By Joel Khalili, WIRED US

2024년 7월 19일(현지 시각), 조나단 카디(Jonathan Cardi)의 가족은 노스캐롤라이나 롤리-더햄 국제공항 도착 정보 전광판이 초록색에서 빨간색으로 변한 것을 보았다. 카디는 “이럴 수가. 전부 다 지연되었다”라고 말했다.

웨이크포레스트대학교 법학 교수이자 미국 법률연구소(American Law Institute) 구성원인 카디는 플로리다주 포트로더데일에서 열리는 컨퍼런스 참석차 델타항공 비행기를 탑승할 예정이었다. 공항에 있던 다른 여행객 수천 명과 마찬가지로 긴 대기 줄에 서서 직원이 승객에게 조만간 탑승 시작 예정이라고 안내하는 모습을 하루 내내 지켜보았다. 그러나 이륙하는 항공편이 없다는 사실이 확실해지자 카디는 항공편 대신 차량을 대여하여 11시간 동안 이동했다. 카디는 컨퍼런스 참석자 중 공항 노숙을 한 이들도 있다는 사실을 뒤늦게 알게 되었다.

카디가 공항에서 겪은 혼란의 원인은 사이버 보안 기업 크라우드스트라이크(CrowdStrike)가 배포한 소프트웨어 업데이트이다. 업데이트 사항에 마이크로소프트 윈도 컴퓨터 수백만 대에 장애를 일으킨 결함이 포함되었기 때문이다. 항공사, 금융 서비스 등 여러 업계에 타격을 준 IT 전산 장애의 금전적 손실은 50억 달러가 넘는 것으로 추산된다. 금전 손실 혹은 피해 민사 책임 분야 법률 전문가인 카디는 “손실 금액이 너무 크기 때문에 법적 대응이 있을 것이다”라고 설명했다.

크라우드스트라이크를 대상으로 한 법적 손해배상 청구가 이미 시작되었다.

2024년 7월 29일(현지 시각), 델타항공은 크라우드스트라이크와 마이크로소프트에 전산 장애로 발생한 손실을 두고 피해보상금 5억 달러 청구 소송을 제기할 의사를 밝혔다. 법무법인 래바톤 켈런 수차로우(Labaton Keller Sucharow)는 크라우드스크라이크 주주 집단의 법률 대리인으로 집단 소송을 제기하며, 주주가 크라우드스크라이크의 소프트웨어 테스트 관행을 오해했다고 주장한다. 또 다른 법무법인인 깁스로그룹(Gibbs Law Group)은 크라우드스트라이크 사태로 피해를 본 중소기업을 대신하여 집단 소송을 제기할 계획이라고 발표했다.

주주의 집단 소송과 관련한 와이어드의 문의에 크라우드스트라이크 측은 “이번 사건은 이점이 없다. 크라우드스트라이크는 소송에 적극 방어할 것이다”라고 답변했다. 와이어드가 입수한 크라우드스트라이크 법률 대리인이 델타항공 법률 고문에게 보낸 서한에 따르면, 크라우드스트라이크 측은 심각한 소홀함이나 의도적인 문제를 일으켰다는 의혹은 모두 부인했다. 마이크로소프트는 의견 공개를 거부했다. 델타항공 법률 고문은 인터뷰 요청을 거부했다.

금전적 손실 회복을 원하는 이들은 크라우드스트라이크를 상대로 제기한 소송과 피해 관련성을 입증할 새로운 방법을 찾아야 할 것이다. 카디는 보통 기업의 책임을 제한하는 소프트웨어 계약의 전형적인 조항 때문에 크라우드스트라이크가 법적 보호를 받을 수 있다고 설명했다. 카디는 크라우드스트라이크가 과실 책임에 따른 손해배상금을 지급할 수 있으나 법적 책임을 져야 하는 상황에서는 꽤 철저히 보호받을 확률이 높다고 말했다.
 
제한 조항
크라우드스트라이크가 전산 장애 책임을 인정했으나 직접 크라우드스트라이크 서비스를 제공받는 고객사와 크라우드스트라이크 고객사의 고객 등 가장 가까운 곳에서 피해를 겪은 기업 모두 손실 회복 방안을 찾기 쉬울 것이다. 하지만 크라우드스트라이크에 소송을 제기하는 구체적인 이유를 먼저 의문점으로 제기할 수 있다. 이론상 계약 위반, 관리 소홀, 사기 등 몇 가지 방안을 제시할 수 있으나 모두 크라우드스트라이크의 전산 장애에 직접 영향을 끼치지 않았다.

크라우드스트라이크 고객은 일부 방식으로 크라우드스트라이크가 계약을 위반했다는 주장을 펼칠 수 있다. 런던정치경제대학교 법률 부교수 폴 맥마혼(Paul MacMahon)은 “전산 장애 피해 고객이 되찾을 수 있는 손실 금액은 제한 조항 때문에 엄격하게 제한되었다”라고 설명했다. 제한 조항의 목적은 일종의 면책권을 확보하는 역할을 하여 소프트웨어 공급사가 지급해야 하는 피해보상금을 제한한다. 크라우드스트라이크와 여러 고객사 간의 계약 조건은 각각 다를 것이다. 하지만 일반적으로 고객사에 서비스에서 발생한 금전적 보상만 제한한다.

크라우드스트라이크는 델타항공에 보낸 서한을 통해 크라우드스트라이크가 책임질 수 있는 금액은 델타항공이 청구한 5억 달러보다 훨씬 적은 수백만 달러로 제한되었다고 주장했다. 맥마혼 부교수는 델타항공을 포함한 여러 고객사가 피해 금액을 추가로 받으려면, 법원에 계약 조항이 부당하므로 집행이 불가능하다는 점을 입증하거나 크라우드스트라이크가 어떠한 형태든 사기 행위를 저질렀다고 주장해야 한다고 분석했다.

킹스칼리지런던 법학 교수 겸 저널 오브 프로페셔널 니글리언스(Journal of Professional Negligence) 공동 에디터인 콤 맥그래스(Colm McGrath)는 “특정 기업이 다른 계약과 체결한 개별 계약 조항의 문제를 입증하기 어려울 것이다”라고 언급했다. 다만, 대형 상업 기관과의 분쟁을 다룰 때 법원에서는 보통 위험성을 확실히 이해한 현실적인 합의 결과인 합의 조항을 따르는 경향이 있다고 덧붙였다.

중소기업 여러 곳의 집단 소송으로 이어진 조사를 이끈 깁스로그룹(Gibbs Law Group) 파트너 로즈마리 리바스(Rosemary Rivas)는 크라우드스트라이크의 계약 조건 문제와 관련한 의견 공개를 거부하며, 조사 과정에서 다양한 기업을 대변한다고만 전했다. 깁스로그룹이 대변하는 크라우드스트라이크의 피해 기업 중에는 크라우드스트라이크의 고객사이기도 하며, 전산 장애로 간접 피해를 본 기업도 있다.

맥마혼 부교수는 크라우드스트라이크와 직접 계약 관계를 체결하지 않은 기업은 제한 조항의 영향을 받지 않지만, 직접 피해를 주장할 수 없을 것이라고 본다. 계약 관계가 없어서 계약 위반 소송 제기가 불가능하기 때문이다. 관리 소홀 문제로도 소송을 제기할 수 없다. 관련 법률은 부상이나 재산 피해를 본 개인만 적용 대상에 해당할 뿐, 경제적 손실을 본 기업에는 적용되지 않기 때문이다.

맥마혼 부교수는 크라우드스트라이크가 직면한 상황이 2024년 3월, 볼티모어 교량 붕괴로 컨테이너 선박이 파괴된 기업의 상황과 비슷하다고 본다. 교량 붕괴 사고는 다리를 사용했을 수도 있는 기업에 막대한 피해를 초래했을 수도 있으나 실제 발생한 손실 자체는 금전적 손실이었다. 크라우드스트라이크의 소프트웨어 업데이트가 원인이 된 기업이 겪은 피해와 비슷하다. 맥마혼 교수는 “볼티모어 교량 붕괴 피해 당시 금전적 손실을 기록한 기업이 받을 수 있는 보상금은 전혀 없다는 점을 확신한다”라고 말했다.

그러나 전문가들은 수많은 장벽이 크라우드스트라이크의 피소 가능성을 막는 것은 아니라고 입을 모아 말한다. 전산 장애와 관련한 금전적 손실이 매우 크기 때문이다. 크라우드스트라이크 고객사의 보상금 청구를 시작한 공급망 기업 소나타입(Sonatype) 최고 기술 책임자 브라이언 폭스(Brian Fox)는 소프트웨어 계약을 포함한 책임 제한을 시험대에 올린 대표적인 소송 사례 몇 건이 존재한다는 점에 주목했다. 그는 “크라우드스트라이크를 상대로 한 소송전이 중요한 전환이 될 수 있을 것이다”라고 예측했다.

맥그래스 교수는 “법률에서 흥미로우면서도 다루기 까다로운 점은 상호 합의에 따른 계약 체결 시 일방이 모든 면책 조건을 제시하지만, 상대는 법원에서 분쟁을 다루기 전까지 면책 조건이 적용될 가능성을 전혀 알지 못한다는 점이다. 법원에서 계약 합의 조건이 주어지기만 한 사법 관할 법률의 테두리 안에서 허용되지 않는다고 판결할 수도 있다”라고 말했다.

전산 장애 피해를 주장하는 기관이 소송을 진행할 별도의 이유도 여럿 찾아볼 수 있다. 맥그래스 교수는 델타항공과 크라우드스트라이크 간의 분쟁을 예시로 언급하며, “법률 절차로 펼칠 전략이 무엇이든 원고가 생각하는 법적 해결책을 확인하는 것이 중요할 때가 있다. 하지만 간혹 언론홍보와 공개성이 중요하기도 하다. 대기업 간의 상업 계약에서는 계약 당사자 간 더 시급한 바를 신중하게 논의했을 것으로 예상한다”라고 전했다.

크라우드스트라이크는 델타항공에 보낸 서한을 통해 델타항공의 피해 복구 소요 시간을 비교적 신속하게 복구 소식을 전한 다른 항공사와 비교했다. 서한에는 “델타항공의 공개적인 법적 책임 위협은 크라우드스트라이크가 델타항공의 IT 결정과 전산 장애 대응 책임이 있다는 오해를 유발하는 서사에 일조했다”라고 작성되었다. 크라우드스트라이크의 방어 의사 자체를 경고하는 강압적인 내용도 포함되었다. 서한에는 “법적 책임은 유감스럽지만, 델타항공이 소송을 강행할 시 크라우드스트라이크는 주주, 직원, 기타 이해관계자를 보호하기 위해 공격적으로 대응할 것이다”라는 내용도 기술되었다.

크라우드스트라이크 기업 커뮤니케이션 책임자 케빈 베나치(Kevin Benacci)는 와이어드에 전달한 공식 성명을 통해 크라우드스트라이크는 이미 모든 고객사에 유감을 표하면서 공식 사과했다고 밝히며, 델타항공의 위협은 그 어느 쪽에도 건설적이지 않은 공개적 거짓 행위라고 설명했다. 베나치는 “크라우드스트라이크는 델타항공이 합의 방안을 찾고자 협력하기를 바란다”라고 전했다.

크라우드스트라이크가 전산 장애를 유발한 사실을 인정했으나 현실적으로는 수십억 달러에 이르는 피해가 발생했다는 점에서 크라우드스트라이크와 그 외 전산 장애로 피해를 본 기업이 부담해야 할 비용은 천문학적일 것이다. 이미 언론 보도로 알려진 바와 같이 사이버 보험으로 피해 비용 극소수를 부담하더라도 고객사를 포함하여 피해 기업의 재정적 부담이 큰 것은 마찬가지이다.

복수 IT 업계 관계자는 소프트웨어 고급사가 코딩 오류의 법적 책임을 고객에게 전가하여 소프트웨어 공급사가 면책에 의존하는 관행을 막을 규제 개혁을 촉구한다. 폭스는 “지금까지는 다소 기술적인 부분에 의존했다. 의도치 않은 피해를 겪은 이들만 집중 보호받는다. 법적 책임 문제를 개혁하면, 여러 기업이 행동에 나서면서 엔지니어가 영원히 강조할 아키텍처, 테스트, 보안 개선 필요성에 집중할 것이다”라고 말했다.

그러나 맥그래스 교수는 이제 개인 고객이든 대기업이든 소송 당사자가 운영하는 법률 체계 내에서 문제를 다루어야 한다는 점이 실제로 불분명한 현실이라고 주장했다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
CrowdStrike Faces a Potential Tsunami of Lawsuits. Only the Fine Print Can Save It, Experts Say