보안사고 터진 내 종목, 주가 충격 가르는 기준
한국전력은 10월 1일 직원 2만4천여 명의 이름·소속·전화번호가 외부 웹페이지에 노출된 사실을 인지했고, 주민등록번호 같은 고유식별정보와 고객정보는 빠졌다고 밝혔다. 같은 정보 노출이라도 빠진 정보가 무엇인지, 과징금 규모가 얼마인지, 사고가 구조적 취약성을 드러냈는지에 따라 주가 영향은 크게 갈린다. 보유 종목에서 사고가 터지면 노출 정보의 민감도와 규모, 매출 대비 과징금 노출액, 반복성을 확인해 일회성 악재인지 구조적 리스크인지 가려야 한다.
먼저 '무엇이 빠졌는지'부터 본다
한국전력은 10월 1일 오후 3시 59분, 외부의 한 웹페이지에 직원 2만4천여 명의 이름과 소속, 전화번호가 노출된 사실을 인지했다고 밝혔다. 핵심은 빠진 정보다. 한전은 주민등록번호 같은 고유식별정보와 민감정보는 포함되지 않았고, 전력 소비자인 일반 고객 정보도 별도로 분리된 시스템에 있어 무관하다고 설명했다. 노출된 페이지는 불특정 다수에게 공개된 사이트가 아니었고, 인지 약 32시간 뒤인 2일 자정 무렵 삭제됐다.
보유 종목에서 보안사고 뉴스가 뜨면 가장 먼저 확인할 것이 이 '범위'다. 노출됐다는 사실 자체보다, 어떤 정보가 얼마나, 누구에게 넘어갔는지가 주가가 받을 충격의 크기를 정한다.
노출 정보의 민감도가 1차 기준이다
Photo by Albert Stoynov on Unsplash
같은 '개인정보 노출'이라도 무게가 다르다. 이름·소속·전화번호는 피싱에 악용될 수 있지만 그 자체로 금전 탈취로 직결되지는 않는다. 반면 주민등록번호, 계좌·카드 정보, 금융 거래 내역은 2차 피해의 폭이 훨씬 넓다.
최근 금융권 연쇄 해킹이 시장에서 더 무겁게 받아들여진 이유가 여기 있다. 신한은행에서는 약 2만5천 명의 이름·연락처·연 소득·대출 한도에 더해 일부 주민등록번호까지 대출모집인 조회 서비스 해킹으로 노출됐고, KB국민은행에서도 119명분이지만 암호화된 주민등록번호가 포함됐다. 노출 인원은 한전(2만4천여 명)과 비슷하거나 적어도, 노출된 정보의 종류가 금융·식별정보라는 점에서 성격이 다르다. 투자자가 볼 것은 인원 숫자가 아니라 정보의 민감도다.
과징금, 이제 매출의 최대 10%까지
노출 범위 다음은 돈이다. 과징금은 기업 손익에 바로 꽂히는 숫자다. 현행 개인정보보호법은 위반 기업에 전체 매출액의 3% 이내에서 과징금을 물릴 수 있게 돼 있었다. 그런데 상한을 매출의 10%까지 올리는 개정안이 국회 본회의를 통과했다. 재석 의원 158명이 전원 찬성했고, 고의·중과실이거나 반복·대규모 침해일 때 적용된다.
3%와 10%의 차이는 작지 않다. 매출 10조 원 기업이라면 상한만 놓고 볼 때 3천억 원과 1조 원의 차이다. 물론 상한이 곧 부과액은 아니고, 대부분의 사고는 상한보다 한참 낮게 매겨진다. 그래도 투자자가 계산할 것은 '최악의 경우 매출 대비 몇 퍼센트까지 노출되는가'다. 개정안은 유출이 확정되지 않아도 유출 가능성이 확인되면 통지 의무를 지우는 조항도 담았다. 사고의 외부 공개가 빨라진다는 뜻이고, 숨기다 적발되는 리스크는 더 커졌다.
눈에 안 보이는 두 번째 청구서
과징금이 일회성 비용이라면 신뢰 훼손은 분할 청구서다. 플랫폼·금융·통신처럼 고객 데이터가 사업의 핵심인 기업일수록 이탈과 신규 유치 비용이 길게 손익을 누른다. 티빙에서 약 3,954만 개 계정이 노출된 사례처럼 규모가 가입자 전체에 육박하면, 구독 해지와 평판 하락이 과징금보다 오래 간다.
반대로 한전처럼 노출 대상이 직원이고 고객·결제 시스템과 분리돼 있으면, 사업의 본질인 고객 신뢰에 난 상처는 상대적으로 얕다. 이것이 주가가 하루 출렁이고 회복되는 사고와 분기 실적까지 끌고 가는 사고를 가르는 지점이다.
일회성 악재인가, 구조적 리스크인가
결국 투자자의 질문은 하나다. 이번 사고가 한 번의 사고인가, 아니면 이 회사의 보안 체계가 원래 허술하다는 신호인가. 다음을 순서대로 확인하면 가닥이 잡힌다.
- 노출 정보의 민감도: 이름·연락처 수준인가, 주민번호·금융·결제 정보인가.
- 규모와 대상: 노출 인원, 그리고 고객인가 직원인가. 핵심 사업 데이터와 분리돼 있었나.
- 과징금 노출액: 매출 대비 최대 몇 퍼센트인가. 고의·반복·대규모에 해당하나.
- 반복성: 같은 기업·업종에서 비슷한 사고가 되풀이되나. 여러 기관에서 동일한 공격 패턴이 보이나.
- 대응 속도: 인지·차단·통지가 빨랐나. 한전은 약 32시간 만에 노출 페이지를 삭제했다.
민감정보가 빠졌고, 고객 시스템과 분리됐고, 대응이 빨랐다면 일회성 악재에 가깝다. 반대로 금융·식별정보가 털렸고 동일한 공격이 여러 곳에서 반복되고 있다면, 이는 종목 하나가 아니라 업종 전체의 구조적 리스크로 봐야 한다. 공시된 과징금 규모와 당국 조사 결과가 나오기 전까지는 급락에 떠밀려 파는 것도, 반등을 단정하는 것도 이르다. 확인되지 않은 피해 규모를 공포로 채우기보다 위 다섯 항목이 어느 쪽을 가리키는지부터 따지는 편이 낫다.