네이버가 일본에서 서비스 하고 있는 메신저 서비스인 '라인'이 여기저기 큰 파장을 끼치고 있습니다. 일본 총무성은 라인 개인정보 유출 사태를 계기로 지난 3월 이후 두 차례에 걸쳐 라인-야후에 대한 행정지도에 나섰는데요. 일본에선 행정지도는 법적 구속력은 없지만 그 영향력 자체는 상당하다고 알려져 있습니다. 이번 행정지도에는 라인-야후 지배구조 개편이 포함되어 있습니다. 마쓰모토 다케아키 일본 총무상은 "경영권 관점에서 한 말은 아니다"라고 했지만 "그룹 전체 보안 거버넌스의 본질적 재검토 가속화를 요구"하는 한편 자본 지배 관계 재검토가 경영권 관점과 어떻게 무관한지에 대해서는 설명하지 않았다는 점에서 외교 문제가 발생할 정도의 발언은 삼가고 있는 분위기지만 사실상 '암묵적인 요구에 가깝다'고 업계에서는 평가하고 있습니다.

네이버와 소프트뱅크 간 경영권 재편의 파장 : 일본 라인의 공공 인프라화와 데이터 주권 논란

라인-야후는 소프트뱅크 그룹과 네이버가 합작한 A홀딩스 산하 기업으로, 일본 내에서 야후재팬과 라인 사이에 검색엔진과 포털 사이트에서는 야후재팬이, 모바일 메신저에서는 네이버재팬이 압도적으로 강력한 입지를 지니고 있기에 차세대 사업인 배달사업과 간편결제 사업에서 출혈 경쟁을 막고자하는 의도였습니다. 또한 라인이 일본에서 갖는 입지가 점점 커지면서 기간인프라에 준하는 MAU(Monthly Active Users)를 갖게 되었기에 이와 관련하여 원활한 사업을 하기 위해 일종의 대관(對官) 문제를 해소하고자 A홀딩스를 설립, 사실상 두 회사를 통합하게 되었던거죠.

라인은 출범 당시 네이버의 자회사이자 핵심적인 역할을 한 인력이 대부분 한국인이었습니다. 자국중심주의가 강한 일본에서 한국 기업이 사업을 확장하는 건 쉽지 않았기에 현지화 전략의 일환으로 현지인 경영진 중심으로 사업부를 꾸리고 국적 논란이 일 때는 “도쿄에 본사를 두고 있으며 이사회의 과반수가 일본인으로 구성돼 있다”라는 등의 입장을 내며 논란을 피해 갔습니다. 하지만 반한 감정은 끊이지 않았고 한국 국가정보원이 네이버 라인을 통해 일본인을 감청하고 있다는 소문이 일본 언론에 보도되기도 했습니다.

그런데 이번 행정지도에서는 네이버의 A홀딩스 지분을 이 회사에 공동 출자한 일본 기업 소프트뱅크에 넘기라는 것으로 업계에서는 해석하고 있습니다. 라인-야후 역시 이에 발맞추어 지난 5월 8일 열린 결산설명회에서 ‘라인의 아버지’로 불리는 신중호 CPO를 사실상 경질, 이사회를 모두 일본인으로 구성하는 한편 네이버와의 위탁관계를 차례대로 종료해 기술적인 협력관계에서도 독립을 추진하겠다고 밝혀 결별을 공식화했습니다.

일본 정부가 라인에 날린 강한 메시지, 행정지도란?

이번 행정지도 요청의 핵심 근거는 라인-야후가 시스템 보안 업무를 한국 업체인 네이버에 의존해 해킹에 대한 대처가 미흡했다는 것이었습니다. 행정지도는 일본 총무성이 개인과 기업에 협력을 요구하는 지도 행위로 관료제가 강한 일본에서는 행정지도를 따르지 않고는 사업을 하는 게 불가능하고 알려져 있습니다. 일본 총무성은 한국의 과학기술정보통신부와 행정안전부, 그리고 통계청을 합친 기관으로 지방자치 재정 정책까지 관여하는 등 가장 강력한 실세 기관 중 하나입니다. 업계에서는 일본 정부가 자국의 대표 플랫폼을 한국 기업이 공동 소유하고 있는 것에 불편함을 공식적으로 드러냈다는 말이 나왔습니다. 국적 논란이 일만큼 라인은 일본의 공공 인프라로 자리매김하고 있는데요요. 일본 인구가 대략 1억 2300만명 정도 되는데 그중 80%에 달하는 9600만명이 라인을 쓰고 있습니다. 심지어 일본 정부와 지자체의 디지털화를 일부 수행하는 역할도 하고 있습니다.

이 사건을 촉발시킨 개인정보 유출 사고는 지난 2023년 11월 27일과 2024년 2월 14일, '부정 액세스에 대한 정보 유출에 관한 통지'에서 공식화되었는데요. 라인-야후 재팬은 대주주인 네이버와 직원용 시스템 -구 Line망- 을 네이버 클라우드를 통해 공유하고 있습니다. 거기다 두 망 사이엔 일종의 SSO와 같은 공통 기반 인증 시스템으로 망이 연동, 계정이 관리되고 있어서 네이버 클라우드 해킹을 통해 라인-야후에 대한 서버에 접근할 수 있었던겁니다. 이 서버에 접속할 수 있는 네이버 자회사 협력사의 PC 중 하나가 APT 악성 코드에 감염, 라인-야후의 서버와 네이버 클라우드가 무단 접속, 라인 이용자의 연령, 성별, 라인 스티커 구매 내역 등 개인을 식별할 수 없는 범위의 정보와 더불어 라인 야후 재팬의 비즈니스 파트너와 직원의 이메일 정보도 유출되었습니다.

라인-야후는 MFA(다중요소인증)을 도입하지 않았고, 유출 사고 발생 후에도 원인 규명이 신속하지 않았다는 지적을 받았습니다. 일본 개인정보보호위원회는 위원회는 보안에 대한 액세스 제어 등 기술적 안전관리 조치가 적절하지 못했으며, 개인 데이터 취급 상황의 파악 및 안전관리 조치와 유출 시 신속한 대응 조치가 미흡했기 때문에 이번 사건이 발생했다고 분석했습니다. 라인-야후 측은 보안 리스크 평가 기준 재검토(3월 완료), 실효적인 위탁처 관리 실현을 위한 감독 방법의 검토 및 기준 책정(3월 기준 책정 완료, 이후 순차 시행), 안전관리 조치 및 사이버보안 대책 설정(1월 완료), 사이버 침해 유무 및 범위 파악(9월말 완료 예정), 네이버 클라우드 사와의 관계에 따른 리스크 관리 문제점 개선(6월 제도 설계 완료 예정 및 순차 시행), 사실 관례 조사 및 원인 규명 등 유출 시 대응태세 정비(5월 계획 입안 및 6월 외부 평가 이후 순차 시행) 등으로 조치를 시행하고 있다고 밝히기도 했습니다.

물론 라인에서 주고받은 메시지 내용, 이용자의 은행 계좌, 신용카드 등은 유출되지 않았습니다. 관계자에 따르면 그런 민감 데이터는 구조적으로 분리되어 있어서 쉽게 유출되지 않는다고 했는데요. 실제 블랙 마켓 등에도 판매를 볼 수 없는 등 외부로 공개된 사례가 확인되지 않았죠. 하지만 이런 공포 자체는 일본 미디어에 의해 증폭되었습니다. 2021년 아사히신문은 심층보도를 통해 라인 이용자 간에 주고받는 대화 서비스의 모든 사진과 동영상이 한국에 있는 서버에 보관되고 있는데, 이용자들이 볼 수 있는 라인의 개인정보 관련 지침에는 그런 상황이 충분히 기술돼 있지 않다고 지적하기도 했습니다. 또 라인이 서비스에 사용하는 AI 개발을 중국 상하이에 있는 업체에 위탁, 이 업체 직원이 접근 권한을 갖고 있어 자칫 개인정보가 중국으로 유출될 우려가 있다고도 주장하기도 했습니다.

이런 와중에 데이터 사고가 발생해서 문제가 되었습니다. 아사히신문의 보도에 따르면, 라인야후는 지난 3월 첫 행정지도 조치를 받은 뒤 총무성에 제출한 보고서에서 네이버와 네트워크 완전 분리에 2년 이상 걸린다는 전망과 구체적이지 않은 안전 관리 대책을 제시, 총무성 관계자들의 화를 돋웠고, 한 간부는 “사태를 너무 안이하게 보는 것 아닌가”라는 반응을 보였다고 했습니다. 일본 사회에서는 공적 인프라를 언제까지 한국 기업에 의존할 것이냐는 논란이 끊이지 않았다. 집권당에서는 라인이 공공재라며 “라인과 네이버 간 연결고리를 끊어야 한다”는 노골적인 목소리까지 나왔습니다.

국제 안보와 개인정보 보호: 데이터 주권의 딜레마

이런 배경에는 '데이터 주권'에 대한 우려가 있다는 것이 업계 대부분의 평가입니다. 플랫폼 수립과 AI 운영에는 방대한 백데이터가 필요한데요. 이런 플랫폼과 AI에 대한 통제권을 자국 정부와 기업이 갖고 있어야 한다는 것이 데이터 주권의 요지입니다. 외국 기업이 소유하면 자국민의 데이터가 유출돼 경제와 안보에 위협이 될 수 있다는거죠. 이 사건 뿐만이 아닙니다. 지난 4월 조 바이든 미국 대통령은 국가 안보를 이유로 중국 동영상 플랫폼 틱톡 강제 매각법에 서명하기도 했습니다.

물론 개인정보 보호와 관련하여 지켜야 할 거버넌스나 컴플라이언스는 중요합니다. 네트워크를 기능별로 분리하고, 통합인증을 가급적 사용하지 않으며, APT와 같은 악성코드를 조기에 탐지할 수 있도록 하는 보안성 제고 역시 지켜져야 할 일입니다. 하지만 이번 사고는 사건 범위나 파급력에 비해 타국에서 데이터 주권이라는 헤게모니를 지키고자 과도한 제약을 가했다는 평가가 많습니다. 특히 최근들어 더욱 잦아지는 국제 소송에서도 대한민국 기업의 기술을, 국가핵심기술이라 불리는 중요한 기술에 대한 공격이 들어오는 경우가 많은데요. 인텔렉추얼데이터는 이런 소송 과정에서 국내 기업을 보호하고, 철저한 보안성 제고를 통해 소송 과정에서 만에 하나라도 있을 위협을 방어하는데 최선의 노력을 경주하고 있습니다.