개인정보 유출, 주가에 남는 진짜 비용은

개인정보 유출 사고가 터지면 투자자는 과징금부터 떠올린다. 그런데 지난해 SK텔레콤 사례를 보면, 주가에 더 오래 남는 비용은 과징금이 아니라 그 뒤에 따라붙는 후속조치와 고객 이탈이었다. 소비재·플랫폼 종목에 투자한다면 사고 공시에서 어디를 봐야 할지 순서대로 짚어 둘 필요가 있다.

과징금: 상한은 매출 3%, 충격은 제한적일 수 있다

개인정보보호위원회는 2025년 8월 SK텔레콤에 과징금 1,347억9,100만 원과 과태료 960만 원을 부과했다. 유출 사고 과징금으로는 역대 최대였다. 현행법상 과징금 상한은 전체 매출액의 3%이므로, 매출이 큰 기업일수록 절대 금액도 커진다.

흥미로운 점은 주가 반응이다. 시장에선 3,000억~5,400억 원까지 예상했는데 실제 금액이 그보다 낮게 나오자, 발표 당일 주가는 0.9% 내리는 데 그쳤고 이튿날 1.29% 추가 하락했다. 과징금은 금액이 공개되는 순간 불확실성이 해소되는 성격이라, 예상 범위 안이면 주가 충격은 오히려 제한적일 수 있다.

진짜 큰 돈은 과징금 뒤에 온다

panumas nikhomkhai

정작 실적을 흔든 건 후속조치 비용이었다. SK텔레콤은 유심 교체와 대리점 손실 보상 등으로 2분기에만 2,500억 원의 일회성 비용을 반영했고, 그 분기 영업이익은 전년 동기보다 37.1% 줄었다. 한 보도는 사고 관련 후속조치 비용 총액을 1조6,400억 원으로 집계했다. 과징금의 10배가 넘는 규모다.

여기에 고객 이탈이 겹친다. 번호이동과 해지가 늘면 가입자당 매출이 줄고, 이는 과징금처럼 한 번에 끝나지 않고 분기 실적에 꼬리를 남긴다. 다만 신용평가사들은 SK텔레콤의 재무 안정성 자체에는 큰 영향이 없다고 봤다. 사고의 무게는 기업 규모와 사업 구조에 따라 다르게 소화된다는 뜻이다.

늑장 신고와 대응 미흡이 비용을 키운다

같은 유출이라도 대응이 비용을 가른다. 현행 규정상 기업은 유출 사실을 안 뒤 72시간 안에 개인정보위에 신고해야 한다. 이 기한을 넘기거나 이용자 통지를 미루면 과징금과 별도로 과태료가 붙는다. 실제로 경매회사 크리스티스는 72시간을 넘겨 신고한 점이 적발돼 과징금 2억8,000만 원과 과태료를 받았고, 텔루스는 신고·통지 지연으로 과징금 8,200만 원을 부과받았다.

기업	유출 규모	과징금
SK텔레콤	약 2,300만 건	1,347.9억 원
GS리테일	166만 명	128.4억 원
티머니	5만여 명	5.3억 원

유출 규모가 과징금과 비례하지만, 안전조치 소홀과 신고 지연 같은 가중 요인이 금액을 끌어올린다. 현재 조사가 진행 중인 커피 프랜차이즈 할리스 사고도 이 변수에 걸려 있다. 할리스는 10월 16일 멤버십 고객 정보 유출을 확인했고 가상자산 채굴(크립토재킹) 목적 침입 가능성이 제기됐는데, 한 단독 보도는 신고가 법정 기한을 넘겼다고 지적했다. 사실로 확정되면 과징금 산정에 불리하게 작용할 수 있는 대목이다.

사고 공시, 이 순서로 확인하라

• 유출 항목의 민감도: 비밀번호·주민번호·금융정보가 포함됐는지. 이름·연락처만인지에 따라 책임 범위가 다르다.
• 신고 적시성: 72시간 내 신고·통지가 이뤄졌는지. 지연은 과태료와 과징금 가중 요인이다.
• 매출 대비 과징금 상한: 상한이 매출 3%이므로, 해당 기업 매출로 최대 노출 규모를 가늠한다.
• 후속조치 비용 가이던스: 보상·교체·시스템 투자 규모를 회사가 제시했는지. 과징금보다 이쪽이 실적에 더 크다.
• 고객 이탈 지표: 해지율, 가입자당 매출 변화가 다음 분기에 나타나는지.
• 소송·재발 리스크: 집단소송 가능성과 재발 방지책, 보안 투자 확대 계획.

과징금 숫자 하나에 놀라 팔거나 안도하기보다, 후속 비용과 고객 반응이 몇 분기에 걸쳐 어떻게 반영되는지를 보는 편이 종목 판단에는 더 유효하다.

출처

1. 2300만 정보 털린 SKT에 1347억 역대 최대 과징금 (다음/연합)
2. 할리스 서버 노린 해커들, 크립토재킹이 뭐길래 (EPNC)
3. 개인정보 유출 의심만 돼도 72시간 내 고지 (MTN)
4. GS25 털린 걸 알고도 GS샵 유출 계속…GS리테일 과징금 128억 (MTN)