네이버 ‘라인’에 대한 일본 정부의 매각 압박, 어떤 일 있었나

라인, 지난해 11월과 올해 2월 부정 액세스에 의한 정보 유출 사고 발생
유출된 개인정보, 일본 유저 12만 9,894건 및 한국인 유저 17만 2,675건
라인, 최근 일본 개인정보보호위원회에 개인정보 유출 관련 보고서 제출

[보안뉴스 김영명 기자] 네이버 라인(LINE)에 대한 일본 정부의 매각 압력이 심각한 것으로 전해지고 있다. 이 같은 일본 정부의 압력과 관련해 일본에서는 최근 6개월새 라인이 두 차례에 걸쳐 개인정보 유출 사고가 발생한 데 따른 것이라고 설명하고 있다. 하지만 정작 그 배경은 다른 데 있다는 해석이 나오고 있다.

▲라인 야후가 최근 발표한 ‘3월 28일자 (일본)개인정보위의 권고 및 보고의 요구에 대한 보고서(개요)’의 번역본[자료=라인 홈페이지]

라인은 일본에서 무려 9,000만명이 사용하는, 우리나라 카카오톡와 같이 국민 메신저로 자리매김하고 있다. 라인은 2011년 6월에 네이버의 일본 법인인 네이버 재팬(현 라인 야후)에서 출시했다. 한국어 서비스는 같은해 8월 말부터 시작됐다. 현재 라인 야후의 지분 64.4%는 일본 소프트뱅크그룹과 네이버가 50:50으로 출자한 중간지주회사인 A홀딩스가 보유하고 있다.

라인 야후는 최근 ‘3월 28일자 (일본)개인정보보호위원회로부터의 권고 및 보고의 요구에 대한 보고서(개요)’라는 제목으로 일본 개인정보보호위원회에 제출한 보고서의 요약본을 발표했다.

해당 보고서에 따르면, 라인 야후는 2023년 11월 27일과 올해 2월 14일 등 두 번에 걸쳐 부정 액세스에 의한 정보 유출이 발생했다. 해당 사고는 네이버 클라우드 및 라인 야후의 위탁 기업의 PC가 악성코드에 감염돼 시작됐으며, 지난해 9월 14일부터 라인 야후 서버에 대한 무단 액세스가 시작됐다. 또한 같은해 10월 9일에는 네이버 클라우드의 시스템을 통해 라인 야후에 대한 제3자의 무단 접근이 이뤄졌다. 이번 무단 접근으로 인해 라인 야후의 사용자, 거래처 직원, 라인 야후 및 네이버 그룹의 임직원, 업무 위탁처 파견원 등의 개인정보가 유출됐다.

라인 야후는 2023년 11월 27일 ‘부정 액세스에 의한 정보 유출에 관한 공지와 사과문’을 홈페이지에 올렸다. 이에 따르면 유출이 확인된 개인정보는 총 30만 2,569건이며, 이 가운데 일본 유저는 12만 9,894건이라고 밝혔다. 이는 한국인 유저의 개인정보도 17만 2,675건이 유출된 것으로 해석할 수 있다. 이밖에도 거래처 등에 관한 개인정보가 총 8만 6,105건이 유출됐으며, 그 가운데 메일 주소는 8만 6,071건, 직원의 성명이나 소속 또는 메일 주소가 34건이었다.

내부 직원 등의 개인정보는 총 5만 1,353건이 유출됐는데, 여기에는 이름, 사원번호, 메일 주소 등이 포함됐다. 특히 네이버 및 네이버 그룹사의 개인정보는 2만 938건이 유출됐다고 밝혔다.

보고서에 따르면 외부 공격에 의한 부정 액세스를 확인 및 방어할 수 없었으며, 네이버 클라우드에 업무를 위탁해 구축한 시스템이 외부 공격에 의한 침입 경로로 활용돼 개인정보가 유출됐다. 또한 라인 야후는 다중요소인증(MFA)을 도입하지 않았으며, 유출 사고가 발생한 이후에도 사고와 관련한 사실관계의 조사 및 원인 규명이 신속하게 이뤄지지 않았다고 꼬집었다. 위원회는 보안에 대한 액세스 제어 등 기술적 안전관리 조치가 적절하지 못했으며, 개인 데이터 취급 상황의 파악 및 안전관리 조치와 유출 시 신속한 대응 조치가 미흡했기 때문에 이번 사건이 발생했다고 분석했다.

▲네이버 라인이 부정 액세스에 의한 정보 유출에 관한 공지와 사과문의 일부 번역본[자료=라인 홈페이지]

일본 개인정보보호위원회의 이러한 조치에 대해 라인 야후 측은 보안 리스크 평가 기준 재검토(3월 완료), 실효적인 위탁처 관리 실현을 위한 감독 방법의 검토 및 기준 책정(3월 기준 책정 완료, 이후 순차 시행), 안전관리 조치 및 사이버보안 대책 설정(1월 완료), 사이버 침해 유무 및 범위 파악(9월말 완료 예정), 네이버 클라우드 사와의 관계에 따른 리스크 관리 문제점 개선(6월 제도 설계 완료 예정 및 순차 시행), 사실 관례 조사 및 원인 규명 등 유출 시 대응태세 정비(5월 계획 입안 및 6월 외부 평가 이후 순차 시행) 등으로 조치를 시행하고 있다고 밝혔다,
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)