브리프 | 사이버보안·내부고발·국가 지원 해킹 — IBM·AT&T, 외국 정부 연계 해킹 반복 피해를 정부에 은폐했다는 내부고발 소송 공개
출처: Insurance Journal (Bloomberg), 2026년 6월 5일
사건 개요
IBM의 전 위협 인텔리전스 부문 부사장(VP) 윌리엄 발로(William Barlow)는 IBM과 AT&T가 수년에 걸쳐 외국 정부와 연계된 해커들에게 반복적으로 시스템을 침해당했음에도 이를 미국 정부에 은폐하고, 연방 계약 수주를 위해 보안 시스템의 안전성에 대한 허위 확인서를 제출했다고 주장하는 소송을 제기했습니다. 해당 내부고발 소장은 2020년 비공개로 뉴욕 연방법원에 제출되었으며, 미국 법무부가 직접 개입을 거부한 후 2026년 봄 공개 명령이 내려졌습니다.
침해 인프라의 성격과 규모
해당 소송이 문제 삼은 인프라는 미군을 포함한 미국 정부 다수 기관이 광범위하게 사용하는 IBM의 대규모 클라우드 컴퓨팅 인프라입니다. AT&T는 IBM을 대신하여 이 '핵심 네트워크(Core Network)'를 운영하고 있으며, AT&T의 시스템 또한 이 네트워크의 일부를 구성합니다.
침해 구체 내용 — APT 10(중국 국가 연계 해킹 그룹)
소장에 따르면 IBM 내부 조사 결과 2013~2016년 사이 5만 건 이상의 잠재적 APT 10 침투 흔적이 확인되었으며, 이듬해 추가 조사에서는 18개국의 모든 사업부에 걸쳐 약 400개의 계정과 약 200개의 시스템·서버가 침해된 것으로 드러났습니다. 그러나 IBM이 접근 로그(Access Log)를 보관하지 않아 추가 조사 자체가 불가능했다고 소장은 주장합니다.
내부 은폐 혐의
발로는 자신이 수많은 침해를 직접 목격했고, 임원들로부터 내부 보고서의 표현을 완화하고 세부 내용을 누락하도록 압력을 받았다고 주장합니다. 또한 IBM 고위 경영진이 해킹 사실을 미국 규제기관 및 정부 고객들에게 은폐·은폐하는 조치를 적극적으로 취했다고 주장하며, 국가안보국(NSA) 관계자들이 중국발 해킹에 대해 질문했을 때 "회피하라(dodge)"는 지시를 받았다고 밝혔습니다.
법적 근거 및 잠재적 배상 규모
이 소송은 허위 청구법(False Claims Act)에 근거하며, 입증될 경우 정부 피해액의 최대 3배 배상이 가능하고 내부고발자는 그 일부를 포상금으로 받을 수 있습니다. 발로의 변호인은 이번 소송이 IBM·AT&T의 수십억 달러 규모 연방 계약과 연관되어 있다고 밝혔습니다.
리스크 관리 시사점
첫째, 국가 지원 해킹(Nation-State Cyberattack)은 사이버 보험의 '전쟁 면책(War Exclusion)' 적용 논란을 촉발하는 가장 핵심적인 리스크 이슈입니다. APT 10과 같은 중국 국가 연계 해킹 그룹이 수년간 클라우드 인프라를 잠복·침투한 이번 사례는, 사이버 보험 증권 내 전쟁·국가 행위 면책 조항(Hostile Act Exclusion)의 적용 가능성과 사이버 보험의 실질적 보장 공백을 재확인시킵니다. 국내 기업의 사이버 보험 프로그램 검토 시 국가 지원 해킹 담보 여부를 명시적으로 확인해야 합니다.
둘째, 침해 은폐(Concealment)가 D&O·사이버 보험의 중대한 면책 사유가 될 수 있습니다. 발로의 소장은 IBM 경영진이 내부 보고서를 왜곡하고 규제기관에 허위 보안 확인서를 제출했다고 주장합니다. 보험 계약상 중요 사실의 고지 의무(Duty of Disclosure) 위반은 사이버 보험 및 D&O 보험에서 보험사가 보장을 거부할 수 있는 근거가 됩니다. IT 보안 사고 발생 시 내부 보고·외부 공시 체계가 법적·계약적 의무를 충족하는지 사전에 점검해야 합니다.
셋째, 클라우드·아웃소싱 인프라를 통한 공급망 사이버 리스크가 현실화되고 있습니다. IBM과 AT&T의 핵심 네트워크는 미국 정부 다수 기관이 공동으로 의존하는 공유 인프라였으며, 침해 범위와 탈취 데이터조차 파악하지 못한 상태였습니다. 국내 기업도 글로벌 클라우드·통신 인프라에 핵심 업무를 의존하고 있는 만큼, 공급망 사이버 리스크(Supply Chain Cyber Risk)를 보험 언더라이팅 실사 항목에 포함시키고 비손상 사업중단(Non-Damage BI) 특약 필요성을 검토해야 합니다.
넷째, 허위 청구법(False Claims Act) 구조는 정부 계약 기업에 복합적 재무 리스크를 야기합니다. 미국 연방 정부와 계약을 체결하는 기업(IT 서비스·방산·인프라·통신 등)은 사이버 보안 기준 준수 여부를 허위로 진술할 경우 피해액의 3배에 달하는 징벌적 손해배상에 노출됩니다. 미국 시장에 진출한 한국 IT 서비스·방산 계열사는 사이버 보안 컴플라이언스(CMMC·FedRAMP 등) 이행과 허위 진술 방지 체계를 내부통제 프로그램의 핵심 요소로 관리해야 합니다.
다섯째, 접근 로그 미보관은 보험 클레임 입증을 원천적으로 불가능하게 만듭니다. IBM이 접근 로그를 보관하지 않아 침해 범위·경로·탈취 데이터를 전혀 파악할 수 없었다는 점은, 침해 발생 시 보험 클레임을 위한 포렌식 증거 확보를 위해 로그 보관 정책이 얼마나 중요한지를 보여줍니다. 사이버 보험 언더라이팅 실사 시 피보험자의 로그 보관 기간·접근 제어 정책·사고 대응 절차를 필수 체크리스트로 반영해야 합니다.
댓글 없음:
댓글 쓰기