라인야후, 감염된 NCP 직원 PC 통해 사이버 공격받아
민감한 개인정보 누출은 없지만, 추가 피해 가능성 有
NCP, '가장 안전한 클라우드 플랫폼을 지향’한다더니

네이버와 일본 소프트뱅크그룹의 경영통합으로 결정된 일본 업체 라인야후(LINE야후)가 사이버 공격을 받았다. 이로 인해 라인 애플리케이션 이용자 연령 및 성별, 구매이력, 거래처 종업원 성명과 이메일 주소 등 개인 정보 44만 건이 유출된 것으로 알려졌다. 이번 사이버 공격이 한국 네이버클라우드플랫폼(NCP)에서 비롯된 것으로 전해져 NCP도 책임을 피하기 쉽지 않을 것으로 보인다.

라인야후 해킹, 개인정보 44만 건 유출

27일 일본 니혼게이자이신문(닛케이), 니혼테레비 등의 보도에 따르면 최근 네이버의 일본 관계사인 라인야후에서 약 44만 건의 개인정보가 유출됐다. 이 가운데 30만 건은 일본 국민 대화 앱인 ‘라인’ 이용자와 관계됐지만 다행히 메시지 내용이나 은행 계좌, 신용카드 정보 등의 유출은 확인되지 않은 것으로 밝혀졌다. 라인야후 측 관계자는 "이용자와 사업자 정보를 이용한 2차 피해가 발생했는지는 아직 보고된 바 없다”면서도 “추가 피해 가능성이 있는 만큼 개인들의 각별한 주의가 필요하다”고 전했다.

닛케이에 따르면 이번 유출 사고는 지난달 9일 라인야후 관계사인 NCP의 협력사 직원 PC가 악성코드에 감염되면서 이뤄진 것으로 추정된다. 라인야후와 네이버는 일부 직원용 시스템에서 인증 기반을 공통으로 사용하고 있는데, 이 인증 기반이 사이버 공격의 실마리가 됐다는 분석이다.

아울러 닛케이는 이전에도 라인야후가 개인정보 취급 문제로 몸살을 앓은 적이 있다고 지적했다. 닛케이에 따르면 라인야후는 지난 2021년 3월 소프트뱅크 자회사 Z홀딩스와 라인의 합병 당시 중국 위탁업체 직원이 일본 서버에 있는 이용자들의 실명과 전화번호를 열람해 문제 된 바 있다. 또 지난 8월에는 야후재팬이 검색엔진 개발 명목으로 이용자 410만 명의 위치 정보를 네이버에 제공한 사실이 알려지며 일본 총무성으로부터 행정지도 처분을 받기도 했다.

체면 구긴 네이버 클라우드, 보안 정책 재정비해야

이번 사태로 ‘가장 안전한 클라우드 플랫폼을 지향’한다던 NCP는 보안 관련 지적을 피할 수 없게 됐다. NCP는 2017년 서비스 출시 이후 지속적으로 국내외 클라우드 서비스 보안 인증을 다량 확보하며 국내 클라우드 플랫폼 중 가장 잘 시장에 안착했다는 평가를 받은 바 있다. 아울러 NCP는 글로벌 클라우드 사업자들이 확보하지 못한 국내 클라우드 서비스 보안 인증(CSAP)을 인프라서비스(IaaS)에 이어 소프트웨어서비스(SaaS) 부문까지 순차적으로 받아냈으며, 글로벌 클라우드 통제 수준 표준 인증인 STAR(Security, Trust & Assurance Registry) 인증에서 최고 등급인 '골드'를 획득하기도 했다.

이뿐만 아니라 올해 2월에는 네이버클라우드와 SK브로드밴드가 공동 개발한 DaaS(Desktop-as-a-Service, 사용자에게 완전한 가상 데스크탑 환경을 제공하는 서비스) 운영체제 상품인 ‘클라우드 데스크탑’을 통해 국내에서 2번째로 DaaS 기반 CSAP를 받아냈다. DaaS 인증의 경우 조직·운영 체계, 접근통제, 침해사고 대응·예방 프로세스 등 14개 분야 110개 통제 항목을 모두 준수해야 하는 만큼, NCP의 보안 능력을 재확인하는 계기가 됐다.

이번 일을 두고 업계 관계자들 사이에선 “보안 인증을 아무리 많이 받아도 해킹에서 완전히 안전한 곳은 없다”며 “라인야후와 같은 사태는 언제든지 일어날 수 있다”는 평가가 나온다. 한 클라우드 보안 관계자는 “NCP가 클라우드 보안 솔루션을 한 단계 강화할 때”라며 “이번 유출 사고를 계기로 한국의 클라우드 시스템도 대대적인 보안 절차 재정비에 나서 개인 정보 유출과 같은 피해를 보지 않도록 주의해야 한다”고 강조했다.