증권사 해킹 사태, 증권주 주가 어떻게 봐야 하나
미래에셋증권이 11월 4~5일 외부 공격으로 고객·임직원 약 3만9천 명의 정보가 유출됐다고 7일 신고했고, 최근 한 달 금융권 37곳에서 비슷한 사고가 이어졌다. 이런 유출은 발표 직후의 투자심리와, 과징금·보안투자·소송 같은 뒤따르는 비용으로 나뉘어 종목에 다르게 반영된다. 투자자는 공시의 유출 범위와 당국 처분 수위, 비용 반영을 순서대로 확인해 단기 반응과 중장기 실적을 구분해야 한다.
지금 증권가에서 벌어지는 일
미래에셋증권은 11월 4일과 5일 외부 공격을 받아 고객과 임직원 약 3만9천 명의 정보가 빠져나갔다고 11월 7일 금융당국에 신고했다. 고객 쪽은 3,800여 명의 계좌번호가 유출됐고, 나머지 3만5천여 명은 퇴직자와 외주직원을 포함한 임직원이다. 회사 설명으로는 이름과 사번이 대부분이고 이메일, 휴대전화 번호, 암호화된 비밀번호가 일부 섞였다. 주민등록번호 같은 고유식별정보는 유출 대상에 없었고, HTS·MTS는 정상 운영 중이며 지금까지 확인된 금전 피해는 없다고 밝혔다.
문제는 미래에셋 한 곳의 사고가 아니라는 점이다. 금융감독원 집계로 9월 30일부터 11월 3일까지 한 달 사이 금융권 37곳에서 해킹이 발생해 47만3천 건의 정보가 유출됐다. 앞서 대신증권은 10월에 약 3만8천 건, 한양증권도 피해를 입었다. 증권주를 들고 있다면 특정 종목만의 악재라기보다 업종 전반을 흔드는 흐름으로 보는 편이 현실에 가깝다.
주가를 흔드는 건 심리, 실적을 깎는 건 비용
Photo by Tyler on Unsplash
해킹 뉴스가 주가에 닿는 경로는 둘로 나뉜다. 하나는 발표 직후의 투자심리다. 유출 규모가 크거나 계좌·결제정보가 포함되면 고객 이탈과 평판 훼손 우려로 매도가 몰린다. 다른 하나는 뒤늦게 실적에 반영되는 비용이다. 이쪽이 종목의 중장기 가치를 실제로 깎는다.
비용은 다시 세 갈래다. 당국이 매기는 과징금과 과태료, 재발 방지를 위한 보안 투자, 그리고 피해자 집단소송이나 배상이다. 이 가운데 보안 투자는 성격이 조금 다르다. 단기적으로는 비용이지만, 사고를 겪은 회사가 시스템을 손본다는 신호이기도 해서 중장기로는 리스크를 줄이는 지출로 읽을 여지가 있다.
과징금, 얼마나 나올 수 있나
2023년 9월 개정 개인정보보호법부터 과징금 상한이 '위반행위 관련 매출'이 아니라 '전체 매출액의 3% 이하'로 올라갔다. 위반과 무관한 매출은 빼주되 그 입증 책임은 회사가 진다. 2025년 12월 국회 상임위를 통과한 개정안은 대규모 유출 같은 중대 사안에 상한을 최대 10%까지 올리는 내용인데, 최종 시행 여부와 시점은 아직 확정되지 않았다.
다만 상한이 곧 실제 부과액은 아니다. 삼성증권은 2022년 계열 앱에서 고객 344명의 계좌정보가 다른 고객에게 노출된 건으로 2023년 과징금 9,800만 원과 과태료 360만 원을 받았다. 이 사건은 해킹이 아닌 업무 과실로 분류됐다는 점에서 이번 해킹 유출과는 성격이 다르다. 처분까지 걸리는 시간도 길다. 증권사 유출 사건은 신고에서 최종 처분까지 평균 341일이 걸렸다. 과징금은 당장이 아니라 1년 안팎 뒤에 실적으로 나타날 변수라는 뜻이다.
공시와 당국 조치, 이 순서로 확인하라
투자자가 볼 것은 뉴스 헤드라인이 아니라 회사 공시와 당국 조치다. 순서를 정해두면 과민반응을 줄일 수 있다.
- 유출 범위: 고유식별정보나 계좌 비밀번호처럼 금전 피해로 이어질 정보가 포함됐는지. 이름·사번 위주라면 배상 부담이 상대적으로 작다.
- 서비스 영향: HTS·MTS 중단과 금전 피해 발생 여부. 정상 운영되면 영업 타격은 제한적이다.
- 당국 처분: 금감원 검사 착수 여부와 개인정보위 과징금 수위. 경영진 책임이 거론되는지도 본다.
- 비용 반영: 분기 실적에 잡히는 보안 투자·충당금과 소송 진행 상황.
금감원은 이미 금융사 경영진의 책임 가능성까지 거론하며 자율 방어체계 구축을 압박하고 있다. 당국 기조가 강해질수록 처분 수위와 보안 투자 요구도 함께 커진다고 보는 편이 합리적이다.
단기 반응과 중장기 실적, 나눠 보는 기준
판단 기준은 이렇게 잡을 수 있다. 고유식별정보가 빠지지 않았고 서비스가 정상이며 금전 피해가 없다면, 발표 직후의 하락은 비용보다 심리에 가깝다. 반대로 계좌·결제정보가 대규모로 유출됐거나 당국이 중대 사안으로 보고 과징금·검사에 착수하면, 그때부터는 실적에 꽂히는 비용 국면으로 봐야 한다.
지금 미래에셋증권 건은 회사 설명 기준으로 고유식별정보가 빠지지 않았고 금전 피해도 확인되지 않았다. 하지만 당국 조사 결과와 과징금 규모, 2차 피해 여부는 아직 나오지 않았다. 단기 주가에 곧바로 반응하기보다, 공시로 유출 범위를 확인한 뒤 처분과 비용이 실적에 어떻게 잡히는지를 몇 분기에 걸쳐 따라가는 편이 종목 판단에는 더 유효하다.