브리프 | 사이버 보안 사고
미국 보험 감독기구 해킹 출처: Insurance Journal, 2026년 6월 25일
NAIC 해킹 피해 데이터 온라인 공개 — 보험 규제 인프라 전반의 신뢰 타격
미국 보험감독관협의회(NAIC, National Association of Insurance Commissioners)의 IT 시스템에서 탈취된 데이터가 해커에 의해 온라인상에 공개된 것으로 확인되었습니다. NAIC는 외부 사이버보안 전문 파트너와 협력하여 공개된 데이터의 범위와 유형을 자체 분석 결과와 대조하는 작업을 진행 중이라고 밝혔습니다.
유출 데이터의 범위
공개된 데이터에는 법정 재무보고(Statutory Financial Reporting) 정보와 신용평가기관의 보험사 투자 등급 판정 데이터가 포함되어 있으며, 이는 공개 가능한 정보에 해당합니다. 아울러 구식 로그 파일이나 시스템 구성 정보 등 내부 기술 데이터도 포함되어 있을 가능성이 있습니다. 반면, 개인식별정보(PII), 결제 정보, 금융 계좌 정보, 직원 정보, 전자 자금이체 정보, 위험기반자본(RBC) 데이터, 보험 계약자 정보, 보험모집인 데이터 등은 침해된 것으로 확인되지 않았습니다. NAIC는 전체 피해 규모를 파악하는 데 최소 수 주가 소요될 것이라고 밝혔습니다.
해킹 경위 — Oracle PeopleSoft 제로데이 취약점
이번 침해는 랜섬웨어 그룹 ShinyHunters가 Oracle의 PeopleSoft 소프트웨어에서 발견된 제로데이(Zero-day) 취약점을 악용하여 자행한 대규모 해킹 캠페인의 일환으로, 총 3.1테라바이트의 데이터가 탈취된 것으로 알려졌습니다. PeopleSoft는 수천 개 기관에서 사용하는 소프트웨어로, NAIC는 이를 주로 내부 재무보고 목적으로 활용해 왔습니다. 해커 측은 SERFF(전자 요율·양식 신고 시스템), OPTins(보험 온라인 보험료 세금 신고), UCAA(통합 보험사 인가 신청) 등 핵심 규제 플랫폼의 데이터도 탈취하였다고 주장하였으나, NAIC는 외부 전문가 검토 결과 이들 시스템의 데이터는 취득되지 않았다고 반박하였습니다.
업계의 비판 — 늦장 대응과 소통 부재
전국상호보험협회(NAMIC)는 NAIC가 6월 11일 침해 사실을 인지하고도 6월 17일에야 처음으로 공개 안내문을 게시하였으며, 회원사들에 대한 별도의 직접 통보 없이 웹사이트 공지만으로 대응한 것은 NAIC 스스로 보험사에 요구하는 사이버 사고 대응 기준과 일치하지 않는다고 비판하였습니다. 미국재물손해보험협회(APCIA) 역시 회원사들이 이번 사고의 범위와 영향을 문의하고 있는 만큼 NAIC의 명확한 안내가 필요하다는 입장을 별도 서한으로 전달하였습니다.
리스크 관리 시사점
이번 NAIC 해킹 사건은 보험 산업 규제 인프라 자체가 사이버 공격의 표적이 될 수 있음을 보여주는 전례 없는 사례입니다. 보험 및 리스크 관리 관점에서 다음 사항에 주목하실 필요가 있습니다. 첫째, 공급망 소프트웨어 리스크(Software Supply Chain Risk)의 중요성이 재확인되었습니다. Oracle PeopleSoft처럼 광범위하게 사용되는 플랫폼의 제로데이 취약점은 단일 기관의 문제가 아닌 산업 전반의 집중 리스크(Concentration Risk)로 작용합니다. 둘째, 규제 기관의 사고 대응 기준과 실제 이행 간의 격차가 드러난 만큼, 사이버 보험 인수 심사 시 규제 기관과의 데이터 연계 리스크를 별도로 평가할 필요가 있습니다. 셋째, NAIC의 늦장 통보 사례는 사이버 사고 발생 시 이해관계자 커뮤니케이션 프로토콜의 명문화와 사전 준비가 얼마나 중요한지를 다시금 상기시켜 드립니다.
댓글 없음:
댓글 쓰기