넥슨 메이플스토리 개인정보 유출 사건

2011년 11월 18일 넥슨의 대표 온라인게임 메이플스토리의 서버가 외부 해커의 공격을 받았다. 해킹은 서비스 운영 서버가 아닌 백업 서버에 대한 비인가 접근을 통해 이뤄진 것으로 이후 조사에서 드러났다. 공격자는 이 경로를 통해 방대한 회원 개인정보 데이터베이스에 접근했다. 당시 메이플스토리는 국내에서 손꼽히는 이용자를 보유한 인기 게임이어서 피해 규모가 클 수밖에 없었다. 그러나 넥슨은 침투 사실을 즉시 인지하지 못했다.

해킹이 발생한 지 엿새가 지난 11월 24일에야 넥슨은 자사 서버가 침해당해 개인정보가 유출된 사실을 확인했다. 공격 시점과 인지 시점 사이에 상당한 공백이 있었던 셈으로, 이는 이후 넥슨의 보안 관리 소홀 논란으로 이어졌다. 넥슨은 유출 규모와 경로를 파악하기 위한 내부 조사에 착수했다. 대규모 유출이 확인되면서 회사는 관계 당국 신고와 대외 공지 준비에 들어갔다. 뒤늦은 인지 자체가 이용자 불안을 키우는 요인이 됐다.

2011년 11월 25일 넥슨은 오후 5시께 방송통신위원회에 유출 사실을 신고하고 경찰청에 수사를 의뢰한 뒤 공식 발표에 나섰다. 넥슨은 메이플스토리 이용자의 개인정보가 대량 유출됐다는 점을 인정하고 이용자들에게 사과했다. 회사는 즉시 비밀번호 변경을 권고하고 추가 피해를 막기 위한 조치에 나서겠다고 밝혔다. 사고 인지 하루 만의 발표였지만 최초 침투로부터는 일주일이 지난 시점이었다. 국내 게임업계 최대 규모의 개인정보 유출 사고가 공식화된 순간이었다.

이번 사고로 유출된 것은 메이플스토리 이용자 약 1320만 명의 개인정보였다. 유출 항목에는 이름, 아이디, 암호화된 비밀번호, 암호화된 주민등록번호 등 핵심적인 개인 식별 정보가 포함됐다. 당시 메이플스토리 이용자 약 1800만 명 가운데 70%가 넘는 회원의 정보가 새어 나간 셈이었다. 주민등록번호가 포함돼 있어 명의도용 등 2차 피해 우려가 특히 컸다. 국내 인터넷 서비스 사상 손꼽히는 대규모 유출로 기록됐다.

이 사건은 2011년 9월 개인정보보호법이 본격 시행된 직후 발생한 첫 초대형 유출 사고라는 점에서 상징성이 컸다. 법으로 개인정보 보호 의무가 강화된 지 얼마 되지 않아 대형 IT·게임 기업이 대규모로 뚫리면서 제도 실효성에 의문이 제기됐다. 전문가들은 기업의 백업 서버 등 관리 사각지대가 공격에 노출됐다는 점을 지적했다. 주민등록번호 등 민감정보를 과도하게 수집·보관하는 관행에 대한 비판도 이어졌다. 사고는 기업 정보보호 투자와 주민번호 수집 최소화 논의를 촉발했다.

유출 사실이 알려지자 메이플스토리 이용자들은 즉시 비밀번호를 바꾸는 등 자구책 마련에 나서 접속이 몰렸다. 주민등록번호가 함께 유출된 탓에 다른 사이트 도용이나 스팸·보이스피싱 등 2차 피해에 대한 불안이 컸다. 미성년 이용자가 많은 게임 특성상 학부모들의 우려도 잇따랐다. 넥슨은 홈페이지를 통해 경위를 안내하고 비밀번호 변경과 명의도용 확인을 당부했다. 이용자 사이에서는 기업이 개인정보를 제대로 지키지 못했다는 비판 여론이 확산됐다.

넥슨의 수사의뢰를 받은 경찰은 사이버 범죄 전담 부서를 중심으로 유출 경로와 해커 추적에 나섰다. 수사 초기부터 백업 서버에 대한 비인가 접근이 유력한 침투 경로로 지목됐다. 경찰은 접속 기록과 서버 로그를 분석해 공격자의 실체를 규명하는 데 주력했다. 유출된 정보가 국내외 불법 시장에서 유통됐는지도 조사 대상에 올랐다. 대규모 개인정보가 걸린 사안인 만큼 수사에 상당한 시간과 인력이 투입됐다.

사고 이후 방송통신위원회 등 관계 당국은 넥슨의 개인정보 보호 조치가 적정했는지에 대한 조사에 들어갔다. 넥슨의 관리 소홀 여부와 뒤늦은 통보의 적정성이 핵심 쟁점으로 떠올랐다. 피해를 입은 이용자들 사이에서는 손해배상을 요구하는 집단소송 움직임이 본격화됐다. 온라인 카페 등을 중심으로 수천 명 규모의 소송인단이 모집됐다. 이 사건은 이후 국내 기업 개인정보 유출 사고와 배상 책임을 둘러싼 대표적 선례로 남았다.