알기 쉬운 해상법 산책(20)/ 키보드를 든 현대의 해적, 사이버 공격

2017년 6월 전 세계를 놀라게 한 사건이 발생하였다. 덴마크 선사 머스크의 글로벌 터미널 76개가 동시에 마비된 것이다. 페트야(Petya) 랜섬웨어의 공격이었다. 그로 인한 손실액은 3억달러 상당, 항만에는 수많은 선박이 발이 묶였고, 전 세계 물류망이 일시적으로 혼란에 빠졌다.

2019년에는 국내 선사의 선박이 랜섬웨어 공격을 받아 운항이 중단되었다. 더 이상 바다 위의 배도 사이버 공격으로부터 안전하지 않은 시대가 온 것이다.

현대의 해적들은 더 이상 칼과 총으로 무장하지 않는다. 2016년 버라이즌(Verizon)의 보고서는 흥미로운 사례를 소개했다. 해적들이 선박회사의 운항관리시스템을 해킹하여 선박의 운항 일정과 화물 적재 정보를 미리 파악한 후, 이를 바탕으로 실제 공격을 감행한 것이다. 키보드와 악성코드로 무장한 이들은 수천 마일 떨어진 곳에서도 선박을 위험에 빠뜨릴 수 있다.

국제해사기구(IMO)도 이 문제의 심각성을 인식하고 선박의 안전경영시스템 내에 사이버 관리 체계를 포함하도록 요구하고, 해상 사이버 위험관리 가이드라인을 발표하였다. 국제선급연합회도 사이버 보안 인증을 진행하고 있다. 

이제 선박회사들은 사이버 위험을 파악하고, 이를 예방하며, 공격을 탐지하고, 피해 발생 시 신속히 대응하고 복구하는 체계를 갖춰야 한다. 마치 배에 구명보트와 소화 장비를 갖추는 것처럼, 이제는 사이버 보안 시스템도 필수 안전 장비가 된 것이다.

나아가, 이러한 사이버 보안 문제를 공동으로 대처하기 위해서는 해운업계 전반의 협력도 필요하다고 생각된다. 선박회사와 항만, 그리고 정부 기관이 함께 사이버 보안 정보를 공유하고, 공동의 대응 전략을 마련하는 것이 중요하다. 국제적으로 해상 사이버 범죄에 대한 법적 제재와 수사 협조 체계를 강화하는 것도 필요할 수 있다.

이러한 변화는 특히 자율운항선박 시대를 앞두고 더욱 중요해지고 있다. 선원 없이 육상에서 원격으로 조종되는 레벨(Level) 3 이상의 자율운항선박에서는 사이버 보안이 곧 선박의 생명줄이다. 한 번의 해킹이 대형 사고로 이어질 수 있기 때문이다. 보험업계도 이러한 변화를 인식하고 있다. 영국의 보험회사들은 최근 비자발적 사이버 사고에 대한 보상 범위를 확대하는 방안을 논의하고 있다.

이러한 새로운 위험에 대응하기 위해 ‘사이버 감항 능력’이라는 개념도 등장했다. 감항 능력은 선박이 항해에서 통상 일어날 수 있는 위험을 견딜 수 있을 만큼 적합한 상태를 의미하는데, 사이버 감항 능력은 쉽게 말해 선박이 사이버 공격으로부터 안전하게 항해할 수 있는 상태를 말한다. 전통적으로 선박의 감항 능력이란 선체, 숙련된 선원, 적절한 화물의 적재 공간 등을 의미했다. 하지만 이제는 여기에 사이버 보안이라는 새로운 요소가 더해진 것이다.

사이버 공격으로 사고가 발생한 경우 책임 문제도 대두된다. 예를 들어 선박회사가 적절한 사이버 보안 조치를 취하지 않은 상태에서 해킹 피해를 입었다면, 이는 마치 선체에 구멍이 난 배를 출항시킨 것과 다름없다고 주장될 수 있다. 이 경우 운송인은 감항 능력 주의의무를 다 하였다는 점에 대하여 입증할 필요가 있을 수 있다. 

 

한편, 영국판례이기는 하지만 1963년의 Amstelslot 판결이 제시한 법리가 반론에 있어서 참고가 될 수 있을 것으로 생각된다. 즉 이 판결은 선주의 감항 능력 주의의무 위반과 관련하여 “사후적으로 봤을 때 추가 예방 조치를 취했더라면 사고를 막을 수 있었을 것이라는 사실만으로는 과실을 인정하기에 부족하고”, “합리적인 사람이라면 선주의 입장에서 그가 가진 또는 가졌어야 할 기술과 지식을 바탕으로, 그러한 추가 예방 조치를 취했을 것인가” 하는 점이 중요하다고 보았다. 

모든 가능한 사이버 공격에 대비해 가장 최첨단의 보안 시스템을 갖추는 것이 이상적일 수는 있다. 하지만 현실에서는 위험의 심각성과 발생 가능성을 모두 고려한 합리적인 균형점을 찾아야 하고, 선박회사가 당시 업계에서 통용되는 표준적인 보안 조치를 취했다면, 나중에 더 강화된 보안 시스템이 있었다는 이유만으로 과실을 인정하기는 어려울 수 있다.

바다는 언제나 위험과 기회가 공존하는 곳이었다. 디지털 시대를 맞아 그 위험과 기회는 더욱 커졌다. 키보드를 든 현대의 해적들로부터 우리의 배들을 지키기 위해서는 법과 제도, 기술, 인력이 모두 준비되어야 한다. 특히 사이버 보안에 대하여 해운업계가 지속적으로 관심을 가져야 하고, 정부와 민간 부문이 협력하여 공공 및 민간 영역의 통합적인 사이버 보안 관리 체계를 구축하는 것이 필요하다. 이것이 바로 오늘날 해운산업이 직면한 새로운 도전이자 과제이다. 

< 코리아쉬핑가제트 >