라인야후 정보유출, 게임 이용자 610만명 식별자 4년간 샜다

4년 가까이 아무도 몰랐던 정보유출이 이제야 수면 위로 올라왔습니다. 네이버와 소프트뱅크가 절반씩 지분을 나눠 가진 지주사 A홀딩스 산하 라인야후(LY Corporation)가 운영하는 모바일 게임 3종에서, 이용자 구분용 내부 식별자 약 710만 건이 외부 광고 분석업체로 잘못 전송된 라인야후 정보유출 사실을 지난 7월 13일 공식 인정했습니다. 실제 영향을 받은 이용자는 약 610만 명으로 집계됐습니다.

라인야후 정보유출, 타임라인으로 정리하면

이번 사고는 해킹이 아니라 내부 설정 오류입니다. 그런데도 방치된 기간이 유독 길어 눈길을 끕니다.

• 2022년 5월: 게임 광고 효과를 측정하는 시스템 설정을 변경하는 과정에서, 외부로 보낼 필요가 없던 이용자 내부 식별자까지 광고 분석 도구로 함께 전송되도록 잘못 구성됨
• 2026년 4월 1일: 라인야후가 내부 점검 중 잘못된 전송 사실을 처음 인지
• 2026년 4월 3일: 문제가 된 설정을 수정하고 추가 전송 중단, 외부 광고업체에도 데이터 삭제 요청
• 2026년 7월 13일: 홈페이지를 통해 “LINE GAME 이용자 내부 식별자의 외부 전송에 관한 안내와 사과” 공식 발표

설정을 잘못 바꾼 시점부터 발견까지 3년 10개월, 발견부터 공개까지는 석 달이 걸린 셈입니다.

라인야후 게임 이용자, 무엇이 얼마나 새어나갔나

라인야후는 이름, 연락처, 결제정보처럼 곧바로 개인을 특정할 수 있는 정보는 전송 대상에서 빠졌다고 밝혔습니다. 외부 광고업체도 잘못 받은 데이터를 삭제했고, 현재까지 2차 피해 사례는 확인되지 않았습니다.

해킹 아닌 라인야후 정보유출, 왜 심각하게 봐야 할까

이번 사고의 무게는 유출된 정보의 민감도보다 ‘아무도 4년 가까이 몰랐다’는 사실에 있습니다. 시스템 설정을 바꾼 뒤 실제로 어떤 데이터가 외부로 나가는지 확인하는 절차, 승인되지 않은 항목이 섞여 들어가면 경고하는 통제 장치가 라인야후 내부에 없었다는 뜻이기 때문입니다.

광고 성과 측정을 위해 외부 SDK나 API를 연동하는 서비스는 흔합니다. 문제는 이 연동 과정에서 애초 예상하지 못한 내부 식별자나 이용 기록까지 함께 딸려 나갈 수 있다는 점입니다. 이름이 빠졌다고 안심할 일은 아닙니다. 내부 식별자도 다른 데이터와 결합되거나 장기간 추적에 쓰이면 이용자 행동을 구분하는 수단이 될 수 있습니다.

서비스가 이미 종료된 ‘라인 포코팡’까지 이번 조사 대상에 포함됐다는 점도 눈여겨볼 부분입니다. 운영이 끝난 서비스라도 광고 연동 기록과 이용자 식별정보, 외부 전송 경로가 남아있다면 언제든 같은 문제가 반복될 수 있습니다.

라인 게임 이용자가 지금 확인할 것

• 라인야후 공식 발표(7월 13일 공지)에서 자신이 이용(또는 과거 이용)한 게임이 라인 포코포코·포코팡·포코팡 타운에 해당하는지 확인한다.
• 유출된 것은 이름·연락처가 아닌 내부 식별자이므로, 비밀번호를 바꾸라는 문자나 전화가 온다면 라인야후를 사칭한 피싱일 가능성을 의심한다.
• 라인 앱이나 관련 게임에서 안내하는 공식 공지, 공식 홈페이지 외의 링크로 개인정보나 결제정보를 입력하지 않는다.
• 평소 사용하지 않는 게임 계정이라도 로그인 기록과 연동된 SNS·이메일 계정의 보안(2단계 인증 등)을 함께 점검한다.

필자 시사점

이번 사고가 보여주는 건 개인정보 보호가 ‘해킹 막기’로 끝나지 않는다는 사실입니다. 시스템 설정 변경, 광고 도구 연동, 서비스 종료 후 데이터 처리까지 정보가 이동하는 모든 경로를 지속적으로 확인해야 진짜 관리라고 할 수 있습니다. 이름이나 결제정보가 빠졌다고 해서 가볍게 넘길 사안은 아니며, 대형 플랫폼일수록 변경 하나가 수백만 명에게 영향을 미친다는 점을 라인야후 사례가 다시 보여줬습니다. 국내에도 네이버와 지분으로 얽힌 플랫폼인 만큼, 앞으로 개인정보보호위원회나 KISA가 국내 이용자 영향 여부를 추가로 확인할지 지켜볼 필요가 있습니다.

출처

• 라인야후, 게임 이용자 내부 식별자 710만건 외부 전송…설정 오류 4년간 몰랐다 – 데일리시큐