온라인 결제 시장의 핵심 축을 담당하는 전자결제대행사(PG사)에서 해킹 사고가 발생하면서 금융당국이 고강도 감독 체계에 들어갔다. 최근 페이허브에서 외부 송금 API 취약점을 노린 해킹으로 정산대금 2억 원이 유출되자, 당국은 전 금융권을 대상으로 외부 접점 보안 실태 전수 점검을 시작했다. 더불어 2026년 12월 시행을 앞둔 개정 전자금융거래법은 PG사의 자본금 기준과 정산자금 관리 규제를 대폭 강화한다. 이번 법 개정과 감독 강화가 결제 산업과 주식 시장에 미칠 영향을 짚어본다.

PG사 해킹 사고와 금융당국의 대응

결제대행업체 페이허브에서 외부 송금 API의 보안 취약점을 악용한 해킹 사고가 발생했다. 이 사고로 2억 원에 달하는 정산대금이 비정상적으로 이체되며 시스템 안전성 부실이 드러났다. API는 프로그램 간 통신을 연결하는 핵심 접점이지만, 인증 절차나 보안 통제가 미흡할 경우 금융 자금이 빠져나가는 통로로 악용된다. 사고 직후 금융감독원은 페이허브에 대한 현장 점검 기간을 연장하고 원인 규명과 피해 방지 조율에 착수했다.

이번 사태를 계기로 금융당국은 전자금융거래법이 적용되지 않던 업권까지 검사 범위를 넓혔다. 가상자산사업자와 온라인투자연계금융업자, 대부업, 법인보험대리점 등 제도권 금융의 사각지대에 있던 외부 접점 시스템 전반을 전수 점검한다. 자금 피해 가능성이 높은 외부 통로를 우선 점검하며, 안전성이 확보될 때까지 외부 접근을 원칙적으로 차단하는 조치를 적용한다.

아울러 당국은 금융회사 최고경영자를 포함한 경영진의 보안 관리 책임을 엄중히 묻는다. 기본 보안 통제를 소홀히 하거나 보안 취약점을 방치해 사고가 발생하면 해당 기업 매출액의 3%에 이르는 징벌적 과징금을 부과하는 전자금융거래법 개정안 통과도 추진 중이다.

PG사 해킹 사고와 금융당국의 대응 관련 사진

사진: Tyler · Unsplash

개정 전자금융거래법의 주요 규제

2026년 12월 17일부터 시행되는 개정 전자금융거래법은 PG업계의 재무 건전성과 이용자 자금 보호를 한층 강화한다. 핵심은 정산자금 외부관리 의무화다. PG업자가 판매자에게 지급해야 하는 정산금이나 이용자 환불금은 신탁이나 예치, 지급보증보험 방식으로 관리해야 한다. 외부 관리 비율은 개정법 시행 후 1년 내에는 60% 이상, 2년 내에는 80% 이상, 2년 경과 시 100% 이상으로 단계별로 상향된다.

PG업 등록과 유지를 위한 자본금 기준도 크게 높아진다. 분기별 전자금융거래 총액이 300억 원을 초과하는 PG업자의 최소 자본금 요건은 기존 10억 원에서 20억 원으로 상향 조정된다. 자본력이 미흡한 영세 업체가 무리하게 결제 규모를 늘리는 행위를 제한하고 재무 기반을 다지도록 유도하는 취지다.

지배구조 투명성을 높이기 위해 대주주 변경 관련 절차도 신설되었다. 전자금융업자의 대주주가 바뀌면 사유 발생일로부터 15일 이내에 금융위원회에 변경 허가를 받거나 등록 절차를 완료해야 한다. 대주주 적격성 검증을 통해 부실 자본의 시장 진입을 차단하려는 목적이다.

2026년 12월 시행되는 개정 전자금융거래법은 정산자금 외부관리 의무화와 자본금 요건 상향을 골자로 한다.

정산금 유용 처벌과 제재 강화

개정 법률은 PG업자의 정산금 유용 행위에 대해 강력한 처벌 조항을 마련했다. PG업자가 별도로 관리해야 하는 선불충전금이나 외부 관리 정산금을 회사 운영비 등 다른 목적으로 유용하다 적발되면 10년 이하의 징역 또는 1억 원 이하의 벌금에 처해진다. 과거 정산금 돌려막기 등으로 발생했던 자금 은닉과 연쇄 부도 위험을 형사처벌 규정으로 강력히 억제한다.

경영지도기준을 준수하지 않는 업체에 대한 당국의 제재 수위도 단계적으로 강화된다. 형사처벌과 별개로 금융위원회는 기준 미달 전자금융업자에게 시정조치를 요구할 수 있다. 이를 이행하지 않을 경우 시정요구, 영업정지, 등록취소 처분이 순차적으로 적용된다.

건전한 경영 확립을 위한 공시 의무도 신설된다. PG업자는 경영지도기준 준수 현황과 정산자금 외부관리 비율, 정산주기 등을 분기별로 공시해야 한다. 결제수수료는 반기별로 공시되어 이용자와 가맹점이 각 업체의 건전성과 거래 조건을 쉽게 비교할 수 있게 된다.

PG업자가 별도 관리하는 자금을 다른 목적으로 사용하면 형사처벌과 영업정지 등 강력한 제재를 받는다.

개인 투자자를 위한 시사점

강화되는 전자금융거래법 규제는 PG업계 전반에 구조조정 압박을 더한다. 정산자금을 최대 100%까지 외부 관리하고 최소 자본금을 20억 원 이상 확보해야 하는 규정은 재무 구조가 취약한 중소형 PG사에 부담이 된다. 규제 준수 비용이 늘어남에 따라 자본력을 갖춘 대형 PG사 위주로 시장 재편이 가속화될 수 있다.

보안 관리 실태와 법적 리스크도 상장 핀테크 기업의 주가를 가르는 핵심 변수로 작용한다. 외부 API 취약점을 제때 보완하지 못해 보안 사고가 터지면 매출액 3% 수준의 과징금과 영업정지 처분이라는 재무적 타격을 입게 된다. 투자자는 해당 기업의 외형 성장세뿐 아니라 내부 보안 통제 체계가 제대로 작동하는지 점검해야 한다.

개인 투자자는 개별 전자금융업자의 규제 대응 능력과 재무 안정성을 선별해 접근해야 한다. 분기별 공시 자료를 활용해 정산자금 외부 관리 비율과 경영지도기준 준수 여부를 확인하고, 과징금이나 영업정지 리스크에서 자유로운 우량 기업 중심으로 투자 비중을 조절하는 전략이 타당하다.

개인 투자자를 위한 시사점 관련 사진

사진: Maxim Hopman · Unsplash

참고