임시공휴일 휴장으로 서울 시장이 하루 숨을 고르는 오늘, 데스크는 폭락의 해부를 반복하는 대신 질문을 바꾼다. 시가총액의 절반 이상 — 약 52% — 이 반도체 두 종목에 걸려 있고, 상반기에만 외국인 자금 1,009억 달러가 빠져나갔으며, 올해 들어 사이드카가 37번 발동한 시장에서 — 반도체와 반대 방향으로 움직이는 이익은 어디에 있는가. 데스크의 답은 화려하지 않은 곳에 있다. 2027년부터 코스피·코스닥 전 상장사 약 1,700개사에 정보보호 공시가 의무화된다. 그리고 그 공시에 담길 숫자는 올해, 2026년의 지출이다.
워시 연준의 문법 — “한 번의 지표로는 임무 완수가 아니다”
거시의 눈으로 출발점을 확인하자. 지난 5월 취임한 케빈 워시 제17대 연방준비제도(Fed) 의장은 이번 변동성 국면의 가장 큰 배경 변수다. 6월 미국 소비자물가지수(CPI)와 생산자물가지수(PPI)가 둔화 신호를 보냈음에도, 워시 의장은 7월 의회 청문회에서 “단 한 번의 지표 호조로 임무 완수(Mission Accomplished)를 선언할 수 없다”고 일축하며 기저 인플레이션 진압을 최우선에 놓았다. 시장은 연내 금리 인하 기대를 대폭 걷어냈고, 일부 구간에서는 추가 인상 확률까지 가격에 반영하기 시작했다.
주목할 것은 수사(修辭)가 아니라 제도다. 워시 의장은 취임 직후 커뮤니케이션, 대차대조표, 데이터 분석, 생산성·고용, 인플레이션 프레임워크의 5개 태스크포스를 출범시켰다. 라구람 라잔 전 인도중앙은행 총재가 대차대조표를, 월마트 최고경영자 더그 맥밀런이 실물 빅데이터 반영을, 벤처투자자 마크 안드레센이 생산성·고용 분과를 맡는 구성이다. 이 가운데 생산성·고용 분과의 문제의식이 시장에 직격한다 — 빅테크의 인공지능(AI) 데이터센터 자본지출이 전력망 등 인프라의 공급 병목을 유발해 기저 인플레이션을 오히려 자극할 수 있다는 것이다. 여기에 중동 리스크 재점화로 브렌트유가 단일 세션에 10.76% 급등하며 물가의 상방 압력을 더했다.
한국 투자자에게 이 조합이 뜻하는 바는 분명하다. ‘고금리 장기화(Higher for Longer)’는 부채로 자금을 조달하는 하이퍼스케일러들의 프로젝트 수익률을 깎고, 미래 현금흐름에 더 높은 할인율을 요구한다. 성장주 밸류에이션의 분모가 커지는 국면 — 코스피 시가총액의 절반 이상(약 52%, 삼성전자 우선주까지 넓히면 55%에 육박)을 차지하는 반도체 투톱이 실적과 무관하게 리레이팅 압력을 받는 이유가 여기서 출발한다.
89조 4,000억 원의 역설 — 실적이 방패가 되지 못한 이유
밸류에이션 관점으로 넘어가면 이번 실적 시즌의 역설이 보인다. 삼성전자(005930)는 2분기 잠정실적으로 매출 171조 원, 영업이익 89조 4,000억 원을 공시했다. 전년 동기 대비 영업이익이 1,810% 폭증한 수치로, 반도체 부문 특별 성과급 충당금 약 15조 원을 반영하고도 엔비디아와 애플을 제친 분기 이익이다. 동력은 가격이다 — 범용 D램 평균판매가격(ASP)이 전 분기 대비 50%, 낸드플래시가 60% 뛰었다.
그런데 주가는 정반대로 갔다. 6월 37만 원대 고점을 밟았던 삼성전자는 13일 10.7% 급락에 이어 16일에도 폭락을 거듭하며 25만 3,000원대까지 되밀렸다. SK하이닉스(000660)는 13일 하루에 15.4% — 역사상 최대 낙폭 — 를 기록했고, 한국투자증권 등 주요 기관은 2분기 영업이익 추정치를 시장 컨센서스(65조 원)보다 낮은 60조 4,000억 원으로, 2026년과 2027년 전망치를 각각 9%, 11% 하향했다. 전염은 국경을 넘었다. 마이크론(MU) -8%, 샌디스크 -12.6%, 엔비디아 -4%로 이어진 투매 속에 필라델피아 반도체 지수는 단일 세션 7.9% 폭락했고, 글로벌 반도체 섹터에서 며칠 새 약 1조 3,000억 달러의 시가총액이 증발했다.
역대급 이익과 역대급 낙폭의 동거를 설명하는 열쇠는 시장이 무엇을 가격에 반영하는가다. 시장은 후행 지표인 ‘경이적인 과거 이익’이 아니라 선행 지표인 ‘모멘텀의 방향’을 산다. 메모리 가격 상승이 이번 분기를 정점으로 둔화된다는 선반영 논리, 2027~2028년 신규 공급 능력 확충이 몰고 올 공급 과잉 우려, 그리고 AI 인프라 지출 대비 수익화 속도가 감가상각을 따라가지 못한다는 회의론이 겹치며 — 밸류에이션의 분자(이익 전망)와 분모(할인율)가 동시에 불리해졌다. 실적이 나빠서가 아니라 실적의 미래가 재산정되는 국면, 이것이 이번 투매의 실체다.
상반기 1,009억 달러 이탈 — 그런데 환율은 내렸다
수급의 눈으로 보면 숫자는 더 무겁다. 올해 상반기(1~6월) 코스피에서 빠져나간 외국인 투자 자금은 1,009억 3,000만 달러, 원화 환산 약 156조 3,103억 원으로 관련 통계 작성 이래 최대다. 7월 들어서도 한 달이 안 되는 사이 47조 원에 가까운 순매도가 이어졌고, 변동성이 극에 달한 7월 1~14일에는 삼성전자와 SK하이닉스 두 종목에서만 13조 1,061억 원어치를 팔았다. 배경은 셋이다 — 고대역폭 메모리(HBM) 랠리로 급등한 반도체 비중의 차익 실현, 글로벌 벤치마크 내 한국 비중의 구조적 축소, 그리고 미국 고금리가 만든 신흥국 자산의 상대 매력 저하.
그런데 과거의 공식과 어긋나는 대목이 있다. 이 정도의 ‘셀 코리아’라면 원화가 밀렸어야 한다. 실측은 반대다. 원/달러 환율은 7월 초 1,548원대에서 16일 1,478원대까지 2주간 약 70원을 내리 하락했고, 코스피가 8.95% 폭락한 13일에도, 매도 사이드카가 발동된 16일에도 하락 흐름을 지켰다. 데스크가 전날 칼럼에서 짚었듯 원화 외환시장의 24시간 개방으로 위기일의 수급 공백이 얕아졌고, SK하이닉스가 미국주식예탁증서(ADR) 상장으로 조달한 약 265억 달러의 원화 환전 대기 물량이 달러 공급을 두껍게 만든 구조 효과다. 역대급 주식 매도가 환율을 흔들지 못하는 시장 — 충격은 이제 환이 아니라 지수의 변동성으로 응축된다.
리스크 데스크의 렌즈로 번역하면 이렇다. 올해 코스피 사이드카 37회(코스닥 22회), 7월 13일의 서킷브레이커, 6월 22일 종가 사상 최고점 9,114.55 대비 25%가 넘는 하락 — 이 기형적 변동성의 뿌리는 환율도 금리도 아닌 집중도다. 두 종목이 시가총액의 절반 이상을 차지하는 지수는, 글로벌 반도체 센티먼트가 흔들리는 날 통째로 흔들릴 수밖에 없다. 그렇다면 질문은 하나로 좁혀진다. 이 집중 리스크와 상관관계가 낮은, 아니 가능하면 무관한 이익은 어디서 자라는가.
크라우드스트라이크의 유산 — 보안이 ‘생존 인프라’가 되기까지
그 답을 찾기 위해 시계를 2024년 7월 19일로 돌린다. 엔드포인트 보안 기업 크라우드스트라이크의 센서 업데이트에 포함된 ‘채널 파일 291’의 논리 오류 하나가 전 세계 850만 대의 마이크로소프트 윈도우 기기를 블루스크린에 빠뜨렸다. 사이버 공격이 아닌 품질 관리 실패였음에도 항공·의료·금융이 연쇄 마비됐고, 포춘 500대 기업에서만 약 54억 달러의 직접 손실이 발생했다. 이 사건이 남긴 교훈은 역설적이었다 — 전 세계 IT 인프라가 특정 소프트웨어에 절대적으로 의존하는 ‘단일 문화(Monoculture)’의 취약성이 드러나자, 기업들은 보안 예산을 줄이는 대신 보안 인프라의 다원화와 ‘제로 트러스트(Zero Trust)’ 아키텍처 도입에 예산을 강제 배정하기 시작했다. 일시 폭락했던 크라우드스트라이크, 센티넬원, 지스케일러, 사이버아크 등 글로벌 보안 기업 주가가 기업간거래(B2B) 잠금 효과를 증명하며 회복한 것이 그 방증이다.
위협의 지형은 그 뒤로 더 가팔라졌다. 미국 연방수사국(FBI) 인터넷범죄신고센터 집계로 AI 관련 사기 피해액은 연간 8억 9,000만 달러를 넘어섰고, 글로벌 엔지니어링 기업 아룹은 재무 책임자를 사칭한 딥페이크 화상회의에 속아 2,500만 달러를 송금했다. 공격의 문법 자체가 바뀌었다 — 보안 기업 소포스의 2026년 랜섬웨어 보고서에 따르면 전체 공격의 79%가 계정 탈취·자격증명 도용에서 시작됐고, 전통적인 취약점 악용은 18%로 밀려났다. 다중인증(MFA)을 도입한 기업의 97%조차 인증의 사각지대를 통해 뚫렸다. 방어의 초점이 시스템에서 ‘신원(Identity)’으로 이동했다는 뜻이고, 이는 곧 보안 지출이 일회성 설치가 아니라 반복적·구조적 지출로 바뀌었다는 뜻이다.
한국 투자자가 여기서 읽어야 할 것은 개별 사건이 아니라 지출의 성격 변화다. 사이버 보안은 이익을 내기 위한 선택적 투자에서, 매주 메가톤급 유출 사고가 보도되는 세계의 ‘생존 인프라’로 격상됐다. 경기가 나빠도 깎기 어려운 예산 — 반도체 자본지출과는 정반대의 경기 민감도를 가진 지출이다.
2027년 정보보호 공시 의무화 — 1,700개 상장사의 시계가 돌기 시작했다
그리고 한국에는 글로벌 트렌드에 없는 촉매가 하나 더 있다. 규제의 강제성이다. 과학기술정보통신부는 정보보호산업법 시행령을 개정해 2027년부터 코스피·코스닥 전 상장사에 정보보호 공시를 의무화했다. 기존 제도의 대상은 ‘매출액 3,000억 원 이상’ 또는 ‘일평균 이용자 100만 명 이상’인 약 700개사였다 — 개정안은 매출 기준을 폐지하고 공공기관·금융회사·소기업 예외 조항을 삭제해 대상을 약 1,700개 전 상장사로 넓혔고, 정보보호 관리체계(ISMS) 인증 의무가 있는 대학·종합병원까지 신규 편입했다.
공시 항목이 지출을 강제하는 구조를 뜯어보자. 기업은 정보보호 투자액과 그 상세 내역, 전담 인력 규모와 운영 체계, ISMS 등 인증 취득 현황, 그리고 이사회 보고·모의해킹 결과 같은 내부 활동 증적까지 공개해야 한다. 여기서 시간표가 결정적이다 — 2027년에 공시하려면 직전 연도인 2026년의 재무·보안 운영 데이터가 축적되어 있어야 한다. “누가 언제 개인정보에 접근해 무엇을 내려받았는가”를 입증할 감사 증적을 지금부터 쌓아야 한다는 뜻이고, 이를 위한 내부망 접근제어(NAC), 통합 계정관리(IAM), 데이터 유출 방지(DLP), 보안관제(SIEM) 시스템 도입은 미룰 수 있는 지출이 아니다. 공시 미이행 과태료는 1,000만 원 이하로 가볍지만, 공시가 ‘보안 성적표’로 기능하는 순간 ESG 평가와 투자자 신뢰라는 자본시장의 벌점이 과태료를 대체한다.
수급 관점에서 이것은 약 1,000개 기업이 한꺼번에 신규 고객으로 편입되는 캡티브 마켓(captive market)의 탄생이다. 안랩(053800), 지니언스(263860), 샌즈랩(411080)을 비롯한 국내 보안 기업들의 매출처가 정부 규제 스케줄에 의해 계약서로 보장되는 구조 — 이 이익의 원천은 연준의 금리에도, 하이퍼스케일러의 자본지출에도, 원/달러 환율에도 걸려 있지 않다. 반도체가 수출 중심의 외부 매크로 민감형 자산이라면, 국내 보안주는 내수 의무 지출형 자산이다. 실제로 이번 조정장에서 외국인과 기관의 매수세가 향한 곳은 금융·방산과 함께 사이버 보안이었고, 주요 보안주들은 지수 폭락 구간에서 뚜렷한 하방 경직성을 보였다. 다만 균형을 위해 적어두면 — 이들 대부분은 시가총액이 작은 중소형주라 테마 수급에 따른 자체 변동성이 크고, 규제발 수요가 실제 매출과 이익으로 번역되는 데는 분기 단위의 시차가 있다. 구조적 순풍과 종목 단위의 검증은 별개의 작업이다.
데스크 판단 — 쏠림의 반대편에 두는 바벨
본 칼럼 분석의 종합 견해는 이렇다. 거시 관점에서 워시 연준의 고금리 장기화는 반도체·하드웨어 성장주의 할인율 부담을 당분간 상수로 만들고, 수급 관점에서 상반기 1,009억 달러의 외국인 이탈과 37회의 사이드카는 지수의 반도체 집중이 만드는 변동성이 구조적임을 보여준다. 리스크 관점에서 이 시장에 필요한 것은 방향 예측이 아니라 상관관계 관리다 — 높은 밸류에이션 부담을 안은 반도체 한 팔의 반대편에, 매크로와 디커플링된 정책 강제형 내수 이익(사이버 보안, 그리고 성격이 유사한 방산·배당 금융)을 다른 한 팔로 얹는 바벨 구조가 이 국면의 합리적 대응이라는 것이 데스크의 판단이다. 이는 반도체의 포기가 아니다 — 89조 원의 이익이 증명하듯 펀더멘털은 살아 있고, 문제는 그 이익에 시장이 지불하려는 배수가 재산정되는 과도기라는 점이다.
데스크가 추적하는 변수는 다섯이다. 첫째, 외국인의 삼성전자·SK하이닉스 순매도 중단 여부 — 갈아타기와 리밸런싱 수급의 소진을 알리는 첫 신호다. 둘째, 워시 연준의 차기 연방공개시장위원회(FOMC)와 5대 태스크포스의 중간 산출물 — 연내 인하 기대의 복원 여부가 성장주 할인율의 방향을 정한다. 셋째, 정보보호 공시 의무화의 하위 고시·가이드라인 확정 일정 — 대상 기업들의 2026년 보안 예산 편성이 실제로 움직이는 시점이다. 넷째, 국내 보안 기업들의 2분기 실적과 수주 공시 — 규제 테마가 이익으로 번역되는 속도의 첫 검증대다. 다섯째, 하이퍼스케일러의 3분기 자본지출 가이던스 — AI 과잉투자 회의론이 실측으로 확인되는지, 기우로 판명되는지가 반도체 반등 탄력의 상한을 정한다.
장기적으로 이번 국면은 한국 시장에 오래 미뤄온 질문을 되돌려준다. 지수의 절반을 두 종목에 맡긴 시장에서 분산은 취향이 아니라 생존의 문제다. 2027년 첫 정보보호 공시가 게시되는 날, 1,700개 상장사의 보안 성적표와 함께 — 그 지출의 반대편에서 이익을 쌓은 기업들의 명단도 함께 공개될 것이다.
본 칼럼은 2026년 7월 17일까지 공개된 국내외 언론 보도, 정부 발표 및 시장 데이터를 기초로 데스크가 자체 분석한 것이다. 인용된 수치는 각 출처의 발표 시점 기준이고, 코스피 시가총액 비중은 7월 16일 종가 기준 데스크 실측이며, 특정 종목·상품의 매수 또는 매도를 권유하지 않는다.