해킹 맞은 금융사, 실적엔 뭐가 남나
9월 말 신한은행(약 2만5천 명)을 시작으로 KB·하나·BNK, 새마을금고·OK저축은행까지 금융권 정보유출이 연쇄로 번졌고 금융위가 은행권 보안을 긴급 점검 중이다. 투자자에게 비용은 과징금·고객 보상·보안 투자로 나뉘는데, 과징금은 매출의 최대 3%까지 가능하지만 실제 선례는 카카오 151억 원 등 수십에서 수백억 원대였고 가장 꾸준히 실적을 누르는 쪽은 보안 투자다. 직접 피해를 입은 새마을금고·OK저축은행은 비상장이므로, 상장 금융지주는 유출 규모와 민감정보 포함 여부, 충당금 공시와 개인정보위 의결을 따져 판단해야 한다.
어디까지 번졌나
이번 유출은 한 회사의 사고가 아니다. 신한은행이 9월 30일 대출 관련 고객정보 유출을 확인했고, 금융권에서는 약 2만5천 명분이 빠져나간 것으로 본다. 경향신문 보도 기준 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다. 경로는 일반 뱅킹이 아니라 대출모집인이 쓰는 전용 사이트로 알려졌다.
이후 KB국민·하나은행에서도 유출이 확인됐고(하나은행 89명, 금융거래정보는 아님), BNK부산은행은 외주 개발직원 11명의 정보가 샜다. 저축은행·상호금융으로도 번져 새마을금고 공제 고객 400여 명, OK저축은행 183명가량이 뚫렸다. 금융위원회는 은행권 보안을 긴급 점검 중이다.
투자자에게 먼저 중요한 구분이 있다. 가장 크게 보도된 새마을금고와 OK저축은행은 상장사가 아니다. 반면 신한·KB·하나·부산은행은 상장 금융지주 소속이다. 같은 사태라도 주가로 직접 연결되는 쪽과 그렇지 않은 쪽이 섞여 있다.
비용은 세 갈래로 들어온다
Alex Luna
피해 금융사의 실적에 사고가 반영되는 통로는 크게 셋이다. 과징금, 고객 보상, 그리고 보안 투자다.
과징금부터 보자. 2023년 9월 시행된 개정 개인정보보호법은 위반 기업 전체 매출액의 3% 이내에서 과징금을 물릴 수 있게 했다. 2025년 말 국회 정무위 소위는 중대·반복 위반 시 상한을 10%까지 올리는 개정안을 통과시켰지만, 본회의 통과와 시행 여부는 아직 확정되지 않았다. 다만 '매출의 3%'라는 상한과 실제 부과액은 거리가 있다. 지금까지의 선례를 보면 체감이 쉽다.
| 사례 | 시점 | 과징금 | 유출 규모 |
|---|---|---|---|
| 카카오 | 2024.5 | 151억 원 | 6만5천여 건 |
| 골프존 | 2023 | 75억여 원 | — |
| LG유플러스 | 2023.7 | 68억 원 | 30만 명 |
역대 최대인 카카오도 151억 원이었다. 조 단위를 점치는 공포성 기사와 달리, 실제로는 수십억에서 수백억 원 선이다. 게다가 조사부터 개인정보위 의결까지는 통상 1년 넘게 걸린다. 과징금은 금액이 크더라도 한 번에, 그리고 늦게 반영된다는 뜻이다.
보상은 성격이 다르다. 사고를 낸 은행들은 대체로 "손해를 전액 보상하겠다"고 밝혔다. 다만 과거 정보유출 소송에서 1인당 배상액은 위자료 수준에 그친 경우가 많았다. 피해 인원이 많아도 단가가 낮으면 총액은 제한적일 수 있고, 반대로 실제 금전 피해가 발생하면 늘어난다.
세 번째가 가장 꾸준하다. 보안 투자다. 사고 뒤에는 자발적으로든 감독당국 요구로든 보안 인력과 시스템에 돈을 더 쓰게 된다. 이 비용은 일회성이 아니라 분기마다 비용과 투자로 쌓인다. 정보보호가 이사회 책임 영역으로 강해지는 흐름까지 더하면, 단기 과징금보다 실적을 오래 누르는 쪽은 이 항목일 가능성이 높다.
고객 이탈은 따로 떼어 봐야
유출 사고에 "고객이 떠나 매출이 준다"는 걱정이 붙지만, 이건 비용과 구분해야 한다. 은행은 급여이체·자동이체·대출이 얽혀 있어 계좌를 옮기는 전환비용이 크다. 분노 여론과 실제 이탈은 같은 크기로 움직이지 않는다. 과징금·보상·보안 투자는 비용 항목으로, 이탈은 매출 영향으로 나눠 봐야 숫자가 섞이지 않는다.
공시와 당국 발표에서 확인할 것
판단은 뉴스 헤드라인이 아니라 공시와 감독당국 발표에서 한다.
첫째, 당사자가 상장사인지 본다. 비상장인 새마을금고·OK저축은행 사고는 주가로 직접 번지지 않는다. 둘째, 유출 규모와 민감정보 포함 여부다. 주민번호·계좌처럼 금전 피해로 이어지는 항목이 섞였는지가 보상·과징금 규모를 가른다. 셋째, 경로다. 신한 사례처럼 외주나 대출모집인 쪽 주변 시스템인지, 핵심 뱅킹 시스템인지에 따라 무게가 다르다. 넷째, 기업이 실적에 반영하는 충당금과 보상 범위 공시, 그리고 개인정보위의 과징금 의결이 중대·반복 위반으로 판단되는지다.
정리하면, 이번 사태의 실적 충격은 대체로 지연되고 분산된다. 투자자가 볼 숫자는 주가 등락이 아니라 다음 분기 실적의 충당금 한 줄과 개인정보위의 처분이다.