더존비즈온 해킹, 주가 타격은 어디서 올까
더존비즈온이 10월 두 차례 침해사고를 신고했고 정부는 중대사고로 판단해 민관합동조사단을 꾸렸다. 유출 규모가 아직 확정되지 않아 과징금·소송·고객 이탈이라는 실적 변수의 크기도 정해지지 않은 상태다. 투자자는 피해 규모를 수치로 밝히는 회사 공시와 조사단 결과 발표를 확인해야 주가 영향을 가늠할 수 있다.
지금까지 확인된 사고의 범위
더존비즈온은 10월에 두 건의 침해사고를 신고했다. 첫 번째는 회계·세무 프로그램 'Smart A 10'의 개발 서버다. 10월 15~16일 사이 신원불상자가 직원의 VPN 계정으로 내부 시스템에 접속해 데이터를 조회한 정황이 확인됐고, 회사는 16일 KISA와 개인정보보호위원회에 신고했다.
두 번째는 고객사 데이터를 보관하는 APO백업 서버다. 21일 확인·신고됐고, 백업 솔루션 공급사 아세이(Ahsay)의 취약점이 악용돼 암호화된 데이터가 외부로 반출된 정황이 발견됐다. 회사는 암호화 키가 유출된 정황은 없다고 밝혔다.
여기서 투자자가 먼저 떼어놓아야 할 숫자가 있다. Smart A 10을 쓰는 기업이 11만여 곳, 누적 고객사가 15만 곳이라는 수치는 '이용 규모'일 뿐 '피해 기업 수'가 아니다. 실제 유출 규모와 피해 고객사는 아직 확정되지 않았다.
정부 조사는 어느 단계인가
Photo by Anne Nygård on Unsplash
과학기술정보통신부는 10월 25일 침해사고 조사 심의위원회를 열어 이번 사고를 중대 침해사고로 판단하고 민관합동조사단을 구성했다. 조사단에는 과기정통부와 KISA, 민간 전문가가 참여한다. 유출 경로와 실제 피해 범위를 가리는 것이 조사의 핵심이다.
조사가 끝나지 않았다는 점이 중요하다. 유출된 데이터가 암호화 상태 그대로인지, 복호화 키까지 넘어갔는지에 따라 피해의 성격이 달라진다. 지금 나와 있는 '유출 가능 항목'은 성명·주민등록번호·계좌번호·주소·휴대전화번호·이메일 등이지만, 이 가운데 무엇이 실제로, 얼마나 빠져나갔는지는 조사 결과를 기다려야 한다.
2차 피해를 알리는 고객사도 나오기 시작했다. 출판사 창비는 10월 30일 백업서비스 침해로 저자·거래처 정보가 영향을 받았을 수 있다고 공지했고, 한국킨볼협회도 전·현직 직원 정보 유출 가능성을 안내했다. 다만 두 곳 모두 실제 유출이 확정됐다고 밝히지는 않았다.
실적에 닿는 세 갈래 경로
사고가 더존비즈온 실적에 반영되는 길은 크게 세 가지다.
첫째는 과징금이다. 개인정보보호법은 유출 규모와 안전조치 의무 위반 정도에 따라 전체 매출액의 3% 이내에서 과징금을 물릴 수 있도록 하고 있다. 액수는 조사로 확정되는 유출 규모와 회사의 과실 인정 여부에 달려 있어, 지금은 상한만 가늠할 수 있을 뿐이다.
둘째는 손해배상 소송이다. 개인정보 유출 사건은 피해자들의 집단소송으로 이어지는 경우가 많다. 다만 배상액은 실제 유출이 확인되고 피해가 입증돼야 산정되므로, 재무제표에 숫자로 잡히기까지는 시간이 걸린다.
셋째가 고객 이탈이다. 이것이 투자자에게 가장 직접적이면서도 가장 천천히 나타나는 변수다. ERP는 데이터 이전·시스템 재설정·직원 재교육까지 묶여 있어 당장 갈아타기 어렵다. 그래서 사고 직후 대량 해지보다는, 계약 갱신 시점과 신규 도입 경쟁에서 보안이 감점 요인으로 작용하는 식으로 매출에 스며든다. 한 보안업계 관계자는 "신뢰가 한 번 흔들리면 회복에 상당한 시간이 걸린다"고 지적했다.
무엇을 확인하면 주가를 판단할 수 있나
세 경로 모두 '유출 규모 확정'이라는 하나의 출발점에서 갈라진다. 그래서 지금 주가를 움직일 재료는 사고 자체가 아니라, 규모를 수치로 바꿔줄 두 가지 발표다.
하나는 회사 공시다. 피해 고객사 수, 유출 항목과 건수, 보상·지원 계획이 공시로 나오는 순간 과징금과 소송 규모의 윤곽이 잡힌다. 더존비즈온 주식을 들고 있다면 DART 전자공시를 정기적으로 확인하는 편이 뉴스 헤드라인보다 빠르다.
다른 하나는 민관합동조사단의 결과다. 암호화 데이터가 복호화 가능한 상태였는지, 핵심 경영정보(매출·급여·납세 자료)까지 반출됐는지가 여기서 갈린다. 조사 결과가 '제한적 유출'로 나오느냐 '대규모 평문 유출'로 나오느냐에 따라 세 경로의 크기가 전부 달라진다.
정리하면 판단 순서는 이렇다. 먼저 조사 결과와 공시로 유출 규모를 확인하고, 그 규모를 과징금·소송·이탈이라는 세 경로에 대입한 뒤, 이탈은 다음 분기 실적이 아니라 몇 분기에 걸친 갱신율로 확인한다. 고객사 주식을 들고 있다면, 해당 기업이 자사 공지에서 '유출 가능성'과 '유출 확정'을 어떻게 구분해 쓰는지부터 봐야 한다. 규모가 숫자로 나오기 전까지는, 확정된 것과 가능성에 그친 것을 섞지 않는 것이 손실도 과잉반응도 줄이는 방법이다.