710만 건, 4년, 그리고 아무도 몰랐다 — LY(라인야후) LINE GAME 내부식별자 외부송신 사고와 한일 규제의 갈림길

리포트 IDCTI-2026-0715-LINEYAHOO ·발행일2026-07-15 ·분류TLP:GREEN ·심각도🟠 MEDIUM (데이터) / HIGH (규제·거버넌스)저자 Dennis Kim / HoKwang Kim · [email protected] · @gameworkerkim

네이버와의 시스템 분리를 선언한 지 3개월 만의 자체 유출. 해킹이 아닌 "설계된 오작동"에 일본 개인정보보호법·전기통신사업법과 한국 개인정보보호법은 각각 무엇을 물을 수 있는가

요약 (TL;DR)
시작하는 말 — 침입자가 없는 유출
사고 개요 — 수치와 타임라인
사고의 성격 — "유출"인가 "외부송신"인가
일본 법적 분석 — 개인정보보호법과 전기통신사업법의 이중 트랙
예상 징계 수준 — 전력(前歷)이 있는 피고인
한국 관점 — 한국인 유출 가능성과 한국 개인정보보호법의 적용
한일 규제 비교 — 보고 시점, 대응, 패널티의 구조적 차이
공표 타임라인의 문제 — 인지에서 공표까지 103일
탐지·완화·대응 권고
결론
참고 문헌

1. 요약 (TL;DR)

2026년 7월 13일, LY 주식회사(라인야후)는 LINE GAME 3개 타이틀 — LINE 포코포코, LINE 포코팡 타운, LINE 포코팡(2025년 6월 서비스 종료)— 이용자의내부식별자 약 710만 건이 파트너 기업이 사용하던 외부 광고 분석 도구로 송신되고 있었다고 공표했다. 송신은 2022년 5월 25일 외부 도구의 설정 변경 시점에 시작되어 2026년 4월 3일 수정 완료까지 약 3년 10개월간 지속됐다. 원인은 해킹이 아니라 LY와 파트너 기업 쌍방의 설정 확인 미비, 휴먼 에러이다.

유출된 것은 이름·주소·전화번호·카드번호가 아닌, 시스템상 이용자를 구별하는 무작위 문자열(내부식별자)이다. LINE ID와는 다르며, 외부 도구 제공사는 해당 정보를 삭제했고 부정 이용·2차 피해는 확인되지 않았다. 데이터 민감도만 보면 낮은 사건이다. 그러나 이 사건의 무게는 데이터가 아니라 맥락에 있다.

타이밍이 최악이다.LY는 2023년 11월 약 52만 건 유출로 총무성 행정지도 2회(2024-03-05, 04-16)와 개인정보보호위원회 권고(2024-03-28)를 받았고, 그 귀결로 네이버와의 시스템 분리를 2026년 3월 완료,4월 15일 공식 발표했다. 그런데 이번 사고의 인지일은 4월 1일 — 분리 완료 발표 2주 전이다. "네이버 리스크를 제거했다"고 선언하는 바로 그 순간, 네이버와 무관한 자체 서플라이체인(광고 SDK)에서 4년짜리 구멍이 발견된 것이다. 유출 원인을 네이버 탓으로 돌려온 서사가 자사 프로세스 실패 앞에서 시험대에 오른다.
법적 트랙이 둘이다.일본에서 이 사건은 (1) 개인정보보호법(APPI)상 누설등 보고·본인통지 의무, (2) 전기통신사업법 제27조의12외부송신규율("일본판 쿠키 규제") 위반 가능성이라는 이중 트랙에 걸린다. 특히 내부식별자의 외부송신 사실이 자사 프라이버시센터에 기재되어 있지 않았다는 LY의 자인(自認)은, 2023년 6월 시행된 외부송신규율의 통지·공표 의무와 정면으로 충돌하는 대목이다.
한국인 이용자 포함 가능성이 열려 있다.총 710만 건 중 일본 국내분은 약 666만 건 —약 44만 건(유니크 이용자 약 36만 명)이 해외분이다. LINE 포코포코는 한국에서도 플레이 가능하고, 3개 게임 모두 개발사는 부산 소재 한국 게임사 트리노드(Treenod)다. 2023년 사고 때 LY 스스로 일본 개인정보보호위원회 보고서에서 한국인 이용자 172,675건 유출을 인정한 전례가 있다. 이번 해외분에 한국인이 포함되어 있다면 한국 개인정보보호법 제34조의 신고·통지 의무(72시간)가 쟁점화될 수 있으나, 현시점 KISA/개인정보보호위원회 신고 여부는 확인되지 않는다.
한일 규제의 구조적 차이가 드러난다. 한국은 72시간 신고·통지 + 전체 매출액 3% 상한 과징금이라는 "속도와 금전 제재" 모델, 일본은 속보 3~5일/확보 30일 + 지도→권고→명령의 "단계적 행정지도" 모델(과징금 제도 부재)이다. 같은 사건이 두 법제에서 전혀 다른 무게와 책임감이 있다.

핵심 명제 — 이 사건에서 유출된 것은 710만 개의 무작위 문자열이 아니라, "탐지"라는 기능 그 자체다. 공격자가 없었기에 알람도 없었고, 알람이 없었기에 4년이 걸렸다. 침입 탐지는 침입자를 전제한다. 스스로 만든 오작동은 스스로의 감사(監査)만이 잡는다 — 그리고 LY는 그 감사에 3년 10개월간 실패했다.

Key Judgments

#	판단	신뢰도
KJ-1	이번 사고의 직접적 데이터 위험은 낮다. 내부식별자는 단독으로 개인을 특정하기 어렵고, 수신처 삭제·부정이용 미확인이 공표됐다. 다만 식별자는 "무엇과 결합되는가"에 따라 무게가 변하는 정보이며, 2023년 사고에서도 내부식별자+이용이력 조합이 개인데이터 누설로 계상된 전례가 있다.	High
KJ-2	일본 개인정보보호법상 이 사안은 누설등 보고(제26조)의 보고 대상 — 특히 시행규칙 제7조 제4호(1,000명 초과) — 에 해당할 개연성이 높다. LY 관점(용이조합성 기준)에서 내부식별자는 개인데이터를 구성하기 때문이다.	Medium-High
KJ-3	프라이버시센터 미기재 상태의 외부송신은, 2023년 6월 시행된 전기통신사업법 제27조의12(외부송신규율)의 통지·공표 의무와 충돌할 개연성이 높다. 총무성 관할의 별도 트랙이 열려 있다.	Medium-High
KJ-4	예상 제재는 개인정보보호위원회의 보고징수·지도(유력) 내지 권고(가능), 총무성의 행정지도(가능)이며, 명령·형사벌로의 즉시 격상 가능성은 낮다. 단 2021·2023년 전력과 반복성이 가중 요소로 작동하여, 통상보다 높은 수위의 대응을 받을 수 있다.	Medium
KJ-5	해외분 약 44만 건(약 36만 명)에 한국인 이용자가 포함되어 있을 개연성이 있다. LINE 포코포코의 한국 서비스, 한국 개발사(트리노드) 관여, 2023년 사고의 한국인 17.2만 건 유출 전례가 근거다. 단 국가별 내역은 미공개다.	Medium
KJ-6	한국인 포함이 확인되고 내부식별자가 한국법상 개인정보로 판단될 경우, 한국 개인정보보호법 제34조(72시간 내 신고·통지)와 역외적용 규정이 쟁점화된다. 현시점 KISA/개인정보위 신고 여부는 공개 정보로 확인되지 않는다.	Medium
KJ-7	이번 사고는 네이버 분리 서사의 정당성을 시험한다. 4년간의 송신 기간은 네이버 공동운영기·분리작업기·분리완료기를 모두 관통하며, 원인은 네이버가 아닌 LY-파트너사 간 광고 SDK 설정이었다. "지분·시스템 분리 = 보안"이라는 등식의 반증 사례다.	High
KJ-8	인지(4/1)에서 공표(7/13)까지 103일의 간격은 일본법상 위법은 아니나(공표는 노력의무), 한국법 기준(72시간 통지)과 극명히 대비되며, 한일 규제 격차를 보여주는 대표 사례로 기록될 것이다.	High

2. 시작하는 말 - 침입자가 없는 발코딩으로 인한 유출

보안 사고의 서사는 대개 침입자를 중심으로 쓰인다. 라자루스가 왔다, 랜섬웨어가 돌았다, 다크웹에 올라왔다. 그런데 이번 사건에는 침입자가 없다. 시스템은 설계된 대로 정확히 동작했다. 문제는 그 설계, 정확히는 2022년 5월 25일의 설정 변경이 잘못되어 있었다는 것뿐이다.

이런 유형의 사고를 나는 "설계된 오작동"이라 부른다. 공격 트래픽이 없으니 IDS가 울리지 않는다. 크리덴셜 탈취가 없으니 이상 로그인도 없다. 데이터는 광고 SDK라는 정상 채널을 타고, 정상 프로토콜로, 매일 조용히 흘러나간다. 그렇게 3년 10개월. LY가 이를 인지한 것은 2026년 4월 1일이다. 공교롭게도 네이버와의 시스템 분리 완료를 대외 발표(4월 15일)하기 꼭 2주 전이다.

이 타이밍이 이 사건의 본질을 드러낸다. 2023년 11월 유출 이후 일본 정부와 여론은 "네이버와의 시스템 혼재"를 원흉으로 지목했고, LY는 2년에 걸쳐 서버, 네트워크, 인증 기반을 분리했다. 그런데 분리를 끝낸 집 안에서, 네이버와 아무 상관 없는 4년짜리 헛점이 발견됐다. 원인은 외부 광고 도구의 설정, 관리 주체는 LY와 그 파트너 기업. 유출의 원인을 자본 관계에서 찾던 서사가, 프로세스와 거버넌스라는 원래의 자리로 되돌아온 것이다.

그래서 본 리포트는 세 개의 질문을 던진다. 첫째, 일본법은 이 사건에 무엇을 물을 수 있는가?.둘째,한국인의 정보는 포함되어 있는가?, 있다면 한국법은 어떤 책임을 요구하는가?.셋째,같은 사건을 놓고 한일 두 법제는 왜 이렇게 다르게 평가하는가?

3. 사고 개요 — 수치와 타임라인

3.1 기본 정보

항목	내용
공표 주체·일자	LY 주식회사(LINEヤフー), 2026-07-13
대상 서비스	LINE 포코포코 · LINE 포코팡 타운 · LINE 포코팡(2025-06-11 서비스 종료)
유출(송신) 정보	내부식별자 — 시스템상 이용자를 구별하는 무작위 문자열. LINE ID와 별개
미포함 정보	이름 · 주소 · 전화번호 · 은행계좌 · 신용카드번호 · LINE ID
송신처	파트너 기업이 광고 표시 확인·분석 목적으로 사용한 외부 사업자의 광고 도구
원인	2022-05-25 외부 도구 설정 변경 시 LY·파트너 기업 쌍방의 설정 확인 미비 (인적 실수)
현재 상태	송신 정지·수정 완료(2026-04-03), 외부 도구 제공사의 해당 정보 삭제 완료, 부정 이용·2차 피해 미확인, 대상자 개별 통지 중

3.2 규모 — 국내외 내역이 말해주는 것

구분	내부식별자 건수	일본 국내분	해외분(역산)
LINE 포코포코	약 547만 건	약 529만 건	약 18만 건
LINE 포코팡 타운	약 79만 건	약 74만 건	약 5만 건
LINE 포코팡	약 84만 건	약 63만 건	약 21만 건
합계	약 710만 건	약 666만 건	약 44만 건
유니크 이용자	약 610만 명	약 574만 명	약 36만 명
(참고) 게스트 로그인·특정불가	약 93만 건	약 86만 건	약 7만 건

해외분 약 44만 건·36만 명의 국가별 내역은 공개되지 않았다. 7장에서 다루듯, 이 미공개 항목이 한국 관점의 핵심 쟁점이다.

3.3 타임라인

일자	사건
2022-04-01	일본 개정 개인정보보호법 시행 — 개인관련정보 제3자 제공 규율(제31조) 신설
2022-05-25	외부 광고 도구 설정 변경 → 내부식별자 외부송신 개시 (개정법 시행 불과 2개월 뒤)
2023-06-16	개정 전기통신사업법 시행 — 외부송신규율(제27조의12) 발효. 미기재 송신은 이 시점부터 별도 규율 대상
2023-11	(별건) 네이버클라우드 경유 부정접근으로 LINE 이용자 정보 유출 — 최종 약 52만 건, 한국인 172,675건 포함
2024-03-05	총무성 1차 행정지도 (통신의 비밀 보호·사이버보안 확보, 네이버 의존 재검토)
2024-03-28	일본 개인정보보호위원회, LY에 권고 및 보고 요구
2024-04-16	총무성 2차 행정지도 (자본관계 재검토 포함, 대응 가속 요구)
2026-03	네이버·네이버클라우드와의 시스템·인증 기반 분리 완료
2026-04-01	LY, 본건 외부송신 인지·조사 개시
2026-04-03	송신 수정 완료
2026-04-15	LY, 네이버와의 시스템 분리 완료 대외 발표
2026-07-13	본건 공표·사과. 대상 이용자 개별 통지 및 전용 문의 창구 개설

4. 사고의 성격 - "유출"인가 "외부송신"인가?

언론 다수는 "유출(流出)"로 보도했지만, LY의 공식 표현은 "외부송신(外部送信)"이다. 이는 단순한 완곡어법이 아니라 법기술자가 잘 정제되어 만든 법적 성격 규정과 직결되는 용어 선택이다.

"유출" 프레임: 관리·통제권을 벗어난 개인데이터의 누설 → 개인정보보호법상 누설등 보고·본인통지 의무의 세계.
"외부송신" 프레임: 이용자 단말에서 제3자로의 정보 송신에 대한 투명성 의무 → 전기통신사업법 외부송신규율의 세계.

LY의 실체적 문제는 두 책임 프레임 모두에 걸린다는 점이다. LY 시스템 내부에서 내부식별자는 특정 이용자와 일대일로 결합된 개인데이터의 구성 요소다(용이조합성). 그것이 의도·기재·동의 없이 외부 사업자에게 4년간 건너갔다면 누설등의 외형을 갖춘다. 동시에, 이용자 단말에서 외부 도구로의 송신 사실이 프라이버시센터에 기재되어 있지 않았다는 점은 LY 스스로 인정한 사실이다. 이는 외부송신규율의 통지·공표 의무 위반 소지를 만든다.

또 하나 기록할 것은 아이러니한 시점이다. 송신이 시작된 2022년 5월은, "개인관련정보(個人関連情報)" — 쿠키, 식별자처럼 그 자체로는 개인정보가 아니지만 수신처에서 개인데이터가 될 수 있는 정보의 제3자 제공을 규율하는 개정 개인정보보호법이 시행(2022년 4월)된 지 정확히 두 달 뒤다. 일본 입법자가 "식별자의 무단 외부 제공"이라는 바로 이 시나리오를 막기 위해 만든 조문이 발효된 직후에, 그 유출 사고가 시작되어 4년간 아무도 알지 못한 것이다.

5. 일본 법적 분석 — 개인정보보호법과 전기통신사업법의 이중 트랙

본 장은 공개 조문·가이드라인·과거 처분례에 근거한 독립 분석이며, 법률 자문이 아니다. 실제 규제 판단은 개인정보보호위원회·총무성의 사실 인정에 따른다.

5.1 트랙 1 — 개인정보보호법(APPI)

(a) 내부식별자의 법적 지위.APPI에서 개인정보 해당성은 제공원(提供元) 기준 — 즉 그 정보를 보유한 사업자가 다른 정보와 용이하게 조합하여 개인을 식별할 수 있는가로 판단하는 것이 통설·실무다. LY에게 내부식별자는 계정·이용이력과 직결된 개인데이터 체계의 키다. 따라서 수신처(광고 도구 사업자)가 개인을 특정할 수 없더라도, LY 관점에서는 개인데이터 누설의 외형이 성립할 수 있다. 실제로 2023년 사고에서 내부식별자와 그에 결합된 서비스 이용이력이 개인데이터 누설 건수로 계상된 전례가 있다.(b) 누설등 보고 의무 (제26조, 시행규칙 제7조).보고 의무가 발생하는 4개 유형은 ① 요배려개인정보 ② 재산적 피해 우려 ③ 부정 목적 개연성 ④1,000명 초과다. 본건은 ④에 해당할 개연성이 높다(일본 국내만 약 574만 명). 절차는 속보(인지 후 대체로 3~5일 이내) + 확보(30일 이내, 부정 목적 유형은 60일)의 2단계다. LY의 인지일이 4월 1일이므로, 법대로라면 4월 초 속보·5월 초 확보가 개인정보보호위원회에 제출되었을 것으로 추정된다(보고 여부 자체는 비공개 사항 — Medium 신뢰도). 아울러 제26조 제2항의 본인 통지(원칙 필수) 의무가 있으며, LY가 개별 통지를 진행 중이라는 공표 내용은 이와 정합한다.

(c) 개인관련정보 규율 (제31조). 만약 위원회가 본건 식별자를 "개인관련정보"로 접근하더라도, 수신처가 이를 개인데이터로서 취득할 것이 상정되는 제공에는 본인 동의 확인 의무가 발생한다. 어느 경로로 구성하든, "동의도 기재도 없는 4년간의 송신"이라는 사실관계 자체가 면책되기는 어렵다.

5.2 트랙 2 — 전기통신사업법 외부송신규율 (제27조의12)

2023년 6월 16일 시행된 외부송신규율 — 통칭 "일본판 쿠키 규제" — 은 대상 전기통신역무 제공자가 이용자 단말에서 제3자로 정보를 송신시키는 경우, 송신되는 정보의 내용·송신처·이용목적을 통지 또는 용이하게 확인 가능한 상태로 공표할 것을 요구한다. LY는 이 규율의 전형적 대상 사업자다.

본건 송신은 2022년 5월 시작이므로 시행 전 개시분이지만, 2023년 6월 이후 약 2년 10개월간의 계속 송신은 규율 적용기에 해당한다. 그리고 LY는 해당 송신이 프라이버시센터에 미기재였음을 인정했다. 형식적으로 위반 소지가 상당한 구도다. 이 트랙의 관할은 개인정보보호위원회가 아니라 총무성이며, 수단은 행정지도, 나아가 업무개선명령(제29조)이다. LY가 이미 총무성의 계속 감독 하에 있는 사업자라는 점에서, 이 트랙이 실제로 가동될 가능성은 낮지 않다.

5.3 제재 수단의 사다리 — 그리고 과징금의 부재

일본 APPI의 집행 구조는 단계적이다.

단계	수단	근거	비고
1	보고징수·출입검사	제146조	사실관계 파악
2	지도·조언	제147조	가장 빈번한 실무 대응
3	권고	제148조 1항	2024-03-28 LY가 받은 수준
4	명령 / 긴급명령	제148조 2·3항	권고 불이행 + 중대한 권리침해 임박 시
5	명령 위반 공표 + 형사벌	제148조 4항, 제178조	1년 이하 징역 또는 100만 엔 이하 벌금, 법인 양벌 1억 엔 이하

주목할 것은 이 행정 제재 과정에서 과징금(課徴金)이 없다는 사실이다. 일본은 GDPR형·한국형 매출 연동 행정 금전 제재를 APPI에 도입하지 않았다(도입 논의는 있었으나 2020·2021년 개정에서 보류). 명령 위반까지 가야 비로소 형사벌이 등장하며, 그 상한도 법인 1억 엔이다. LY의 연매출(조 엔 단위)에 비추면 금전 제재의 억지력은 사실상 평판 리스크에 위임되어 있는 구조다.

6. 예상 징계 수준 — 전력(前歷)이 있는 피고인

조건부 전망이다. 각 시나리오에 신뢰도를 부기한다.

LY는 규제 관점에서 "초범"이 아니다. 2021년 중국 위탁처 접근 문제, 2023년 11월 부정접근 유출(약 52만 건), 그에 따른 2024년 위원회 권고와 총무성 행정지도 2회. 이 전력은 이번 사안의 사실관계가 경미하더라도 절차적 대응 수위를 끌어올리는 가중 요소다.

시나리오	주체	개연성 평가	근거
보고징수 + 지도·조언	개인정보보호위원회	높음 (Medium-High)	누설 보고 접수 후 표준 절차. 민감정보 부재·수신처 삭제·2차 피해 미확인은 감경 요소
권고 (제148조 1항)	개인정보보호위원회	중간 (Medium)	4년 미탐지 = 안전관리조치(제23조)·위탁처 감독(제25조) 미비로 구성 가능. 2024년 권고 이후 재발이라는 반복성이 격상 사유
외부송신규율 관련 행정지도	총무성	중간~높음 (Medium)	프라이버시센터 미기재 자인. 기존 행정지도 이행 감독의 연장선에서 다루기 용이
업무개선명령 / APPI 명령	총무성 / 위원회	낮음 (Low)	시정 완료·피해 미확인 상태에서 즉시 명령은 과거 처분례와 불균형
형사벌·법인 벌금	—	매우 낮음	명령 위반을 전제로 하는 구조상 현 단계에서 성립 여지 없음

요컨대 예상 결과의 중심값은 "위원회의 지도(내지 권고) + 총무성의 행정지도, 금전 제재 없음"이다. 다만 정성적 비용은 별개다. 네이버 분리 완료 발표 직후의 자체 유출이라는 서사는, "분리가 곧 보안"이라던 2024년 행정지도의 논리 구조에 대한 반례로 국회·언론에서 소비될 것이고, 이는 LY가 가장 아파하는 종류의 비용 — 신뢰 — 을 재차 깎는다.

7. 한국 관점 — 한국인 유출 가능성과 한국 개인정보보호법의 적용

7.1 한국인이 포함되어 있는가? — 세 개의 정황

국가별 내역은 미공개다. 그러나 세 가지 정황이 한국인 포함 가능성을 매우 높게 지지할 수 있다.

해외분의 존재. 710만 건 중 일본 국내분 666만 건을 제외한 약 44만 건(유니크 약 36만 명)이 해외 이용자다.
한국 서비스 실재. LINE 포코포코는 한국에서 플레이 가능하다(같은 게임의 카카오 플랫폼판이 별도 존재할 정도로 한국 이용자층이 형성되어 있다).
전례.2023년 11월 사고에서 LY가 일본 개인정보보호위원회에 제출한 보고서 기준, 유출 대상에 일본 이용자 129,894건과 함께한국인 이용자 172,675건이 포함됐다. LY의 이용자 데이터 풀에 한국인이 유의미한 규모로 존재함은 이미 실증된 사실이다.

여기에 서플라이체인 관점의 관찰 하나를 더한다. 3개 게임의 개발사는 부산 소재 한국 게임사 트리노드다. LY가 지칭한 "파트너 기업"이 트리노드(또는 그 퍼블리싱 라인)일 개연성이 있으며, 그 경우 이 사건은 "일본 플랫폼 — 한국 개발사 — 제3국 광고 도구"라는 3자 구조의 설정 관리 실패가 된다. 한국 기업이 관여한 서플라이체인에서 발생한 사고가 일본 규제 이슈로 소비되는 구도는, 2023년 네이버클라우드 사건의 축소판이라는 점에서 한국 게임·플랫폼 업계가 주시할 필요가 있다. (파트너 기업의 실명은 LY가 공표하지 않았다 — 트리노드 추정은 개발·운영 구조에 근거한 본 리포트의 분석이며 신뢰도 Medium)

7.2 한국 개인정보보호법은 적용되는가?

(a) 역외적용.한국 개인정보보호법은 한국 정보주체를 대상으로 재화·서비스를 제공하는 국외 사업자에게 적용된다는 것이 확립된 해석·집행 실무다(글로벌 플랫폼 대상 처분례 다수). LINE 게임이 한국에서 서비스되고 한국인 이용자의 정보를 처리한다면 LY는 한국법상 개인정보처리자 지위를 벗어나기 어렵다. 일정 규모 이상 국외 사업자에게는 국내대리인 지정 의무(제31조의2)도 있다.(b) 내부식별자의 개인정보 해당성.한국법 제2조 제1호는 "다른 정보와 쉽게 결합하여 알아볼 수 있는 정보"를 개인정보에 포함한다. 결합 용이성은 처리자 관점에서 판단하는 것이 실무이므로, LY 시스템에서 계정과 일대일 결합되는 내부식별자는 한국법상으로도 개인정보(내지 가명정보 유사 지위)로 판단될 소지가 크다. 일본법과 마찬가지로 "무작위 문자열이라 개인정보가 아니다"라는 항변은 처리자 자신에게는 성립하기 어렵다.(c) 유출 신고·통지 의무 (제34조).한국인 정보주체 1천 명 이상의 유출이라면, 유출을 알게 된 때로부터72시간 이내에① 정보주체 통지 ② 개인정보보호위원회 또는 KISA 신고 의무가 발생한다. LY의 인지일(2026-04-01) 기준 72시간은 4월 4일경이다.현시점(2026-07-15) 공개 정보상, LY가 한국 개인정보위/KISA에 본건을 신고했다는 사실은 확인되지 않는다. 한국 언론 보도는 교도통신발 일본 발표의 전재에 머물러 있고, 개인정보위의 조사 착수·자료 요구 발표도 아직 없다. 다음 세 갈래가 가능하다.

시나리오	성립 조건	평가
① 신고 의무 없음	해외분에 한국인 1천 명 미만, 또는 개인정보 해당성 부정	가능하나, 36만 해외 이용자 규모와 2023년 전례에 비추어 낙관적 가정
② 비공개 신고 완료	LY가 4월 초 KISA 경유 신고, 위원회 비공표 유지	제도상 가능(신고 사실은 통상 비공표). 확인 불가
③ 신고 누락	한국인 포함 + 미신고	성립 시 제34조 위반 — 과태료 및 조사 트리거. 위원회의 사실조회 예상 지점

(d) 한국 측 제재 프레임.위반이 인정될 경우 한국법의 수단은 일본보다 직접적이다. 안전조치 의무 위반 등에 대한과징금은 전체 매출액의 3% 상한(제64조의2, 2023년 개정으로 "위반행위 관련" 매출액에서 "전체" 매출액 기준으로 강화 — 단 위반과 무관한 매출 입증 시 제외 가능)이고, 유출 신고·통지 의무 위반에는 과태료가 별도로 붙는다. 2023년 LY 사고 당시에도 한국 개인정보위가 한국인 이용자 피해 규모를 주시한 바 있어, 이번에도 위원회의 사실조회 → 해외분 국가별 내역 확인이 자연스러운 다음 수순이다.

7.3 한국 이용자, 기업에 대한 이슈

이용자: 내부식별자 단독 유출로 이용자가 취할 조치는 없다(LY도 대응 불요 안내). 다만 이런 사건 공표 직후에는 이를 사칭한 "정보 유출 확인" 스미싱·피싱이 상투적으로 뒤따른다. LINE·LY를 사칭한 확인 요구 링크는 기본 차단하라.
한국 게임·플랫폼 기업: 이 사건의 실무적 교훈은 광고 SDK·측정 도구의 송신 필드 관리다. 플랫폼(LY)과 개발사(파트너)가 서로 상대가 확인했으리라 믿는 사이, 불필요한 식별자 필드가 4년간 흘렀다. 해외 플랫폼에 게임을 공급하는 한국 개발사는 자사가 끼어 있는 데이터 흐름에 대해 한일 양쪽 법제의 의무를 동시에 지게 될 수 있다.

8. 한일 규제 비교 — 보고 시점, 대응, 패널티의 구조적 차이

같은 사건을 한일 두 법제에 넣으면 전혀 다른 시계와 저울이 돌아간다.

항목	일본 (개인정보보호법 + 전기통신사업법)	한국 (개인정보보호법)
규제기관	개인정보보호위원회(PPC) + 총무성(통신 영역)	개인정보보호위원회(PIPC), 신고 접수기관 KISA
유출 신고 기한	속보: 인지 후 대체로 3~5일 / 확보: 30일(부정목적 60일)	72시간 이내 신고
신고 대상 요건	요배려정보 · 재산피해 우려 · 부정목적 · 1,000명 초과 (4유형)	1천 명 이상 · 민감/고유식별정보 · 외부 불법접근 (3유형)
정보주체 통지	"신속히" (구체 기한 없음)	72시간 이내 (구체 기한 명시)
공표 의무	노력의무 수준 (본건: 인지→공표 103일도 형식상 적법)	1만 명 이상 유출 시 홈페이지 게시 등 공표 의무
행정 금전 제재	과징금 제도 없음	과징금 전체 매출액 3% 상한 + 과태료
제재의 중심	단계적 행정지도 (지도→권고→명령), 명령 위반 시 형사벌(법인 최대 1억 엔)	과징금·과태료 중심의 직접 금전 제재 + 시정명령
식별자·쿠키 규율	개인관련정보(APPI 31조) + 외부송신규율(전기통신사업법 27조의12) 이원 체계	개인정보 정의의 결합용이성으로 포섭 (온라인 맞춤형 광고 가이드라인 병행)
역외 집행 실적	제한적	글로벌 플랫폼 대상 과징금 처분례 축적
실효적 억지력의 원천	평판 + 행정지도 이행 감독 (총무성 계속 감독 포함)	금전 제재 + 조사권

구조적으로 요약하면 이렇다. 한국은 "빨리 알리고, 어기면 돈으로 문다"는 속도·금전 모델이고, 일본은 "단계적으로 지도하고, 끝까지 안 들으면 형사벌"이라는 관계·절차 모델이다. 어느 쪽이 우월하다는 결론은 유보할 수 밖에 없다. 일본의 법 구조상 행정 지도는 체면의 큰 손상이기 때문이다.한국 모델은 72시간의 속도가 초기 사실관계의 부정확한 통지를 낳는 부작용이 있고, 일본 모델은 본건처럼 인지에서 공표까지 석 달이 흘러도 법적으로 문제없는 투명성 공백을 낳는다. 다만 이용자 관점에서 "내 정보가 나갔다는 사실을 언제 알 수 있는가"라는 단일 질문에 대해서는, 한국 법제가 구조적으로 빠른 답을 강제하고 있다.

9. 공표 타임라인의 문제 — 인지에서 공표까지 103일

2026-04-01 인지 → 04-03 수정 → 07-13 공표.인지부터 공표까지103일.
일본법상 이는 위법이 아니다. 누설등 보고(당국행)는 기한이 있지만, 일반 공표는 사실상 노력의무이고, 본인 통지도 "신속히"라는 탄력 문언이다. LY는 조사·대상자 특정에 시간이 걸렸다고 설명할 것이고, 그 설명은 법적으로 통한다.
그러나 같은 사실관계가 한국이었다면 72시간 내 정보주체 통지가 요구되어, 4월 첫 주에 이용자가 알았을 사안이다. 103일 vs 3일 — 이 간격 자체가 8장의 비교표를 현실에서 증명하는 수치다.
부수 관찰: 4월 15일 네이버 분리 완료 발표 시점에 LY는 이미 본건을 인지·수정한 상태였다. 분리 완료라는 긍정 서사를 먼저 내보내고 부정 서사를 분기 뒤로 미룬 것인지는 확인 불가능하지만, 공표 시점 재량이 이런 의심을 허용한다는 것 자체가 노력의무 체계의 비용이다.

10. 탐지, 완화, 대응 권고

플랫폼·게임 사업자 (LY 및 유사 구조 기업)

외부송신 인벤토리의 전수 상시화. 앱·웹에 삽입된 모든 SDK·태그·픽셀에 대해 "무엇이, 어디로, 왜" 송신되는지의 리스트를 유지하고, 프라이버시 고지 문서와의 정합성을 릴리스마다 자동 대조하라. 이번 사건의 본질은 대장과 실태의 4년간의 괴리다.
설정 변경의 4-eyes + 이그레스 검증. 광고·측정 도구의 설정 변경은 코드 배포와 동급의 변경관리(리뷰·승인·롤백)를 적용하고, 변경 후 실제 이그레스 트래픽의 필드 레벨 검증을 의무화하라.
이그레스 DLP를 식별자에 확장. DLP가 카드번호·주민번호 패턴만 보는 동안 내부식별자는 "민감하지 않은 문자열"로 통과한다. 자사 식별자 체계의 포맷을 DLP·프록시 룰에 등록하여, 미승인 도메인으로의 식별자 송신을 알람 대상으로 삼아라.
파트너 경계의 책임 명문화. 플랫폼-개발사-도구 3자 구조에서 "설정 확인"의 책임 주체를 계약과 런북에 명시하라. 쌍방이 서로를 믿는 구조는 아무도 확인하지 않는 구조와 등가다.

규제·정책

일본: 외부송신규율의 이행 점검을 고지 문서 심사에서 실제 트래픽 표본 검증으로 확장할 필요가 있다. 고지와 실태의 괴리는 문서 심사로는 잡히지 않는다.
한국: 국외 사업자의 해외 발표 사안에 대해 한국인 포함 여부를 조기에 확인하는 상시 프로토콜(사실조회 트리거)을 정례화할 필요가 있다. 2023년 LY 사고와 본건 모두, 한국인 피해 규모는 일본 당국 제출 자료를 통해 사후적으로 드러나는 구조였다.

이용자

LY 안내대로 본건 자체에 대한 이용자 조치는 불요하다. 비밀번호 변경도 요구되지 않는다.
다만 사건 공표 직후의 사칭 스미싱 "유출 대상 여부 확인" 류의 링크를 경계하라. LY의 개별 통지는 공식 채널로 오며, 외부 링크에서 자격증명을 요구하지 않는다.

11. 맺으며

이 사건을 "민감정보 없는 경미한 유출"로 접어두는 것은 절반만 읽는 것이다. 나머지 절반은 이렇다.

첫째, 탐지의 실패가 본질이다. 침입자가 없는 유출은 탐지 체계의 사각을 정확히 통과한다. 4년이라는 시간은 공격자의 은밀함이 아니라 감사의 부재가 만든 숫자다.

둘째, 분리는 보안이 아니었다. 네이버와의 시스템 분리라는 2년짜리 국가적 프로젝트가 완료된 바로 그 달에, 네이버와 무관한 자체 서플라이체인의 4년짜리 구멍이 드러났다. 보안은 자본 관계의 함수가 아니라 프로세스의 함수라는, 처음부터 자명했던 명제가 재확인됐다.

셋째, 같은 사건, 다른 저울. 일본은 이 사건을 단계적 행정지도의 언어로, 한국은 72시간과 과징금의 언어로 계량한다. 해외분 44만 건 속 한국인의 존재 여부, 그리고 LY가 한국 당국에 신고했는지는 아직 물음표이며, 이 물음표는 한국 개인정보보호위원회의 사실조회로만 닫힌다. 2023년에 172,675명의 한국인이 포함되어 있었다는 전례는, 이번에도 그 질문을 던져야 할 충분한 이유다.

모든 플랫폼 기업에 남는 질문은 하나다. 당신의 앱은 지금 이 순간 무엇을 어디로 데이터를 보내고 있는가? — 그리고 그것은 당신이 이용자에게 알린 목록과 일치하는가? 그 대조를 4년에 한 번이 아니라 릴리스마다 하는 것, 그것이 이 사건의 가격으로 사는 교훈이다.

12. 참고 문헌

LY 주식회사 — 「LINE GAMEユーザー内部識別子の外部送信に関するお知らせとお詫び」 (2026-07-13). (1차 공표 자료)
日本経済新聞 — 「LINEヤフー、ゲームの顧客情報710万件が流出識別子を誤送信」 (2026-07-13).
ITmedia NEWS — 「LINEヤフー、710万件の識別情報を誤送信」 (2026-07-13). 타이틀별 건수·게스트 내역.
ケータイ Watch — 「LINE GAMEのユーザー識別子が外部広告ツールに無断送信、2022年から約4年間」 (2026-07-13). 프라이버시센터 미기재 사실 포함.
セキュリティ対策Lab — 「LINEヤフー、内部識別子が広告ツールへ送信約710万件、約4年間気づかれず」 (2026-07-14). 기간·건수 상세.
共同通信 — 「利用者識別情報が710万件流出 LINEのゲーム」 (2026-07-13) 및 서울경제 전재 (2026-07-14). (한국 언론은 현재까지 일본 발표 전재 수준)
innovatopia — 「LINE GAME 710万件の内部識別子が外部送信 3年10か月気づかず」 (2026-07). 2023년 사고에서의 내부식별자+이용이력 누설 계상, 2024년 총무성 지도(03-05, 04-16)·개인정보보호위 권고(03-28) 정리.
보안뉴스 — 「네이버 '라인'에 대한 일본 정부의 매각 압박, 어떤 일 있었나」 (2024-04-28). 2023년 사고의 일본인 129,894건·한국인 172,675건 유출 내역.
MTN·아주경제 — 라인야후, 네이버와 시스템 분리 완료 보도 (2026-04-15/16). 2026년 3월 분리 완료.
日個人情報保護法 제26조(누설등 보고·본인통지)·제31조(개인관련정보)·제146~148조(감독)·제178조(벌칙) 및 시행규칙 제7조·제8조.
日電気通信事業法 제27조의12(외부송신규율, 2023-06-16 시행)·제29조(업무개선명령), 총무성 외부송신규율 가이드라인.
韓 개인정보보호법 제2조(정의)·제31조의2(국내대리인)·제34조(유출 통지·신고)·제64조의2(과징금)·제75조(과태료) 및 시행령 제39·40조. 개인정보보호위원회 유출신고 안내 (KISA 접수).
트리노드(Treenod) 회사 연혁 — 포코팡·포코포코·포코팡타운 개발·운영 이력 (부산 소재).

본 리포트는 공개 자료(LY 공표, 언론 보도, 법령·가이드라인)에 기반한 독립 분석이며, 관련 조직·기관·기업의 공식 입장을 대변하지 않습니다. 법적 분석은 법률 자문이 아니며, 규제 판단은 각국 감독기관의 사실 인정에 따릅니다. 파트너 기업 및 한국인 이용자 포함 여부에 관한 서술은 발행 시점(2026-07-15) 기준 공개 정보에 근거한 추정으로, 각 판단에 신뢰도를 명시했습니다. 교육·방어·연구·정책 수립 목적으로만 사용해야 합니다. TLP:GREEN — 커뮤니티 내 공유·대외 공개 가능.