금융권 해킹 시대, 금융주 이렇게 점검하라
금융당국이 해킹 사고에 CEO 책임과 총매출 3% 규모 과징금까지 거론하면서 보안이 금융주의 핵심 위험으로 떠올랐다. 롯데카드는 과징금과 업무정지를 받았지만, SKT 사례처럼 직접 벌금보다 고객 이탈과 실적 훼손이 주가에 더 크게 작용한다. 보유 종목의 사고 이력, 제재 반영, 보안 투자 수준, 리테일 민감도를 점검해 규제 강화 국면에 대비하는 편이 낫다.
금융주 보유자가 해킹 뉴스에서 봐야 할 것
금융사 해킹 사고가 잇따르면서, 감독당국의 태도가 눈에 띄게 달라졌다. 과거엔 사고가 나도 제재가 가볍다는 말이 많았지만, 이제는 최고경영자 책임과 징벌적 과징금이 거론된다. 금융주를 들고 있다면 이 변화를 뉴스가 아니라 종목의 비용과 위험으로 읽어야 한다.
핵심은 해킹이 일회성 벌금으로 끝나지 않는다는 점이다. 제재와 평판, 성장 제약으로 번지면서 실적과 주가에 시차를 두고 반영된다.
"CEO 책임"이 투자자에게 의미하는 것
Sergei Starostin
2026년 10월 국정감사에서 이찬진 금융감독원장은 사이버보안 사고와 관련해 CEO 책임 문제가 처음으로 다뤄질 사안이라고 밝혔다. 근거는 금융회사 지배구조법상 내부통제 총괄 책임자가 CEO라는 점이다. 실제로 5대 은행장이 국감장에 불려 나왔다.
여기에 더해 전자금융거래법 개정안이 추진되고 있다. CEO 책임 명확화, 정보보호최고책임자(CISO) 권한 강화, 침해사고로 정보가 유출되면 총매출액의 3% 이하까지 과징금을 매기는 내용이 담겼다. 현행 과징금 상한이 50억 원인 점을 감안하면 체급이 완전히 달라지는 변화다. 다만 이 법안은 아직 국회를 통과하지 못하고 계류 중이다. 투자자 입장에서는 규제 위험이 커지는 방향이라는 신호로 읽되, 시행 시점은 확정되지 않았다는 점을 함께 봐야 한다.
사고가 주가로 번지는 세 갈래 경로
보안 사고는 보통 세 경로로 기업 가치에 닿는다. 첫째는 과징금과 업무정지 같은 직접 제재, 둘째는 고객 이탈과 평판 훼손, 셋째는 신규 영업 제한 같은 성장 제약이다.
현실 사례가 이 구조를 보여준다.
| 사례 | 직접 제재 | 파급 영향 |
|---|---|---|
| 롯데카드 | 과징금 약 146억·업무정지 1.5개월 | 신규 회원 영업 중단 |
| SKT | 과징금 1348억 | 가입자 순감, 실적 급감 |
롯데카드는 297만 명 정보 유출로 개인정보위 과징금 약 96억 원, 금융위 과징금 50억 원에 더해 신규 회원 업무 1.5개월 정지를 받았다. 해킹 정보 유출로 업무정지가 내려진 첫 사례다. 다만 과징금 규모만 보면 연 매출 대비 1%도 되지 않아, 대형사일수록 직접 제재의 타격은 제한적일 수 있다.
통신사 사례이긴 하지만 SKT는 비용 구조를 더 선명하게 보여준다. 역대 최대인 1348억 원 과징금을 맞았는데, 정작 더 큰 상처는 가입자 60만 명 순감과 그 뒤의 실적이었다. 2025년 영업이익이 40% 넘게 줄고 배당이 반토막 났다. 신용평가사도 과징금 자체보다 고객 이탈과 마케팅비 확대가 신용도에 더 큰 변수라고 봤다.
보안 투자는 비용이 아니라 변별 요소다
금융당국은 보안을 비용이 아닌 투자로 봐야 한다고 강조한다. 개정안에 담긴 정보보호 공시가 도입되면, 회사별 보안 투자와 인력 규모를 투자자가 비교할 수 있게 된다. 사고를 낸 이력과 보안에 얼마를 쓰는지가 같은 업종 안에서 종목을 가르는 기준이 될 수 있다는 뜻이다.
특히 개인 고객 비중이 큰 카드사나 리테일 중심 금융사는 사고가 났을 때 고객 이탈에 더 민감하다. 반대로 기업 금융 비중이 높으면 평판 충격이 상대적으로 덜할 수 있다. 같은 금융주라도 사업 구성에 따라 사고에 대한 노출도가 다르다.
내 금융주, 이렇게 점검한다
- 최근 침해사고나 정보유출 이력이 있는가, 재발 방지 조치는 공시됐는가
- 과징금·업무정지 등 확정됐거나 진행 중인 제재가 실적에 반영됐는가
- 정보보호 투자와 인력 비중이 동종 업계와 비교해 어느 수준인가
- 개인 고객 비중이 커서 이탈·평판에 민감한 구조인가
- 전자금융거래법 개정안이 통과될 경우 과징금·공시 부담이 어느 정도일까
사고가 터진 다음에 움직이면 늦다. 규제가 강해지는 국면에서는 보안이 약한 종목이 먼저 흔들린다는 점을 염두에 두고 미리 점검해 두는 편이 낫다.