라인야후 CI [출처= 라인야후]
일본 정보기술 기업 라인야후가 운영하는 모바일 게임 서비스에서 이용자 식별정보 약 710만건이 외부 광고 플랫폼으로 유출되는 사고가 발생했다. 외부 해킹이 아닌 광고 분석 시스템 설정 오류로 발생한 사고로, 잘못된 정보 전송이 약 4년간 이어졌다는 점에서 내부 정보관리 체계에 대한 지적이 나올 것으로 보인다.
14일 교도통신과 라인야후 발표 등을 종합하면, 라인야후는 ‘라인 포코포코’, ‘라인 포코팡 타운’, 서비스가 종료된 ‘라인 포코팡’ 등 게임 3종에서 이용자를 구분하기 위해 사용하는 내부 식별자 약 710만건이 외부 광고 도구로 잘못 전송됐다고 밝혔다. 유출 기간은 2022년 5월부터 올해 4월 3일까지다.
유출된 정보는 이용자별로 부여된 무작위 문자열 형태의 내부 식별자다. 이용자의 이름과 주소, 신용카드 번호 등 직접적인 신원 확인이나 결제에 활용될 수 있는 민감정보는 포함되지 않은 것으로 파악됐다. 라인야후는 현재까지 유출 정보를 악용한 부정 이용이나 추가 피해 사례는 확인되지 않았다고 설명했다.
이번 사고는 2022년 5월 광고 표시와 효과를 분석하는 시스템의 설정을 변경하는 과정에서 발생했다. 본래 외부 광고 플랫폼으로 보낼 필요가 없던 내부 식별자가 파트너사의 광고 분석 도구로 함께 전송되도록 잘못 설정된 것이다. 외부 침입이나 해킹보다는 내부 시스템 구성과 검증 과정에서 발생한 관리상 오류에 가깝다.
라인야후가 문제를 인지한 시점은 올해 4월 1일이다. 라인야후는 잘못 전송된 사실을 확인한 뒤 관련 조사를 진행했고 현재는 해당 설정을 수정해 추가 전송을 중단한 상태다. 다만 오류가 처음 발생한 뒤 발견되기까지 약 4년이 걸렸다는 점에서 시스템 변경 이후 점검과 개인정보 흐름에 대한 상시 감시가 제대로 작동했는지를 둘러싼 논란은 피하기 어려울 전망이다.
일본 보안업계에서는 내부 식별자 기준으로 약 710만건, 중복을 제외한 실제 이용자 기준으로는 약 610만명이 영향을 받은 것으로 전해졌다. 직접적인 개인정보나 금융정보는 아니더라도 이용자 식별에 활용되는 정보가 외부 플랫폼으로 장기간 전송됐다는 점에서 데이터 관리 원칙과 최소 수집·전송 원칙을 다시 점검해야 한다는 지적이 나온다.
라인야후는 “이용자들에게 큰 심려와 불편을 끼쳤다”며 사과하고 재발 방지에 힘쓰겠다고 밝혔다.
댓글
0