대상: 일본 아바하우스 인터내셔널 온라인 스토어에서 쇼핑한 적이 있는 모든 분(탈퇴 회원 포함), 그리고 온라인 쇼핑몰을 운영하는 분. 이 글은 회사의 공식 공지를 바탕으로 작성되었으며, 공격 또는 사기 수법은 다루지 않습니다.
진행 중: 회사가 추가 내용을 발표하면 이 글을 갱신합니다
2026년 10월 11일 기준아직 알려지지 않음
- 영향받은 인원 수
- 유출 데이터의 범위
- 원인의 세부 내용
- 외부 조사 결과
회사는 10월 9일 후속 발표에서 침입 경로를 차단했으며 추가 확산은 확인되지 않았다고 밝혔습니다. 인원 수는 밝히지 않았고, 어떤 데이터가 유출됐는지도 언급하지 않았습니다. 조사에서 고객이 알아야 할 새로운 사실이 확인되면 같은 페이지에 게시하겠다고 합니다.
고객이 오늘 해야 할 일
영향 여부 확인: 탈퇴 회원에게도 연락이 갔습니다
회사는 유출 범위를 완전히 파악할 수 없어, 구매 이력 등을 바탕으로 영향을 받았을 수 있다고 판단한 고객에게 연락했다고 밝혔습니다. 회원 데이터는 탈퇴 1개월 후 삭제되지만, 법적·회계적 이유로 과거 주문 기록은 일정 기간 보관되며, 회사는 해당 주문에 대한 접근을 배제할 수 없다고 밝혔습니다. 따라서 탈퇴 회원에게도 같은 메일이 발송되었습니다.
메일은 10월 2일에 발송되었으며, 일본어 제목은 "중요: 부정 접근으로 인한 회원 정보 유출 가능성"이라는 뜻입니다. 받으셨다면 데이터가 유출되었을 수 있다고 가정하고 아래 단계를 따르세요.
'환불' 또는 '재고 부족' 메일을 받았다면 링크 대신 마이페이지를 확인하세요
회사는 아바하우스를 사칭하며 '환불' 또는 '재고 부족'을 언급하는 의심스러운 메일이 확인되었다고 밝혔습니다. 이런 메일을 받았다면 그 안의 링크나 전화번호는 사용하지 마세요. 공식 웹사이트를 직접 열어 마이페이지에서 주문 내역을 확인하거나 고객지원센터에 문의하세요.
실제로 환불이나 재고 부족 상품이 있다면 주문 내역이나 고객지원센터에서 확인할 수 있습니다. 메일의 링크를 통해 열린 페이지에는 절대 비밀번호, 카드 번호, 보안 코드를 입력하지 마세요(판별 방법: 피싱이란?).
LINE 초대나 재촉하는 기한에 응하지 마세요
회사는 다음 세 가지 경고 신호를 강조했습니다.
- 무료 웹메일 계정 등 회사와 관계없는 주소에서 온 메일
- '공식 LINE' 계정 등을 통해 LINE으로 연락하라는 요구(LINE은 일본에서 널리 쓰이는 메신저 앱입니다)
- '다음 주 수요일까지'처럼 환불을 서두르게 하는 기한 설정
이 중 하나라도 해당하면 답장하지 말고 LINE 계정도 추가하지 마세요.
AMC 비밀번호를 변경하고 재사용을 중단하세요
회사는 예방 차원에서 AMC(아바하우스 멤버스 클럽) 로그인 비밀번호를 변경할 것을 권장합니다.
다른 서비스에서도 같은 비밀번호를 쓰고 있다면 그 비밀번호도 변경하세요. 서비스마다 다른 비밀번호를 유지하는 현실적인 방법은 비밀번호 관리자를 쓰는 것입니다.
카드 명세서를 확인하세요
회사 시스템에는 카드 번호가 저장되어 있지 않으며, 카드 번호 유출도 확인되지 않았습니다. 그래도 회사는 고객에게 인식하지 못하는 결제 내역이 있는지 명세서를 확인해 달라고 요청했습니다. 가짜 메일에 속아 카드 정보를 입력한 경우도 여기에 해당합니다.
링크를 누르거나 정보를 입력했거나 돈을 보냈다면 즉시 도움을 받으세요
회사는 의심스러운 메일의 링크를 열었거나 피해를 입었다면 즉시 카드사 또는 은행에 연락해야 한다고 밝혔습니다.
일본에서는 경찰 상담 전화(#9110) 또는 소비자 상담 번호(188)에도 문의할 수 있습니다. 빨리 신고할수록 결제를 막을 가능성이 높아집니다.
무슨 일이 있었나 (아바하우스 인터내셔널 공지 기준)
2026년 10월 2일, 아바하우스 인터내셔널 주식회사는 기업 사이트와 온라인 스토어에 무단 접근으로 인한 개인정보 유출 가능성에 대한 사과 및 경위 공지를 게시했고, 10월 9일에는 후속 발표를 했습니다. 아래 내용은 모두 회사 공지에 기재된 대로입니다.
2026년 9월 27일 늦은 시간 – 9월 28일
해외의 제3자에 의한 무단 접근이 있었던 것으로 보이는 기간입니다(회사 발표 기준).9월 28일
여러 고객이 주문 내용과 일치하는 의심스러운 환불 메일을 받았다고 신고했습니다. 회사는 내부 조사를 시작했습니다.조사 중
회원 및 주문 데이터 일부에 대한 무단 접근 흔적이 발견되었습니다. 회사는 확인된 접근 경로를 차단했다고 밝혔습니다.10월 2일
회사는 영향을 받았을 수 있다고 판단한 사람(탈퇴 회원 포함)에게 메일을 보냈고, 공지를 게시했으며, 개인정보보호위원회에 보고했습니다.10월 4일
첫 공지의 '영향 대상' 항목이 수정되었습니다. 원래는 모든 고객이 영향을 받았을 수 있다고 되어 있었으나, 구매 이력 등을 바탕으로 영향을 받았을 수 있다고 판단한 고객에게 연락했다는 내용으로 바뀌었고, 탈퇴 회원에 대한 설명이 추가되었습니다.10월 9일
회사는 후속 발표를 했습니다. 침입 경로를 차단했고 추가 확산은 확인되지 않았으며, 경찰에 피해 신고를 했고, 금전 피해 신고는 접수되지 않았다고 밝혔습니다.
- 대상
- 구매 이력 등을 바탕으로 회사가 영향을 받았을 수 있다고 판단한 고객(10월 2일 메일 발송). 탈퇴 회원의 경우 회원 데이터는 탈퇴 1개월 후 삭제되지만, 회사는 일정 기간 보관하는 과거 주문 기록에 대한 접근을 배제할 수 없다고 밝힘
- 항목
- 회원 ID, 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별, 주문 정보(주문 일시, 상품명, 금액, 배송지 등)
- 인원 수
- 공개되지 않음(유출 데이터의 범위가 확인되지 않음)
- 신용카드
- 카드 번호와 보안 코드는 결제 대행사(가맹점을 대신해 카드 결제를 처리하는 회사)가 관리합니다. 유출이 확인되지 않음
- 원인
- 해외의 제3자에 의한 무단 접근으로 추정됩니다. 내부 시스템에 대한 무단 로그인 후, 시스템 결함을 악용해 악성 프로그램을 설치·실행하여 데이터베이스에 접근했습니다
- 2차 피해
- 회사를 사칭하며 '환불' 또는 '재고 부족'을 언급하는 의심스러운 메일이 확인되었습니다
- 조치
- 무단 접근이 확인된 계정 이용 정지, 관련 시스템 비밀번호 변경, 침입 경로 차단. 온라인 스토어 관리 시스템에 대한 접근 제한 및 인증 강화. 로그인 기록 및 모니터링 강화(10월 9일 후속 발표)
- 금전 피해
- 10월 9일 기준 접수된 신고 없음
- 신고처
- 개인정보보호위원회(일본의 개인정보 보호 기관), 경찰에 피해 신고(10월 9일 후속 발표)
- 문의
- 회사 고객지원센터: 무료전화 0120-597-537(평일 일본 시간 10:00–17:00) 또는 abahouse.jp/contact 문의 양식(10월 9일 후속 발표에 게재; 메일 속 연락처가 아니라 이 정보를 이용하세요)
회사의 데이터베이스(회원 데이터 및 온라인 스토어 주문)
9월 27일 늦은 시간 – 9월 28일 무단 접근이 있었던 것으로 추정. 탈퇴 회원의 과거 주문 기록은 일정 기간 보관됨
↓ 유출됐을 수 있는 데이터
회원 데이터
회원 ID, 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별
주문 데이터
주문 일시, 상품명, 금액, 배송지
↓ 실제 주문을 인용한 가짜 메일 도착
'환불' 또는 '재고 부족'을 언급하는 메일
관계없는 주소에서 발송, '공식 LINE' 계정으로 유도, 기한을 정해 서두르게 함
↓ 링크나 전화번호는 사용하지 마세요
공식 웹사이트를 직접 열고 마이페이지 주문 내역 확인
실제 환불이나 재고 부족 상품이라면 여기 또는 고객지원센터에서 확인됩니다
이번 사건의 특이점: 가짜 메일이 침해 사실이 알려지기 전에 도착했습니다
많은 침해 사건에서는 회사가 발표한 뒤에 사건을 악용한 사기 메시지가 늘어납니다. 이번에는 순서가 반대였습니다. 가짜 환불 메일을 받은 고객이 침해를 발견하는 계기가 되었습니다.
즉, 10월 2일 발표 이전에 이미 유출된 주문 데이터를 이용한 메시지가 발송되고 있었습니다. 그 이전에 도착한 메일도 주의해서 살펴보세요.
주문 내용이 맞아도 가짜일 수 있는 이유
많은 사람들은 메일에 올바른 상품명과 금액이 나와 있으면 쇼핑몰이 보낸 메일이라고 생각해 왔습니다. 주문 내용은 쇼핑몰만 안다고 여겼기 때문입니다.
이번 경우에는 그 논리가 성립하지 않습니다. 주문 일자, 상품명, 금액, 배송지가 모두 유출됐을 수 있으므로 가짜 메일이 실제 주문을 인용할 수 있습니다. 회사 스스로도 실제 주문 정보와 일치하는 내용이 있더라도 메일이 가짜일 수 있다고 경고했습니다.
메일이 진짜라는 증거가 되지 않는 것
- 주문 일자, 상품명, 금액이 맞음
- 이름, 주소, 전화번호가 적혀 있음
- 쇼핑몰의 이름과 로고가 들어 있음
직접 확인할 수 있는 것
- 마이페이지 주문 내역에 환불이나 재고 부족 상품이 표시되는지
- 공식 사이트에서 찾은 고객지원센터가 같은 내용을 말하는지
- 발신 주소가 회사 소속인지
환불이나 재고 부족을 이용해 사람들을 LINE으로 유도하는 사기는 이번 사건 이전에도 알려져 있었습니다. 2024년 7월, 일본 국민생활센터는 "주문하신 상품이 품절되어 환불해 드립니다"로 시작해 LINE으로 대화를 옮기고, 환불 절차를 가장해 실제로 고객이 돈을 보내게 하는 메시지에 대해 경고했습니다.
환불을 받는 데에는 보통 앱을 조작하거나 계좌 정보를 알려줄 필요가 없습니다. '환불'을 이유로 계좌 정보를 요구하거나 결제 앱 사용을 지시한다면 거기서 대화를 중단하세요.
확인된 사실과 확인되지 않은 사실
2026년 10월 11일 기준 회사 발표(10월 4일 수정된 첫 공지 및 10월 9일 후속 발표)를 바탕으로 합니다. 후속 발표가 나오면 상태 열을 갱신하겠습니다.
| 항목 | 회사의 설명 | 상태 |
|---|---|---|
| 무단 접근 | 회원 및 주문 데이터 일부에 대한 접근 흔적 확인 | 확인됨 |
| 발생 시점 | 2026년 9월 27일 늦은 시간부터 9월 28일 사이, 해외의 제3자에 의한 것으로 추정 | 추정 |
| 관련 데이터 | 회원 ID, 이름, 주소, 전화번호, 이메일, 생년월일, 성별, 주문 내용 | 가능성 있음 |
| 영향 대상 | 구매 이력 등을 바탕으로 영향을 받았을 수 있다고 판단된 고객에게 개별 연락. 탈퇴 회원의 경우 과거 주문 기록 접근을 배제할 수 없음 | 가능성 있음 |
| 첫 공지의 변경 | 10월 4일 '영향 대상' 항목 수정(원래: 모든 고객이 영향을 받았을 수 있음). 변경 이유는 밝혀지지 않음 | 밝혀지지 않음 |
| 카드 번호와 보안 코드 | 회사 시스템에 저장되지 않으며, 유출 확인되지 않음 | 확인되지 않음 |
| 인원 수와 유출 데이터 범위 | 밝혀지지 않음. 외부 전문가와 함께 조사 중 | 조사 중 |
| 원인 | 무단 로그인 후 악성 프로그램 설치·실행. 세부 내용은 조사 중 | 일부 공개 |
| 추가 확산 | 침입 경로 차단. 추가 확산은 확인되지 않음 | 확인됨 |
| 금전 피해 | 접수된 신고 없음(10월 9일 기준) | 확인되지 않음 |
| 경찰 및 감독기관 | 위원회에 보고, 경찰에 피해 신고 | 확인됨 |
온라인 쇼핑몰 운영자를 위한 내용
회사가 밝힌 원인은 내부 시스템에 대한 무단 로그인과 그 시스템의 결함 악용입니다. 10월 9일 후속 발표에서 회사는 온라인 스토어 관리 시스템에 대한 접근을 제한하고 인증을 강화했으며, 관리자 계정의 비밀번호를 재설정했다고 밝혔습니다. 원인의 세부 사항은 공개되지 않았으므로, 이 섹션은 같은 종류의 데이터를 보관하는 쇼핑몰이 점검할 만한 사항에 집중합니다.
탈퇴 회원의 주문 데이터 보관 기간을 정하세요
이번 사건에서 회사는 회원 데이터를 탈퇴 1개월 후 삭제했지만, 법적·회계적 이유로 과거 주문 기록은 일정 기간 보관했고, 해당 주문에 대한 접근을 배제할 수 없다고 밝혔습니다. 일부 기록은 법적 또는 회계적 목적으로 보관해야 합니다.
그래도 항목별로 보관 기간을 정하고, 기간이 지나면 데이터를 자동 삭제하거나 이름과 연락처를 제거해 보고용 수치만 남기세요. 수동 삭제는 오래 유지되지 않습니다.
관리자 로그인에 다중 인증을 적용하세요
회사 공지에 따르면 침입은 내부 시스템에 대한 무단 로그인에서 시작되었습니다. 고객 데이터베이스에 접근할 수 있는 관리자 패널, 원격 접속, 클라우드 관리자 계정은 모두 비밀번호 이외의 추가 확인(다중 인증)을 요구해야 합니다. 자세한 내용은 다중 인증 선택하기를 참고하세요.
'의심스러운 메일을 받았다'는 신고를 조사 신호로 취급하세요
이번 침해는 고객 문의를 통해 발견되었습니다. 고객지원팀에 실제 주문 내용을 인용한 의심스러운 메일 신고가 여러 건 들어온다면, 사기 경고만 답변하지 말고 시스템 담당자에게 전달하는 정해진 경로를 마련하세요.
자사 도메인을 사칭하는 가짜 메일을 줄이려면 이메일 스푸핑과 SPF, DKIM, DMARC를 참고하세요.
다른 온라인 쇼핑몰 사례는 APORITO 온라인 스토어(RIZAP) 카드 정보 사고를, 가짜 환불 메시지가 주된 위험이었던 사례는 Trenitalia 침해 사고를 참고하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 출처에 근거합니다. 공개되지 않은 침입 세부 내용과 영향 인원에 대해서는 추측하지 않습니다.
- 아바하우스 인터내셔널 주식회사, 무단 접근으로 인한 개인정보 유출 가능성에 대한 사과 및 경위 공지(2026년 10월 2일 게시, 10월 4일 수정; 일본어) — abahouse.co.jp(온라인 스토어판: abahouse.jp)
- 아바하우스 인터내셔널 주식회사, 무단 접근으로 인한 개인정보 유출 후속 보고(2026년 10월 9일; 일본어) — abahouse.co.jp
- 일본 국민생활센터, '결제 앱을 통한 환불' 사기 경고(2024년 7월 31일; 일본어) — kokusen.go.jp
업데이트 기록
2026-10-11: 회사가 10월 4일 수정한 첫 공지에 맞춰 영향 대상을 갱신했습니다. 원래 문구는 모든 고객이 영향을 받았을 수 있다는 내용이었고, 수정된 공지는 구매 이력 등을 바탕으로 영향을 받았을 수 있다고 판단한 고객에게 연락했다는 내용입니다. 탈퇴 회원에 대해서는 회사의 설명(과거 주문 기록 접근을 배제할 수 없음, 회원 데이터는 탈퇴 1개월 후 삭제)을 따르도록 했습니다. 무단 접근이 해외의 제3자에 의한 것으로 추정된다는 내용, 고객지원센터 전화번호와 문의 양식을 추가했고, 더 이상 작동하지 않는 출처 링크를 삭제했습니다.
2026-10-10: 10월 9일 후속 발표를 반영했습니다. 침입 경로 차단 및 추가 확산 미확인, 추가 조치, 경찰 피해 신고, 금전 피해 신고 없음을 포함했습니다. 상태 박스와 '확인된 사실과 확인되지 않은 사실' 표를 추가했습니다. 인원 수와 유출 데이터 범위는 여전히 공개되지 않았습니다.
2026-10-03: 아바하우스 인터내셔널의 10월 2일 공지를 바탕으로 한 첫 버전. 인원 수 또는 조사 결과가 공개되면 갱신하겠습니다.
다음으로 읽기
- 관련: and ST HD 침해 사고(고객 기록 약 250만 건)
- 유사 사례: Yakiniku King 앱 침해 사고(약 1,079만 건) / FANCL 및 Attenir 온라인 스토어 침해 사고
- 후속 사기: 피싱이란? / 가짜 바이러스 경고(기술 지원 사기)
- 가짜 환불 및 보상 메시지: Trenitalia(이탈리아, 지연 환불) / TVING(한국, 보상) / Booking.com(예약 정보)
- 비밀번호: 비밀번호 관리자 선택하기 / 다중 인증 선택하기
- 같은 시기의 다른 일본 사례: The Times Car 침해 사고 / APORITO 온라인 스토어(RIZAP)
- 2026년 다른 사고: 침해 및 사이버 공격 목록(일본 및 전 세계)