금감원 AI 해킹 경고, 보안주로 볼까
금융감독원이 9월 9일 전 금융권 CISO를 소집해 생성형 AI를 악용한 사이버 공격에 대한 대응 강화를 주문했다. 규제가 금융권의 보안 지출을 밀어올리는 신호이긴 하지만, 규제발 수요가 곧 특정 보안 기업의 실적으로 이어지는 것은 아니다. 테마 급등에 올라타기 전에 해당 기업의 실제 수주와 매출 반영 여부부터 확인해야 한다.
금감원이 보안 책임자들을 한자리에 부른 이유
금융감독원이 9월 9일 전 금융권 최고정보보호책임자(CISO)를 불러 모았다. 생성형 AI를 악용한 사이버 공격이 빠르게 늘고 있어 대응 체계를 다잡자는 취지다. 보안 테마주를 보는 투자자라면 이 소집을 '금융권 보안 예산을 압박하는 규제 신호'로 읽게 된다. 다만 신호가 곧 실적은 아니다. 그 간극을 짚는 게 이 글의 목적이다.
금감원이 든 근거는 구체적이다. 미국 국립표준기술연구소(NIST)에 올해 상반기 등록된 신규 보안 취약점은 3만5,872건으로, 1년 전 같은 기간보다 51.6% 늘었다. 한국인터넷진흥원(KISA)의 보안 공지도 199건으로 46.3% 증가했다. AI를 쓰면 자연어 명령만으로 침투 지점을 찾고 공격 코드를 만들 수 있어, 여러 금융사를 동시에 노리는 자동화·대량 공격이 가능해졌다는 진단이다.
사고의 원인은 첨단이 아니라 기본이었다
Photo by Anne Nygård on Unsplash
눈여겨볼 대목은 금감원이 지목한 최근 대형 사고의 원인이다. 정교한 신종 해킹이 아니라 기본 통제의 구멍이었다. 중요 보안 패치를 제때 적용하지 않고, 퇴직자 계정을 방치하고, 이용자 정보 암호화가 미흡한 사례가 대형 사고로 번졌다는 것이다.
그래서 금감원의 주문도 화려한 신기술 도입보다 관리 체계 쪽에 쏠려 있다. 경영진이 직접 챙기는 전사적 IT 리스크 관리, IT 자산 식별과 취약점 관리, 침해 대응 체계 강화가 핵심이다. 자율 시정이 미흡한 곳은 현장 점검으로 집중 관리하고, 형식적으로 넘겼다가 사고가 나면 엄중 조치하겠다고 못 박았다.
보안 기업에 신호가 되는 지점
여기까지가 사실이고, 여기서부터는 해석이다. 규제가 '해도 되고 안 해도 되는' 권고에서 '안 하면 제재받는' 압박으로 옮겨가면, 금융사 입장에서 보안 투자는 미룰 수 없는 비용이 된다. 이 수요는 보안 솔루션·컨설팅 기업에 우호적인 환경으로 볼 여지가 있다.
국내 증시에서 보안 테마로 묶이는 종목은 여럿이다. 샌즈랩, 케이사인, 모니터랩, SGA솔루션즈, 파수, 이글루, 지니언스, 라온시큐어 등이 자주 거론된다. 다만 이 나열은 '테마 편입'이라는 사실일 뿐, 어느 종목이 이번 이슈로 실제 매출을 늘린다는 근거는 아니다. 규제발 예산이 늘어도, 그 예산이 어느 회사와 계약으로 이어질지는 별개 문제다.
테마로 뛰기 전에 확인할 것
이슈성 급등은 대개 짧다. 진입을 고민한다면 다음을 먼저 확인하는 편이 낫다.
- 실적 반영 여부: 금융권 관련 수주나 매출이 이미 재무제표에 잡히고 있는지, 아니면 기대만 앞선 것인지.
- 사업 구조: 매출에서 금융권 보안 비중이 실제로 유의미한지, 이름만 테마에 얹힌 것인지.
- 밸류에이션: 이슈 전 주가 대비 얼마나 이미 올랐는지. 뉴스가 나온 시점에는 이미 반영이 끝난 경우가 많다.
- 지속성: 이번 소집이 일회성 경고인지, 정기 점검과 제재로 이어질 흐름인지.
규제 압박이 실제 계약과 실적으로 확인되기 전까지, 이번 소집은 방향을 가리키는 신호일 뿐 확정된 수혜는 아니다. 테마가 던지는 기대와 개별 기업의 실적을 분리해서 보는 것이 이런 이슈에서 손실을 줄이는 기본이다.