PG 전액보상 규제, 핀테크주에 부담일까

결제 정보 유출이 부른 규제 국면

핀테크·결제주에 돈을 넣었다면 지금 벌어지는 규제 흐름을 그냥 지나치기 어렵다. 2026년 9월, 토스페이먼츠와 코엠페이먼츠에서 결제 정보 유출 사고가 잇따랐고 금융감독원은 두 회사에 대한 현장점검을 정식 검사로 전환했다.

사고의 성격은 조금씩 다르다. 토스페이먼츠는 가맹점 한 곳의 결제 연동키가 노출돼 제3자가 결제 내역을 조회한 사례로, 회사는 자사 시스템이 뚫린 것은 아니라고 설명했다. 조회된 정보는 성명과 마스킹된 카드번호, 승인번호 등 영수증 수준으로 결제건수 4,131건, 정보주체 2,671명 규모다. 반면 코엠페이먼츠는 8월 말 서버가 직접 공격당해 카드번호와 유효기간, 생년월일 등이 유출됐다.

전액보상 방침이 비용 구조에 미치는 것

StockRadars Co.,

투자자 입장에서 핵심은 '누가 사고 비용을 떠안느냐'다. 금융위원회는 9월 16일 긴급 보안점검에서 이상거래탐지시스템 등록과 카드 재발급, 피해 전액보상 등을 신속히 추진하겠다고 밝혔다. 전자금융거래법은 이미 전자금융사고에 대해 금융회사와 전자금융업자의 무과실 책임을 원칙으로 두고 있어, 소비자에게 책임을 포괄적으로 떠넘기기 어렵다.

방향은 분명하다. 사고가 나면 그 비용을 소비자가 아니라 사업자가 부담하는 구조가 강화되는 흐름이다. 이는 세 갈래로 실적에 스며든다. 사고를 막기 위한 보안 투자, 사고가 났을 때의 보상·카드 재발급 비용, 그리고 검사와 제재에 따른 규제 리스크다. 다만 이번 조치가 완전히 새로운 의무 입법인지, 기존 원칙을 재확인하고 집행을 강화하는 수준인지는 아직 명확히 정리되지 않았다.

어떤 기업이 더 영향을 받나

같은 PG·핀테크라도 충격은 균일하지 않다. 소비자는 자신의 결제가 어떤 PG사를 거치는지 대체로 알지 못한다. 쇼핑몰이 PG사와 계약해 결제 시스템을 붙이기 때문이다. 결국 브랜드 인지도보다 규제 노출과 사고 이력이 기업 가치에 더 직접적으로 작용한다.

이번 사고에서 드러난 약한 고리는 가맹점을 통한 우회 공격이었다. 토스페이먼츠 사례처럼 자사 시스템이 아니라 연동된 가맹점 쪽에서 정보가 새는 경로다. 보안 인력과 예산에 여유가 있는 대형 사업자는 규제 강화를 감내할 여력이 상대적으로 크지만, 중소 PG사나 가맹점 관리가 느슨한 곳은 사고와 제재에 더 취약하다. 규제 강화가 오히려 대형 사업자 중심의 재편을 부를 수 있다는 시각도 여기서 나온다.

투자 전 확인할 것

관련주를 들여다본다면 다음을 점검할 만하다.

• 사고 노출: 이번 검사 대상이거나 유사한 유출 이력이 있는지. 검사 결과에 따라 제재와 평판 비용이 뒤따를 수 있다.
• 보안 체력: 보안 투자 규모와 가맹점 관리 체계. 우회 공격 방어가 앞으로 실적 방어의 관건이 된다.
• 수익 구조: 결제 수수료 마진이 얇은 사업자일수록 보안·보상 비용 증가가 이익에 미치는 타격이 크다.
• 규제 일정: 전액보상과 보안 규제가 실제 법·감독 규정으로 어떻게 구체화되는지. 지금은 방침 단계여서, 확정 내용에 따라 부담의 크기가 달라진다.

정리하면 이번 국면은 결제·핀테크 업종에 비용 요인인 것은 맞지만, 그 부담은 회사마다 다르게 나타난다. 규제가 방침에서 구체적 규정으로 넘어가는 과정과 개별 기업의 사고 노출도를 함께 보는 편이 안전하다.

출처

1. 금융위, 결제대행사 긴급 보안점검…대규모 정보유출 막는다
2. 결제내역 4000여 건 유출…금감원, 토스페이먼츠 검사 착수
3. 인터넷뱅킹 해킹 책임 포괄적으로 소비자에게 전가 못 해
4. 결제대행업체 해킹에 뚫리는데…내 카드 정보 털렸는지도 깜깜