증권주 해킹 악재, 주가와 실적 따로 보는 법
금융권 해킹 여파로 KRX 금융지수가 이달 4.6% 하락하는 등 금융주가 약세지만, 증권사에서는 고객정보 유출이나 침투 흔적이 확인되지 않았다. 해킹의 실적 영향은 과징금과 보상 비용, 고객 이탈 세 경로로 나타나는데 현행법상 과징금 상한과 실제 부과액의 차이가 커 당장의 손익 타격은 제한적이라는 평가가 많다. 증권주 투자자라면 심리에 흔들리는 단기 주가와 공시·당국 조사로 확정되는 중기 실적을 분리해, 유출 사실과 비용 규모부터 공시로 확인하는 것이 먼저다.
주가는 먼저 움직였지만 실적은 아직이다
금융권 해킹 소식이 번지자 금융주가 흔들렸다. KRX 금융지수는 이달 들어 4.6% 하락했고, 증권사들도 경계 태세에 들어갔다. 다만 주가가 빠졌다고 실적이 나빠진 것은 아니다. 주가는 심리와 수급으로 먼저 반응하고, 실적은 과징금이나 보상 규모가 확정된 뒤에야 숫자로 드러난다. 두 시계를 섞어 보면 판단이 어긋난다.
전제도 짚어야 한다. 이번에 피해가 확인된 곳은 신한은행 약 2만5000명을 포함한 은행권 중심의 금융사들이다. 하나증권·NH투자증권·미래에셋증권 등은 공격 IP를 차단하고 접속 이력을 점검한 결과 침투 흔적이 확인되지 않았다고 밝혔고, 증권 유관기관에서도 고객정보 유출은 확인되지 않았다. 증권주의 하락을 해킹 하나로 설명하기 어려운 이유다. 같은 기간 금리 흐름 등 다른 변수도 함께 작용했기 때문이다.
유출이 실적으로 번지는 세 경로
Photo by Taylor Vick on Unsplash
해킹이 실제 유출로 확인될 경우, 비용은 보통 세 갈래로 실적에 들어온다.
첫째는 과징금이다. 개인정보보호법은 전체 매출의 최대 3%까지 과징금을 매길 수 있도록 하지만, 유출과 무관한 매출은 산정에서 빠질 수 있다. 금융사에 적용되는 신용정보법은 해킹에 따른 유출의 경우 50억원을 상한으로 둔다. 실제 부과액은 상한보다 훨씬 낮은 사례가 많았다. 롯데카드 건의 과징금은 매출의 0.3% 수준에 그쳤다. 2025년 12월 국회 정무위를 통과한 개정안이 상한을 최대 10%로 올렸지만, 이 요건은 1000만 명 이상 피해처럼 까다로워 대부분의 사고에는 그대로 적용되기 어렵다.
둘째는 보안 투자와 보상 비용이다. 증권사들의 정보보호 투자는 이미 빠르게 늘고 있다.
| 증권사 | 정보보호 투자 | 증감 |
|---|---|---|
| 한국투자증권 | 188억원 | +12.6% |
| 신한투자증권 | 171억원 | +23.9% |
| NH투자증권 | 124억원 | +24% |
다만 이런 투자는 대부분 자산으로 잡힌 뒤 여러 해에 걸쳐 감가상각으로 나뉘어 반영된다. 하나증권 연구원이 해킹의 하반기 실적 영향을 제한적으로 본 것도 이 때문이다. 당장 손익을 크게 흔들 항목은 아니라는 뜻이다.
셋째는 고객 이탈이다. 숫자로 바로 잡히지 않지만, 신뢰가 깨지면 중기 성장에 부담이 된다. 이 경로는 분기 실적보다 다음 해 지표에서 천천히 드러난다.
증권주 투자자라면 이 순서로 점검한다
- 공시와 금융당국 발표로 유출 사실과 규모부터 확인한다. 기사 제목이나 소문이 아니라 회사 공시가 기준이다.
- 과징금과 보상의 상한이 아니라 과거 실제 부과 전례와 비교한다. 상한만 보면 충격을 과대평가하기 쉽다.
- 늘어난 보안 투자가 비용으로 한꺼번에 잡히는지, 자산화돼 나뉘어 반영되는지 확인한다.
- 단기 급락이 증권주 개별 악재인지, 금융 섹터 전반의 동반 약세인지 구분한다.
- 순이자마진이나 주주환원 같은 본업 지표를 함께 본다. 시장의 관심은 결국 이쪽으로 돌아온다.
유출이 확정되지 않은 단계에서 주가만 보고 움직이면, 섹터 전반의 출렁임을 개별 악재로 오해하기 쉽다. 사실 확인이 먼저고, 비용의 크기와 반영 시점을 따지는 것이 그다음이다.