라인야후 네이버클라우드발 개인정보 51만 건 유출 사건

2023년 9월 14일 네이버클라우드 위탁업체 직원의 업무용 PC가 악성코드에 감염되면서 이번 대규모 개인정보 유출 사건의 발단이 마련됐다. 네이버클라우드와 라인야후는 일부 직원용 인증 기반 시스템을 공유하고 있었는데, 이 공통 인증 체계가 훗날 공격자의 침투 경로로 악용됐다. 당시에는 단순한 협력사 PC 악성코드 감염 사고로 여겨져 별다른 경보가 발령되지 않았다. 그러나 이 사고가 한 달여 뒤 라인야후 내부 시스템에 대한 무단 접근으로 이어지는 교두보가 됐다는 사실은 이후 조사 과정에서야 드러났다. 보안업계는 협력사·위탁업체를 노린 공급망 공격의 전형적 사례로 이 사건을 지목했다.

2023년 10월 9일 익명의 제3자가 감염된 협력사 PC를 통해 네이버클라우드 시스템을 경유, 라인야후의 내부 시스템에 무단으로 접근하는 데 성공했다. 네이버와 라인야후가 공용으로 사용하던 인증 기반이 공격자에게 라인야후 내부망 진입 통로를 제공한 것으로 뒤늦게 확인됐다. 공격자는 이 접근 권한을 이용해 상당 기간 라인야후 서버 내부에서 탐지되지 않은 채 활동을 이어간 것으로 파악됐다. 이 단계에서는 라인야후 측도 침해 사실을 인지하지 못한 상태였다. 이후 이 무단접근으로 라인 이용자 개인정보가 대량으로 유출된 사실이 뒤늦게 확인되면서 사태의 심각성이 드러났다.

라인야후는 2023년 11월 17일경 내부 보안 모니터링 과정에서 시스템 이상 징후를 포착하고 자체 조사에 착수한 것으로 알려졌다. 조사 결과 9월 협력사 PC 감염과 10월 무단접근이 하나의 연결된 공격 체인이었다는 사실이 드러났다. 라인야후는 유출 가능성이 있는 개인정보 항목과 규모를 파악하기 위해 긴급 대응팀을 구성했다. 일본 개인정보보호위원회와 관계 당국에도 사고 발생 사실을 비공식적으로 사전 보고한 것으로 전해졌다. 이 시점부터 라인야후는 공식 발표를 준비하는 한편 추가 피해를 막기 위한 접근 차단 조치에 나섰다.

라인야후는 2023년 11월 27일 네이버클라우드를 경유한 해킹으로 이용자 개인정보 약 44만 건이 유출됐다고 공식 발표했다. 이후 추가 조사에서 유출 규모는 약 51만9000건까지 확대 집계되며 일본 최대 메신저 서비스의 이용자 정보 보호 체계에 큰 구멍이 뚫렸음이 드러났다. 유출된 정보에는 이용자 개인정보와 함께 일부 거래처 정보도 포함된 것으로 파악됐다. 일본 사회는 자국 국민 다수가 이용하는 국민 메신저에서 벌어진 대규모 유출 사고에 큰 충격을 받았다. 이 발표를 계기로 라인야후와 네이버 간 시스템 공유 구조 자체에 대한 근본적 문제 제기가 시작됐다.

2023년 12월 라인야후는 유출 원인에 대한 확대 조사 결과와 함께 재발방지 대책을 발표했다. 네이버클라우드와 공유하던 인증 기반 시스템을 분리하고 접근 권한 관리 체계를 전면 재점검하겠다는 방침을 밝혔다. 그러나 이 발표는 근본적인 지배구조·기술 분리 없이는 유사 사고가 재발할 수 있다는 지적을 잠재우지 못했다. 일본 언론과 정치권에서는 네이버가 라인야후 지분과 기술 인프라에 깊이 관여하고 있는 구조 자체가 보안 취약점이라는 비판이 확산됐다. 이 무렵부터 일본 정부 내에서도 네이버와의 자본·기술 관계를 재검토해야 한다는 목소리가 커지기 시작했다.

일본 총무성은 2024년 3월 5일 라인야후에 대해 개인정보 유출 사고 재발방지를 명분으로 한 행정지도를 내렸다. 총무성은 라인야후에 네이버와의 자본 관계를 포함한 위탁·업무 관계 전반을 재검토하라고 요구하며 이례적으로 특정 외국계 주주와의 관계 축소를 공식 문서로 명시했다. 이는 단순한 보안 개선 권고를 넘어 기업 지배구조에 직접 개입하는 조치로 받아들여지며 국내외에서 큰 파장을 일으켰다. 네이버는 이번 행정지도가 보안 사고를 명분으로 한 과도한 경영 개입이라는 우려를 내부적으로 제기한 것으로 전해졌다. 이 조치는 이후 네이버 지분 매각 압박 논란으로 확산되는 출발점이 됐다.

일본 총무성은 2024년 4월 16일 라인야후에 두 번째 행정지도를 내리며 한국 네이버의 지분을 추가로 줄이라고 재차 요구했다. 한 달여 만에 같은 사안으로 두 차례나 행정지도가 내려진 것은 이례적으로, 일본 정부가 보안 사고를 계기로 사실상 기업의 자본 구조 재편을 압박하고 있다는 해석에 힘이 실렸다. 이에 따라 라인야후 지주사 지분을 네이버와 동일하게 50%씩 보유한 소프트뱅크가 네이버 보유 지분을 추가 매입하기 위한 협의에 나선 것으로 알려졌다. 한국 정부와 여론은 개인정보 유출이라는 보안 사고를 빌미로 한 사실상의 '기업 뺏기'라며 강하게 반발했다. 이 사안은 이후 한일 양국 간 외교 현안으로까지 비화됐다.

라인야후는 2026년 4월 16일 네이버와 공유해오던 인증·인프라 시스템의 기술적 분리 작업을 완료했다고 발표했다. 2023년 해킹 사고로 촉발된 총무성의 두 차례 행정지도 이후 약 2년에 걸쳐 진행된 시스템 재구축 작업이 마무리되며 두 회사는 사실상 '기술적 결별'을 선언했다. 이번 분리로 향후 네이버클라우드를 경유한 공급망 공격 위험은 구조적으로 차단됐다는 평가가 나왔지만, 동시에 라인야후와 네이버의 오랜 기술 협력 관계도 사실상 종료됐다. 라인야후는 이번 조치가 이용자 개인정보 보호 수준을 한층 강화하는 계기가 될 것이라고 밝혔다. 이로써 2023년 11월 유출 사고로 시작된 일련의 사태는 시스템 분리라는 형태로 일단락됐다.