소니 플레이스테이션 네트워크(PSN) 대규모 해킹 사태

2011년 4월 19일 소니는 플레이스테이션 네트워크(PSN) 서버 시스템에서 외부의 비정상적인 접근 흔적을 포착했다. 조사 결과 공격자가 내부 시스템에 침투해 사용자 데이터베이스 일부를 무단으로 외부에 반출한 정황이 확인됐다. 소니는 피해 범위를 정확히 파악하지 못한 상태에서 곧바로 PSN과 관련 온라인 서비스를 전면 차단했다. 이로 인해 전 세계 7700만 PSN 가입자가 온라인 게임 접속, 계정 로그인, 콘텐츠 구매 등 모든 기능을 이용할 수 없게 됐다. 서비스 중단은 이후 20일 넘게 이어지며 콘솔 게임 역사상 최장기간 온라인 서비스 마비 사례로 기록됐다.

소니는 침입을 감지한 지 6일이 지난 4월 26일에야 공식 블로그를 통해 이름, 주소, 생년월일, 이메일, PSN 로그인 정보와 비밀번호 등 7700만 명의 개인정보가 해커에게 노출됐을 가능성이 있다고 발표했다. 회사는 신용카드 정보 유출 여부는 아직 확인되지 않았다고 밝혔지만 이용자들의 불안은 빠르게 확산됐다. 특히 소니가 침해 사실을 인지한 뒤에도 일본에서 신제품 태블릿을 예정대로 공개하며 공지를 미뤘다는 정황이 드러나면서 은폐·지연 의혹이 거세졌다. 리처드 블루먼솔 미국 상원의원 등은 소니의 늑장 공지를 강하게 비판하며 법무부 차원의 조사를 요구했다. 이 사건은 이후 기업의 침해 고지 의무와 대응 속도를 둘러싼 각국 규제 논의의 대표 사례로 인용된다.

소니는 5월 2일 자회사 소니온라인엔터테인먼트(SOE)가 운영하는 별도 게임 서비스에서도 약 2460만 개 계정의 개인정보가 추가로 유출됐다고 발표했다. 이 중 일부 이용자는 은행 계좌번호나 직불카드 정보까지 노출된 것으로 확인돼 피해 규모가 PSN 단일 사건을 넘어 소니 그룹 전체로 확산됐다. 결과적으로 두 서비스를 합쳐 1억 건이 넘는 계정 정보가 위험에 노출된 것으로 집계되며, 당시 기준 세계 최대 규모의 온라인 서비스 개인정보 유출 사건으로 기록됐다. 소니는 SOE 서비스도 추가로 중단하고 별도 조사에 착수했다. 사건은 게임업계 전반에 보안 투자 부족 문제를 환기시키는 계기가 됐다.

소니는 5월 14일 미국을 시작으로 국가별로 PSN 서비스를 순차 재개했다고 발표했다. 완전한 정상화까지는 지역에 따라 최대 한 달가량이 더 걸렸으며, 일부 지역은 별도 보안 점검을 거친 뒤에야 서비스가 복구됐다. 소니는 재발 방지를 위해 새로운 데이터센터 구축, 암호화 강화, 침입 탐지 시스템 도입 등 대규모 보안 인프라 투자를 단행했다고 밝혔다. 24일에 달하는 서비스 중단 기간 동안 이용자들은 온라인 멀티플레이, 콘텐츠 구매, PS스토어 이용이 전면 불가능했다. 이는 콘솔 게임 역사상 최장기간 온라인 서비스 마비 사례로 남았다.

소니는 서비스 재개와 함께 전 세계 PSN 가입자에게 무료 게임 2종 선택 다운로드, 플레이스테이션 플러스 30일 무료 이용권, 1년간 신원 도용 방지 보험 등을 포함한 '웰컴 백' 보상 패키지를 제공한다고 발표했다. 회사는 별도로 미국 이용자에게 1년 무료 개인정보 도용 모니터링 서비스도 지원했다. 그러나 다수 이용자와 소비자 단체는 실질적 피해에 비해 보상 수준이 미흡하다고 지적하며 집단소송을 준비했다. 소니는 이번 사고로 조사·복구·고객지원·소송 대응 등에 총 1억7100만달러(약 2000억원) 이상의 직접 비용이 발생했다고 회계연도 실적에서 공개했다. 해당 비용은 이후 수년간 이어진 각국 규제 조사와 소송 비용을 포함하지 않은 1차 추산치였다.

영국 개인정보보호 감독기구인 정보위원회(ICO)는 2013년 1월 24일 PSN 해킹 사건과 관련해 소니컴퓨터엔터테인먼트유럽에 25만 파운드(약 4억원)의 과징금을 부과했다고 발표했다. ICO는 소니가 이용자 비밀번호를 충분히 안전하게 암호화하지 않는 등 데이터보호법상 요구되는 최소한의 보안 조치를 소홀히 했다고 지적했다. 소니는 해당 처분에 불복해 항소했으나, 이는 유럽에서 게임업계 최초로 부과된 개인정보보호 관련 대형 과징금 사례로 기록됐다. 이 결정은 이후 유럽연합 일반개인정보보호법(GDPR) 도입 논의에서 플랫폼 기업의 보안 책임을 강화해야 한다는 근거로 자주 인용됐다. 사건을 계기로 세계 각국 게임사들은 이용자 비밀번호 해시·암호화 표준을 대폭 강화했다.

미국 캘리포니아 연방법원은 2014년 7월 11일 PSN 해킹 피해자들이 제기한 집단소송에 대해 소니가 제시한 1500만달러 규모의 합의안을 예비 승인했다. 합의안은 피해자들에게 무료 게임과 온라인 화폐, 신원도용 피해 발생 시 최대 일정 금액까지 실비 보상을 제공하는 내용을 담았다. 이는 소니의 기존 '웰컴백' 패키지에 참여했는지 여부에 따라 보상 옵션이 달라지는 복잡한 구조로 설계됐다. 원고 측 변호인단은 이번 합의가 완전한 배상은 아니지만 대규모 집단소송으로는 이례적으로 신속하게 도출된 결과라고 평가했다. 최종 승인까지는 이의 제기 절차 등을 거쳐 약 2년이 더 소요됐다.

2016년 4월 미국 법원은 PSN 해킹 관련 집단소송 합의안에 대한 최종 승인을 내리며 5년 가까이 이어진 법적 절차를 마무리했다. 이로써 소니는 미국 내 피해자들에 대한 배상 절차를 공식적으로 완료했으며, 별도로 진행된 영국 ICO 과징금 및 각국 규제 조사도 이 시점까지 대부분 종결됐다. 이 사건은 이후 게임·엔터테인먼트 업계 전반에서 대규모 이용자 데이터를 다루는 플랫폼 기업들이 침해 대응 체계와 신속한 공시 절차를 재정비하는 계기가 됐다. 소니 역시 이후 사이버보안 전담 조직을 신설하고 정기적인 외부 보안 감사를 도입했다. PSN 해킹 사건은 오늘날까지도 온라인 플랫폼 보안 실패의 대표 사례로 각종 보안 교육 자료에 인용되고 있다.