청방지법(CIPA), 컴퓨터데이터접근사기법, 전자통신프라이버시법(ECPA), 연방 비디오개인정보보호법(VPPA), 소비자법률구제법(CLRA) 위반을 담았다. 원고 측은 손해배상과 함께 공익적 금지명령을 요청하였다. 명확하고 별도로 고지된 동의 없이 시청 정보를 수집하는 ACR 운용을 금지해 달라는 것이다. 제안된 집단은 둘이다. 하나는 미국 내에서 ACR이 켜진 삼성 TV를 사용한 이용자이고, 다른 하나는 시청 데이터가 신원 정보와 결합된 이용자이다.

이 쟁점이 처음 불거진 것은 아니다. 켄 팩스턴(Ken Paxton) 텍사스 법무장관은 지난해 삼성을 비롯한 스마트TV 제조사들을 상대로 소송을 냈다. 기기가 ACR로 화면의 음성과 영상을 실시간 포착해 시청 콘텐츠를 추적한다는 혐의였다. 삼성은 2026년 2월 텍사스 소비자의 명시적 동의 없이는 ACR 데이터를 수집하거나 처리하지 않기로 합의하였다. 당시 삼성은 이 합의가 "삼성 TV는 소비자를 감시하지 않는다"는 자사 입장을 확인해 준 것이라고 밝혔다. 이번 원고들은 바로 그 지점을 겨눈다. 삼성이 텍사스 소비자에게 약속한 보호를 캘리포니아 소비자에게는 제공하지 않았다는 것이다.

삼성의 소송 이력은 이것으로 그치지 않는다. 2026년 1월 9일에는 뉴욕 남부 연방지방법원에서 VPPA와 여러 주의 프라이버시법 위반을 근거로 한 집단소송(DiGiacinto et al. v. Samsung Electronics America, 1:26-cv-00196)이 제기되었다. 같은 해 5월에는 하이센스와 아마존 파이어TV가 유사한 혐의로 피소되었다. 스마트TV 시청 데이터를 둘러싼 소송은 이제 한 기업의 사건이 아니라 하나의 흐름이 되었다.

이 사건이 리스크 관리 측면에서 시사하는 바는 분명하다. 한 주(州)와 맺은 합의는 그 주 안에서만 효력을 갖는다. 그러나 합의로 생겨난 동의 기준의 격차는 다른 주의 원고들에게 곧바로 소송의 근거가 된다. 텍사스에서는 동의를 받고 캘리포니아에서는 받지 않았다면, 그 차이를 설명할 책임은 기업에 돌아온다. 1988년 비디오테이프 대여 기록을 보호하려고 만든 법이 2026년의 거실 TV에 적용되는 현실은 무엇을 말하는가. 데이터 수집 관행이 남긴 책임은 시간이 지나도 사라지지 않고, 법정에 설 때까지 쌓여 갈 뿐이다.

출처: Courthouse News, "Samsung faces class action over privacy concerns with smart TVs"
https://www.courthousenews.com/samsung-faces-class-action-over-privacy-concerns-with-smart-tvs/

참고: Top Class Actions
https://topclassactions.com/lawsuit-settlements/lawsuit-news/samsung-smart-tv-lawsuit-claims-viewers-habits-are-tracked-without-consent/

[RIMS] 지금 훔치고 나중에 푼다 — 양자컴퓨팅 시대의 보안 전략

RIMS가 발행하는 Risk Management Magazine은 2026년 10월 22일, 양자컴퓨팅 시대의 보안 전략을 다룬 기고 한 편을 실었다. 필자는 FTI Consulting의 두 사람이다. 마이크 드리스콜(Mike Driscoll)은 이 회사의 수석 매니징 디렉터로 국가안보 프랙티스를 이끌고, 그렉 버킨(Greg Berkin)은 사이버보안 프랙티스의 선임 고문이자 스탠퍼드대 Center for Responsible Quantum Technology의 펠로다. 국가안보와 사이버보안, 그리고 양자기술 연구의 현장이 한 글 안에서 만난 셈이다.

기고의 출발점은 기업들이 AI에 시선을 빼앗긴 사이, 또 하나의 기술이 같은 무게로 다가오고 있다는 경고다. 미 행정부는 행정명령을 통해 양자정보처리를 미래 경제력과 국가안보의 기둥으로 규정했다. 양자컴퓨팅은 이미 기술의 영역을 넘어 지정학의 영역에 들어섰다는 뜻이다.

위협의 핵심은 "harvest now, decrypt later"다. 지금 암호화된 데이터를 빼돌려 두었다가, 양자 해독이 가능해지는 날 연다. NIST는 위협 행위자들이 이미 이 전술을 쓰고 있을 수 있다고 경고했다. 공개키 암호는 양자 연산 앞에서 무력화될 수 있고, 암호화된 데이터는 시간이 흘러도 가치를 잃지 않는다. 피해는 정보 유출에서 멈추지 않는다. 전력망과 수처리 시설, 교통망을 떠받치는 산업제어시스템, 암호키에 의존하는 군사 시스템이 여전히 레거시 암호 위에 서 있기 때문이다. 기고자들은 여기에 공급망이라는 또 하나의 취약 지점을 더한다. 클라우드와 특수 하드웨어, 소프트웨어 공급사와 연구 파트너가 새로운 접근 경로를 만들고, 이들 제3자는 정작 고객사보다 방어가 약한 경우가 많다.

시간의 문제도 분명히 짚는다. 암호 체계의 이전에는 수년이 걸리지만, 민감 데이터는 수십 년간 보호되어야 한다. NIST는 2024년 8월 첫 세 개의 양자내성암호(PQC) 표준을 발표했고, 2026년 6월에는 개인신원확인(PIV) 표준의 PQC 업데이트 초안을 내놓았다. 기고자들은 이 표준의 채택을 첫걸음으로 삼되, 그 위에 몇 가지를 더 쌓으라고 권한다. 먼저 전 시스템과 알고리즘을 점검해 암호 인벤토리를 갖추고, 데이터의 민감도와 보존 기간을 기준으로 우선순위를 매긴 로드맵을 세우라는 것이다. 대응 비용을 미리 예측해 예산에 반영하고 경영진의 동의를 얻는 일, 모든 현대화 작업에 암호 민첩성을 내장하고 외부 벤더에게는 온보딩 전에 PQC 로드맵을 요구하는 일, 그리고 외부 PQC 전문가의 진단을 받는 일이 뒤를 잇는다. 결론은 간명하다. AI 대비가 양자 보안 전략을 대신할 수는 없다.

기고는 원론에 충실하다. 이전 비용의 규모도, 위협이 현실화될 시점에 대한 추정도 없다. 외부 전문가를 활용하라는 마지막 권고가 기고자 소속 회사의 업(業)과 겹친다는 점도 눈에 걸린다. 그러나 리스크 관리의 눈으로 읽으면, 이 글이 던지는 질문은 결코 가볍지 않다.

양자 위협의 특이성은 사고와 손해 사이의 시차에 있다. 오늘 유출된 데이터가 10년 뒤에 해독된다면, 그 손해는 어느 보험기간에 속하는가. 유출 시점인가, 해독 시점인가, 아니면 피해를 인지한 시점인가. 청구기준 약관의 소급담보일도, 발생기준 약관의 사고 정의도 모두 이 질문 앞에 서게 된다. 벤더에게 PQC 로드맵을 요구하라는 권고는 머지않아 사이버보험 청약서의 한 문항이 될 것이다.

위협은 아직 오지 않았다. 다만 그 위협이 열어젖힐 데이터는 이미 누군가의 서버에 쌓이고 있을지 모른다.

원문: https://www.rmmagazine.com/articles/article/2026/10/22/building-a-security-strategy-for-the-quantum-computing-era

웹사이트 방문자 데이터 수집이 사이버보험 사고의 새로운 축으로 떠올랐다

Claims Journal에 실린 Resilience 글로벌 클레임 총괄 제러미 기틀러(Jeremy Gittler)의 기고문(2026.10.30)은 사이버보험 시장에서 조용히 커지고 있는 위험 하나를 짚는다. '부당 데이터 수집(wrongful data collection)' 소송이다.

숫자부터 보자. Resilience의 2026년 상반기 보고서에 따르면 사이버 보험금 지급액의 75% 가까이는 랜섬웨어·갈취 사고가 차지했다. 부당 데이터 수집 소송은 손해액 비중이 4%에도 못 미친다. 건당 합의금도 1만~3만 달러 수준에 그친다. 그러나 빈도는 다르다. 전체 사이버 클레임 중 이 소송이 포함된 비율은 1년 전 7.3%에서 16.7%로 두 배 이상 뛰었다.

배경은 단순하다. 거의 모든 웹사이트가 방문자를 추적하고, 그 데이터를 제3자와 공유한다. 원고 측은 캘리포니아 프라이버시침해법(CIPA), 연방 도청법(Wiretap Act) 등을 근거로 '동의 없는 추적과 공유'를 문제 삼는다. 특히 CIPA 638.51조는 위반 건당 5,000달러의 법정손해배상을 규정해, 쿠키·픽셀·분석 도구를 겨냥한 연쇄 소송의 무기가 되어 왔다. 표적은 법무 역량이 약한 중소기업이다. 소송을 길게 끌 생각은 원고도 피고도 없다. 빠른 합의, 그리고 '사업 비용'으로 치부하는 관행이 이 시장을 키웠다.

변수가 생겼다. 개빈 뉴섬 캘리포니아 주지사가 9월 30일 서명한 SB 690은 웹사이트·앱상의 행위에 대해 638.51조의 민간 소송권을 없애고 주 법무장관만 제소할 수 있도록 했다. 2027년 1월 1일 시행이며, 2025년 1월 1일 이후 제기된 계류 사건에도 소급된다.

그러나 기틀러는 위험이 끝나지 않았다고 본다. CIPA의 도청 조항과 연방 도청법은 그대로 남아 있고, 원고 측은 이미 그쪽으로 이동 중이다. 소송 건수는 줄더라도 방어 비용은 오히려 늘어날 수 있다. 빈도가 줄어들지, 단지 경로만 바뀔지는 2027년이 되어야 드러난다.

보험 쪽의 숙제도 남는다. 이 유형의 클레임을 담보하는 약관도, 면책하는 약관도 있다. 업계 표준이 없다는 뜻이다. 기고자는 결국 "데이터 수집이 보험으로 담보할 수 있는 사업 활동인가"라는 질문에 업계가 답해야 한다고 정리한다. 언더라이터에게는 어떤 추적 도구를 쓰는지, 동의를 받는지, 데이터를 얼마나 보관하고 누구와 공유하는지를 물으라고 권한다.

기업에 대한 처방은 세 가지다. 고지와 동의 기록을 갖춘 리스크 거버넌스, 마케팅 부서와 법무·재무 부서 간의 소통, 그리고 데이터 수집을 대행하는 벤더와의 면책·보증 계약이다. 눈여겨볼 대목은 두 번째다. 추적 도구는 대개 마케팅팀이 선의로 설치한다. 법무팀은 그 존재를 모른다. 사고는 늘 부서 사이의 틈에서 시작된다.

한국 기업도 남의 일로 볼 수 없다. 미국 소비자를 상대로 웹사이트를 운영하는 순간, 그 사이트에 박힌 픽셀 하나가 소송의 근거가 된다. 큰 사고가 아니라 작은 사고의 반복이 보험 포트폴리오를 잠식한다는 점에서, 이 기사는 심각도(severity)가 아니라 빈도(frequency)를 읽으라는 경고에 가깝다.

원문: https://www.claimsjournal.com/news/national/2026/10/30/340850.htm

GM, 운전자 데이터 판매 혐의로 2억2천만 달러 합의

로이터가 10월 30일 보도한 GM의 운전자 데이터 판매 혐의 합의 소식을 소개한다. 보험업계 전문지 Claims Journal이 전재한 기사다.

General Motors가 운전자의 주행 습관과 위치 데이터를 동의 없이 데이터 브로커에 팔았다는 혐의를 2억2천만 달러(약 3천억 원)에 합의하기로 했다. 브로커는 이 데이터를 보험사에 넘겼고, 보험사는 이를 근거로 보험료를 산정하거나 인상했다.

문제가 된 것은 'Smart Driver' 프로그램이다. 2016년부터 2024년 종료까지 수백만 명이 가입했고, 상당수는 OnStar 서비스 가입자였다. GM은 이를 운전 안전 개선 도구로 홍보하면서 동의 없이 데이터를 팔지 않겠다고 약속했으나 그 약속을 어겼다는 것이 혐의의 요지다. 합의 당사자는 미국 35개 주와 워싱턴 D.C. 법무장관이며, 오리건주 Dan Rayfield와 워싱턴주 Nick Brown 법무장관이 초당적 연합을 이끌었다.

Rayfield는 이렇게 말했다. "People bought a car, not a tracking device." 소비자는 자동차를 샀지 추적 장치를 산 것이 아니라는 뜻이다.

합의에 따라 GM은 주행 데이터 수집 범위를 제한하고, 데이터를 수집하거나 공유하기 전에 운전자의 명시적 동의를 받아야 한다. 이번이 처음도 아니다. GM은 올해 5월 캘리포니아주 조사 건으로 1,275만 달러를 냈고, 2025년 1월에는 FTC와 5년간 위치·운전행태 데이터를 소비자신용평가기관에 제공하지 않기로 합의했다.

Allstate, Progressive, Geico 등 보험사는 텔레매틱스가 안전 운전자에게 보험료 할인이라는 보상을 준다고 주장한다. 그러나 운전자가 모르는 사이에 수집된 데이터가 할인이 아니라 할증의 근거가 됐다면 이야기가 달라진다.

기업이 얻어야 할 교훈은 분명하다. 커넥티드 제품이 만들어내는 데이터는 수익원이기 이전에 법적 부채가 될 수 있다. 첫째, 데이터 수집 동의는 약관 속 한 줄이 아니라 명시적이고 개별적인 절차로 받아야 한다. 둘째, 제3자에게 데이터를 제공할 때는 그 데이터가 최종적으로 어디에, 어떤 목적으로 쓰이는지까지 추적·통제해야 한다. GM은 브로커에 팔았지만, 책임은 보험료 인상이라는 결과까지 따라왔다. 셋째, 마케팅 문구와 실제 데이터 처리 관행이 어긋나는 순간 그 간극이 곧 소송의 근거가 된다. 넷째, 이런 리스크는 사이버보험이나 임원배상책임보험(D&O)의 보장 범위와 면책 조항을 미리 점검해 대비해야 한다. 2억2천만 달러는 데이터 판매로 번 돈을 훨씬 넘어서는 청구서다.

로이터 관련 기사 검색:

https://www.reuters.com/site-search/?query=GM+Smart+Driver+settlement+driver+data

#GM #텔레매틱스 #개인정보 #데이터리스크 #기업리스크관리

돈은 늘었고, 기초는 비었다 — PwC 2027 디지털 신뢰 보고서

PwC가 「2027 Global Digital Trust Insights」를 내놓았다. 제목은 'Moving targets', 움직이는 과녁이다. 2026년 5~7월, 71개국 3,934명의 비즈니스·기술 리더를 조사했다.

돈은 다시 풀리고 있다. 84%가 사이버 예산 증액을 예상한다. 전년보다 6%p 높은 수치다. 보안 리더의 58%는 AI를 예산 우선순위 상위 5위 안에 올렸다.

그러나 가장 취약한 곳도 AI다. 대비가 가장 부족한 위협 1위는 'AI 시스템을 겨냥한 공격'(50%)이다. 클라우드 위협(34%), 제3자 침해(33%), 랜섬웨어(33%)가 뒤를 잇는다. 방어에 AI 에이전트를 쓰겠다는 의지는 크다. 하지만 사람의 승인 없이 완전 자율 실행을 허용하겠다는 응답은 22%에 그쳤다.

정작 무너지고 있는 것은 기초다. 사이버 위협을 명시적으로 다룬 운영 연속성 계획을 완전히 공식화한 곳은 39%뿐이다. 23%는 공식 계획을 만들고 있지도 않다. 기업들은 7개 핵심 데이터 리스크 조치 가운데 평균 3개만 시행했다. 전부 시행한 곳은 5%로, 작년 7%에서 오히려 줄었다. 양자내성 보안을 실제로 시행 중인 곳은 21%다.

지정학의 그림자도 짙다. 50%가 공급망·제3자 리스크 관리를 바꾸고 있다. 49%는 사이버보험, 사고 대응, 위기관리 계획을 손보고 있다.

리스크를 다루는 사람에게 이 보고서가 던지는 질문은 하나다. 예산은 늘었는데, 사고가 난 다음 날 회사는 돌아가는가. 보험은 손실을 메워준다. 그러나 멈춘 공장을 돌리지는 못한다. PwC가 '최소 존속 기업(minimum viable company)', 곧 위기 속에서도 조직을 굴러가게 할 최소한의 역량부터 정의하라고 권하는 이유다.

로이즈뱅킹그룹 CSO 맷 로우의 말이 이 보고서를 요약한다. "AI 시대에 성공하려면 기계의 속도로 방어할 수 있어야 한다."

공격은 이미 기계의 속도로 오고 있다. 문제는 대비가 여전히 사람의 속도라는 데 있다.

#사이버리스크 #PwC #DigitalTrustInsights #사이버보험 #업무연속성 #AI보안

AI 대 인간, 일본을 덮친 사이버 공세

일본 GMO인터넷그룹이 운영하는 외환(FX) 거래 플랫폼이 해킹당했다. 해커들은 5,000만 달러의 몸값을 받지 못하자 고객 정보를 공개했다고 주장했다. GMO는 요구에 응하지 않겠다고 밝히고, 고객들에게 PC 바이러스 검사와 파일 백업, 기기 전원 차단을 요청했다. 일부 고객은 앞서 본인이 하지 않은 거래를 신고한 바 있다.

피해는 넓다. GMO의 거래 서비스는 10월 21일부터 중단됐고 신규 가입도 멈췄다. 클라우드 서비스 서버 전체가 뚫리면서 오나마에닷컴(Onamae.com) 이용자 전원이 영향을 받을 수 있다. 가타야마 사쓰키 재무상은 외환업체 5곳이 고객 피해를 보고했다고 밝혔다. GMO 주가는 2011년 이후 최대 낙폭을 기록했고, 회사는 정부에 능동적 사이버 방어를 요청했다.

GMO만의 문제가 아니다. 최근 수 주 사이 일본 기업 수십 곳이 시스템 침해와 고객 데이터 유출 가능성을 보고했다. 다카이치 사나에 총리는 다음 주 말까지 긴급 대책을 마련하라고 내각에 지시했다. 가타야마 재무상은 해커들이 AI로 취약점을 파고드는 상황에 대해 "전 세계가 공유하는 위기감"이 있다고 했다.

집권 자민당은 지난주 다카이치 총리에게 제출한 제언에서 현 상황을 "사이버 비상사태 전야"로 규정하고, AI가 취약점을 자동으로 찾아 동시다발적으로 공격하는 "AI 사이버 포화 공격"이 머지않아 현실화할 수 있다고 경고했다. 제언 작성을 이끈 다이라 마사아키 전 디지털상은 이렇게 요약했다. "구조적으로 AI 대 인간의 싸움이 됐다." 공격자는 AI로 더 빠르고 넓게 들어오는데, 기업은 여전히 사람으로 막고 있다는 것이다.

NTT의 마쓰바라 미호코 수석 사이버보안 전략가는 AI를 이용한 일본 웹 시스템 침해로 이미 총 1억 8,700만 명의 개인정보가 탈취됐다고 밝혔다. 인력 문제도 드러났다. 정부가 임기제로 민간 전문가에게 줄 수 있는 연봉 상한은 3,380만 엔(약 21만 4,000달러)에 불과하다.

SBI FX트레이드의 우에다 마리토 사장은 아직 거래량은 줄지 않았다면서도 경고를 남겼다. "여파가 FX를 넘어 주식 등으로 번진다면 수습이 훨씬 어려워질 수 있다."

한 플랫폼의 침해가 외환업체 5곳의 고객 피해로, 다시 주가와 국가 안보 담론으로 번지는 데 일주일이 걸리지 않았다. 몸값을 거절한 결정은 옳았을지 모르나, 영업중단과 고객 배상, 규제 대응 비용은 고스란히 남는다. 사이버 리스크는 이제 개별 기업의 IT 사고가 아니라 공급망 전체의 사업중단 리스크다.

원문(블룸버그): https://www.bloomberg.com/news/articles/2026-10-26/japan-s-katayama-vows-to-address-cyber-attack-on-fx-with-urgency
재게재: https://www.claimsjournal.com/news/national/2026/10/28/340940.htm

니덱, 창업자를 법정에 세우다

일본 전기모터 제조사 니덱(Nidec)이 창업자 나가모리 시게노부(永守重信)를 비롯한 전직 경영진 9명에게 손해배상 소송을 제기하기로 했다. 상장 유지마저 위태롭게 만든 회계 부정 의혹의 책임을 묻겠다는 것이다.

피고 명단은 무겁다. 나가모리 외에 고베 히로시 전 회장, 기시다 미쓰야·세키 준 전 CEO가 포함됐다. 세키는 현재 대만 폭스콘에서 전기차 부문 최고전략책임자를 맡고 있다. 여기에 전직 이사 2명, 전직 감사역 2명, 전 CFO 1명이 더해진다.

경과는 이렇다. 도쿄증권거래소는 2025년 10월 니덱을 '특별주의종목(special alert)'으로 지정하고, 1년 안에 내부통제를 개선하지 못하면 상장폐지될 수 있다고 경고했다. 일부 그룹사의 부적절한 회계 처리를 니덱 스스로 공개한 뒤였다. 이달 공개된 외부 변호사 위원회 보고서는 나가모리가 부정 의혹을 이사회와 감사역에 보고하지 않았고 필요한 조사도 요구하지 않아 감독의무를 위반했다고 결론지었다. 감사인 PwC 재팬은 지난달 2026년 3월 결산에 대해 충분한 증거를 확보할 수 없다며 의견 표명을 거절했다.

청구액은 아직 정해지지 않았다. 니덱은 준비가 끝나는 대로 소송을 제기하겠다고 밝혔다.

공격적 인수합병과 고압적 경영으로 회사를 키운 창업자가, 그 회사로부터 감독 책임을 추궁당한다. 회사가 전직 임원을 상대로 직접 소송을 거는 구도는 D&O 보험에서 가장 다툼이 잦은 영역이기도 하다. 피보험자 간 소송 면책과 그 예외 조항이 이번 사건에서 어떻게 작동할지 지켜볼 일이다.

원문(로이터): [로이터 기사 URL]
재게재: https://www.claimsjournal.com/news/national/2026/10/28/340953.htm

한화투자증권 ESG 리포트 「회삿돈으로 낸 수백억 과징금, 이제 이사의 책임」

회삿돈으로 낸 과징금, 이제 이사의 지갑으로 돌아온다: 한화투자증권 ESG 리포트 「회삿돈으로 낸 수백억 과징금, 이제 이사의 책임」 리뷰

한화투자증권 리서치센터 ESG 담당 애널리스트 엄수진(sujineom@hanwha.com)이 2026년 10월 13일 발표한 보고서다. 제목이 문제의 핵심을 정확히 짚는다. 그동안 기업이 담합이나 법령 위반으로 받은 과징금은 손익계산서의 일회성 비용으로 처리되고 끝나는 것이 관행이었다. 비용은 회사가 부담하고, 그 손실은 결국 주주가치 훼손으로 전가되었다. 이 보고서는 그 비용의 최종 귀속처가 이사 개인으로 이동하고 있다는 신호를 법원 판결을 통해 읽어낸다. 재무설계와 리스크 관리의 언어로 옮기면, 기업 리스크가 임원 개인의 재무 리스크로 전이되는 경로가 판례로 열리고 있다는 뜻이다.

보고서는 먼저 주주대표소송의 구조를 정리한다. 비상장회사는 발행주식총수의 1% 이상, 상장회사는 6개월 전부터 계속하여 0.01% 이상을 보유한 주주가 원고 적격을 갖는다. 주주는 곧바로 법원에 갈 수 없고, 먼저 회사에 서면으로 이사의 책임 추궁 소 제기를 청구해야 하며, 회사가 30일이 지나도 소를 제기하지 않을 때 비로소 직접 제소할 수 있다. 본안은 상법 제399조에 따라 이사가 고의 또는 과실로 법령·정관을 위반하거나 임무를 게을리하여 회사에 손해를 입혔는지를 다툰다. 피고에는 퇴임 이사도 포함된다. 책임 원인 행위 당시 이사였다면 퇴임 후에도 노출이 소멸하지 않는다는 점은, 임원 개인의 리스크 기간이 재임 기간보다 길다는 사실을 의미한다. 또한 법원 허가 없이는 소 취하·청구 포기·화해가 불가능하고, 승소하더라도 배상금은 주주 개인이 아니라 회사에 귀속된다.

이 마지막 구조가 제도 활용을 가로막아 왔다. 보고서에 인용된 경제개혁연구소 자료에 따르면 1997년부터 2025년 9월 말까지 약 28년간 국내 주주대표소송 판결은 총 294건, 그중 상장회사 사건은 63건에 불과하다. 보고서는 그 원인을 네 가지로 진단한다. 첫째, 원고 주주가 얻는 보상은 지분율만큼의 간접 이익에 그치는 반면 소송 비용과 패소 시 손실은 고스란히 원고가 부담한다. 여기에 상법 제400조제2항에 따라 정관으로 이사 책임을 최근 1년 보수의 6배(사외이사는 3배) 초과분에 대해 감면할 수 있다는 점도 기대 회수액을 낮춘다. 둘째, 대형 상장사에서 0.01% 지분을 개인이 확보하기가 쉽지 않다. 셋째, 이사회 의사록·내부 보고서 등 입증 자료가 회사 내부에 편재되어 있어 입증 부족으로 기각되는 사례가 허다했다. 넷째, 법원이 경영판단의 원칙을 폭넓게 인정해 왔다. 재무플랜의 관점에서 보면, 원고 입장의 기대수익 대비 비용 구조가 구조적으로 불리하게 설계되어 있었던 셈이다.

그 균형을 흔든 것이 보고서가 중심에 놓은 K사 판결이다. 2026년 8월 20일 지방법원은 담합으로 과징금과 벌금을 부과받은 K사의 전직 이사들에게 회사에 대한 배상을 명했다. 원고는 소 제기일 6개월 전부터 발행주식총수의 1만분의 1 이상을 보유한 주주 A 한 명이었다. 2024년 10월 29일 소 제기를 청구했고, 회사가 30일 내에 움직이지 않자 2024년 12월 2일 직접 제소했다. 사건은 세 갈래의 담합이었다. 영업팀장들의 제품 유통·직판가격 담합(과징금 약 176억원, 벌금 5천만원), 구매팀 직원들의 원재료 구매 기준가격 담합(과징금 약 496억원, 이후 고등법원 판결로 394억원 확정), 국가기관 입찰 담합(과징금 약 318억원, 벌금 1억원)이다. 원고는 이 가운데 제1·제3담합으로 회사가 납부한 과징금과 벌금 합계 약 496억원을 손해로 청구했다.

피고 측은 담합을 지시하거나 관여하지 않았고 사전에 알지도 못했으며, 합리적인 내부통제시스템을 갖추었음에도 실무자의 개인적 일탈로 발생한 일이라고 항변했다. 법원은 이를 받아들이지 않았다. 대표이사는 회사 영업에 관한 모든 행위의 권한을 가진 만큼 모든 직원의 직무집행을 감시할 의무를 지며, 높은 법적 위험이 예상되는 영역에서 내부통제시스템을 구축·작동시키려는 노력을 하지 않았거나 이를 의도적으로 외면했다면 감시의무 해태에 해당한다고 판단했다. 결론은 피고 B 약 149억원, 피고 C·D는 B와 연대하여 약 99억원, 피고 E는 B·C·D와 연대하여 약 50억원이다. "몰랐다"는 항변이 더 이상 면책의 근거가 되지 못한다는 점이 이 판결의 실질적 의미다.

보고서는 이 흐름이 우연이 아님을 D사 판례로 뒷받침한다. 건설사 D사의 정부·공공기관 발주 공사 입찰 담합(과징금 약 97억원·25억원·160억원 등)에 대해, 합산 지분 1만분의 1을 넘긴 주주 13인이 전직 이사 10인을 상대로 대표소송을 제기했다. 고등법원은 2021년 9월 3일 피고별로 4,650만원에서 5억1천만원까지의 책임을 인정했고, 대법원은 2022년 5월 12일 상고를 모두 기각했다. 대법원은 고도로 분업화된 대규모 회사라도 모든 이사는 높은 법적 위험이 예상되는 업무에 관해 법규 준수를 관리하고 위반 시 즉시 보고·시정할 수 있는 내부통제시스템을 구축·작동시키는 방식으로 감시의무를 이행해야 한다고 밝혔다. 2022년 D사가 원칙을 세웠고, 2026년 K사는 그 원칙 위에서 배상 규모를 백억원대로 끌어올렸다. 리스크 관리자의 눈에는 이것이 손해 심도(severity)의 상방 이동으로 읽힌다.

보고서가 제시하는 선행 과제는 세 가지다. 자금력·인력·정보력에서 앞서는 기관투자자가 대표소송을 주주권 행사 수단으로 솔선하여 활용할 것, 민사소송법에 포괄적 디스커버리 제도를 도입할 것, 그리고 임원배상책임보험을 활성화할 것이다. 디스커버리와 관련해서는 올해 1월 대·중소기업 상생협력 촉진에 관한 법률 개정안이 국회 본회의를 통과하며 전문가 사실조사, 자료 보전 명령, 당사자 신문을 골자로 한 한국형 디스커버리(K-Discovery)가 도입되었다는 점을 짚는다. 대표소송 기각 사유의 가장 큰 비중이 입증 부족이었던 만큼, 이 제도가 민사소송 전반으로 확대되면 원고의 입증 비용 곡선이 근본적으로 달라진다.

보험 프로그램을 설계하는 입장에서 가장 주목할 대목은 임원배상책임보험(D&O)에 관한 진단이다. 보고서는 유책 이사가 수십억, 수백억 원의 배상 판결을 받더라도 개인 재산만으로는 감당하기 어렵다는 현실을 지적하며, 회사가 실제로 손해를 보전받기 위해서라도 상장회사는 D&O에 가입해야 한다고 본다. 서울대학교 법학연구소 자료를 인용해, 국내 상장사의 가입률은 2010년 21%에서 2023년 75%까지 올랐지만 보험료 대비 지급 보험금은 2023년 기준 1~2% 수준에 불과하다고 밝힌다. 가입은 늘었으나 실제 보장 기능은 거의 작동하지 않았다는 뜻이다. 보고서는 그 원인을 두 가지로 든다. 하나는 피해자인 회사가 전·현직 임원과의 우호적 관계 때문에 책임 추궁을 적극적으로 하지 않는 풍토이고, 다른 하나는 좁은 보장 범위, 과다한 면책사유, 그리고 청구기준(claims-made) 보험 특유의 통지조항·방어비용·위법행위 면책 등에서 해석이 불분명하거나 불합리한 약관 조항이다.

여기서 재무설계적 함의를 덧붙이자면, 1~2%라는 지급률은 그동안 D&O가 사실상 "사고가 나지 않는 보험"으로 가격이 매겨져 왔음을 보여준다. 그러나 K사 판결이 보여준 149억원이라는 숫자는 국내 상당수 기업이 설정한 보상한도를 넘어서는 수준일 가능성이 크다. 대표소송이 활성화되면 청구 빈도와 심도가 동시에 오르고, 그 과정에서 그동안 문서 속에만 존재하던 약관 쟁점들, 즉 감시의무 해태라는 과실 책임이 어디까지 보장되는지, 과징금 자체와 그로 인한 회사 손해 배상책임이 어떻게 구분되는지, 대표소송이 피보험자 간 소송 면책의 예외로 적절히 처리되는지, 통지 시점이 언제로 인정되는지가 실제 분쟁의 장으로 나오게 된다. 이사 개인 입장에서도 퇴임 후까지 이어지는 노출 기간을 고려하면 보고기간 연장(ERP)과 퇴임 임원 담보 여부는 더 이상 부수 조건이 아니다. 보고서가 감독당국에 주요 선진국 제도를 참고한 D&O 표준약관의 제정·배포를 주문하는 것도 같은 맥락이다. 청구 건수의 증가에 그치지 않고 합리적인 보험금 지급이 보편화되어야 제도가 완성된다는 것이다.

이 보고서의 가치는 법리 해설에 머물지 않고 그 법리가 자본시장과 보험시장에 어떤 비용 구조의 변화를 가져올지를 연결해 보여준다는 데 있다. 과징금이 회사의 비용으로 끝나던 시대에는 내부통제가 컴플라이언스 부서의 업무였다. 과징금이 이사 개인의 배상책임으로 이어지는 시대에는 내부통제가 이사 개인의 재무 방어선이 된다. 내부통제시스템의 구축·작동 기록, 충분한 보상한도와 정교한 약관을 갖춘 D&O, 그리고 이사회의 감시 기능 문서화. 이 세 가지가 이제 기업 지배구조의 문제이자 임원 한 사람 한 사람의 자산 보전 문제가 되었다. 기업의 리스크 담당자, 이사회 구성원, 그리고 D&O 프로그램을 설계하는 실무자라면 일독할 가치가 충분한 보고서다.

출처: 한화투자증권 리서치센터, 엄수진, 「ESG: 회삿돈으로 낸 수백억 과징금, 이제 이사의 책임」