대상: Aena Co., Ltd.의 EC 앱 회원(정회원). 이 글은 Aena의 공식 안내를 바탕으로 작성되었으며, 공격 수법은 다루지 않습니다. Aena는 자사 사이트에서 일본 최대 규모의 오프프라이스 매장 체인 중 하나라고 소개합니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 원인과 경로의 세부 사항
- 데이터를 실제로 가져갔는지
- 영향을 받은 사람의 최종 목록
- 2차 피해 발생 여부
- 보상 여부
회사는 10월 20일 안내에서 정보 보안을 강화하고 모니터링 시스템을 재검토하고 있다고 밝혔습니다. 추가 발표 일정은 제시하지 않았습니다. 10월 30일 뉴스 목록을 확인했으나 이번 사고에 관해 10월 20일 "서비스 재개" 안내보다 새로운 발표는 없었습니다.
회원이 오늘 해야 할 일
범위에 속할 가능성이 있는지 판단하세요
데이터가 열람되었을 수 있는 사람은 EC 앱의 정회원이며 최대 817,215명입니다. LINE 회원과 Amazon, Rakuten 등을 이용한 고객은 영향이 없습니다. 회사는 영향을 받았을 수 있는 회원에게 개별 이메일로 단계적으로 알리고 있다고 밝혔습니다.
EC 앱 회원이었다면 이메일을 받았는지와 관계없이 범위에 속할 수 있다고 보고 다음 단계로 넘어가세요.
앱 비밀번호를 재설정하세요
회사의 10월 20일 안내에 따르면 서비스 재개 후 처음 실행하면 비밀번호 재설정 화면이 나타납니다. 그에 따라 새 비밀번호를 설정하세요. 언제든지 변경할 수도 있습니다: "회원 카드", "회원 정보 확인/변경", "회원 정보 변경" 순서입니다.
회사는 비밀번호는 열람되거나 유출되지 않았다고 밝혔습니다. 그래도 다른 서비스에서 같은 비밀번호를 썼다면 그곳도 변경하세요(비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 선택하기). 가능한 곳에서는 2단계 인증을 켜세요(이 사이트의 권장 사항).
배송이나 주문 메시지의 링크와 번호를 쓰지 마세요
회사는 이메일, 문자, 전화로 비밀번호나 카드 정보를 요구하는 일은 결코 없다고 밝혔습니다.
이번에는 이름, 주소, 전화번호, 이메일이 배송 정보와 카드 끝 4자리와 결합되었을 수 있습니다. "택배를 배달하지 못했습니다", "주문을 확인해 주세요", "카드를 다시 등록해 주세요" 같은 그럴듯한 메시지를 만들기에 충분합니다. 그런 메시지를 받으면 그 안의 링크나 전화번호를 쓰지 말고 직접 연 공식 사이트나 앱에서 확인하세요(피싱이란?).
카드 명세서를 확인하세요
카드는 끝 4자리, 유효기간, 카드 명의자 이름이 열람되었을 수 있습니다. 회사는 카드 번호 전체와 보안 코드는 보유하지 않으며 구매가 완료된 사례가 없음을 확인했다고 밝혔습니다. 일반적인 예방 조치로, 카드 명세서에 모르는 청구가 없는지 확인하고 이상이 있으면 카드 회사에 연락하세요. 교체가 필요한지도 카드 회사에 문의하세요.
등록한 제3자가 포함될 수 있음을 알아 두세요
열람되었을 수 있는 정보에는 배송지 주소, 이름, 전화번호가 포함되며, 안내문은 여기에 제3자인 수령인이 포함된다고 밝혔습니다. 선물 등을 위해 친척이나 친구를 등록했다면 그 사람의 정보가 포함될 수 있습니다. 필요하면 예상치 못한 메시지에 주의하라고 알려 주세요.
문의 창구와 탈퇴
회사는 고객 창구를 안내합니다(수신자 부담 무료 0120-532-565, 일본 시간 10:00–17:00, 주말과 공휴일 제외, 10월 14일 안내). 10월 16일에는 뉴스 목록에 EC 앱 회원 탈퇴 전용 페이지도 올라와 있습니다. 탈퇴하려면 회사의 공식 사이트를 따르세요.
1. Aena를 사칭한 배송, 주문, 카드 메시지
이름, 주소, 배송 정보가 맞음 → 여기서 판단하지 마세요
↓
2. 링크나 번호를 쓰지 말고 직접 공식 사이트나 앱을 여세요
고객 창구 0120-532-565(평일 10:00–17:00)
↓
3a. 확인할 수 없는 요구
비밀번호나 카드 번호 입력, 첨부파일 열기 → 응하지 마세요
3b. 공식 사이트나 앱에 같은 안내가 있음
공식 안내를 따르세요
무슨 일이 있었나요(Aena 기준)
아래는 회사의 세 가지 안내를 바탕으로 합니다: 10월 14일("외부로부터의 무단 접근에 의한 고객 정보 유출 가능성"), 10월 16일("EC 앱 서비스 재개 예정 안내"), 10월 20일("EC 앱 서비스 재개 안내").
2026년 10월 13일(화) 5:58
로그 분석에서 회원 마이페이지가 무단으로 열람된 것이 발견됨10월 14일(수)
발표. 최대 817,215명의 회원 데이터가 열람되었을 수 있음. 안내 시점에 EC 사이트에 대한 접근을 차단했고 재발 방지 대책을 마련하는 중이었음. 영향을 받았을 수 있는 회원에게 개별 이메일로 단계적으로 알리는 중10월 16일(금)
"2026년 10월 19일(월) 오후"로 재개를 예정한다고 발표했으며, 작업 진행 상황에 따라 시각이 바뀔 수 있다고 함10월 19일(월) 정오
EC 앱 서비스 재개(10월 20일 안내 기준). 재시작 후 처음 실행하면 비밀번호 재설정 화면이 나타남
- 회원 정보
- 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별, 직업
- 배송 정보
- 등록된 배송지 주소, 이름, 전화번호(제3자인 수령인 포함)
- 설정
- 즐겨찾는 매장, 메일 수신 설정
- 신용카드(일부)
- 등록된 신용카드의 끝 4자리, 유효기간, 카드 명의자 이름
- 포함되지 않음(회사)
- 카드 번호 전체와 보안 코드(보유하지 않음); 비밀번호는 열람되거나 유출되지 않음. 회원 정보 변경, 탈퇴, 구매 완료가 없었음을 확인
- 영향 없음(회사)
- LINE 회원; Amazon, Rakuten 등을 이용한 고객
- 문의
- 고객 창구 0120-532-565(일본 시간 10:00–17:00, 주말과 공휴일 제외)
확인된 내용과 확인되지 않은 내용
2026년 10월 30일 기준. 회사가 추가로 발표하면 이 표를 업데이트합니다.
| 항목 | 안내 내용 | 상태 |
|---|---|---|
| 무단 접근 발생 | 10월 13일 5:58 로그 분석에서 발견 | 확인됨(회사) |
| 데이터가 열람되었을 수 있는 회원 | 최대 817,215명(정회원) | 가능성(회사) |
| 이름, 주소, 전화번호, 이메일, 생년월일, 성별, 직업 | 열람되었을 수 있음 | 가능성(회사) |
| 배송지 주소, 이름, 전화번호 | 제3자인 수령인 포함; 열람되었을 수 있음 | 가능성(회사) |
| 즐겨찾는 매장과 메일 설정 | 열람되었을 수 있음 | 가능성(회사) |
| 카드 끝 4자리, 유효기간, 카드 명의자 이름 | 열람되었을 수 있음 | 가능성(회사) |
| 카드 번호 전체와 보안 코드 | 보유하지 않음; 열람되거나 유출되지 않음 | 포함되지 않음(회사) |
| 비밀번호 | 열람되거나 유출되지 않음 | 포함되지 않음(회사) |
| 회원 정보 변경, 탈퇴, 구매 완료 | 없었음을 확인 | 확인되지 않음(회사) |
| LINE 회원; Amazon, Rakuten 구매자 | 영향 없음 | 포함되지 않음(회사) |
| 데이터를 실제로 가져갔는지 | "열람되었을 수 있음"뿐 | 명시되지 않음 |
| 악용 | 회사는 10월 14일 기준 이번 사고로 인한 회원 정보의 악용이나 2차 피해는 확인되지 않았다고 밝힘; 피싱과 사칭에 경고 | 확인되지 않음(회사) |
| 원인 | "무단 접근을 통한 기계적인 연속 접근"; 세부 사항은 조사 중 | 조사 중 |
| 보상 | 명시되지 않음 | 명시되지 않음 |
주의: 수치는 최대 인원이며, 확인된 탈취가 아니라 열람되었을 가능성입니다
817,215는 데이터가 열람되었을 수 있는 회원의 최대 인원입니다. 안내문은 실제로 몇 명이 열람되었는지, 데이터를 가져갔는지는 밝히지 않았습니다. 10월 16일 안내는 재개를 "10월 19일(월) 오후"로 예정했고, 10월 20일 안내는 "10월 19일(월) 정오"로 적었습니다.(10월 20일 안내가 "오늘" 재개했다고도 적고 있어 날짜와 시각 표현이 완전히 일치하지는 않습니다.) 이 사이트는 재개 시각에 대해 10월 20일 안내를 따릅니다.
이 항목들의 조합으로 무엇을 할 수 있나요
아래는 이런 항목의 조합으로 일반적으로 일어날 수 있는 일입니다. 이번 사고에서 이런 일이 있었다고 회사가 발표한 것은 없습니다.
- 이름 + 주소 + 전화번호 + 이메일 주소: 실제처럼 보이는 이름과 연락처를 담은 가짜 이메일과 문자. 택배 배달 실패 안내나 주문 확인이 대표적인 형태입니다
- 배송 정보(제3자 포함): 메시지가 회원뿐 아니라 선물을 보낸 상대에게도 닿을 수 있습니다. 그 사람들은 Aena와 관계가 없어 메시지를 의심할 이유가 적고, 급박한 어조에 당황할 수 있습니다
- 카드 끝 4자리, 유효기간, 카드 명의자 이름: "카드 번호를 확인해 주세요"라는 메시지를 진짜처럼 보이게 하는 재료. 이것만으로 결제할 수는 없지만, 나머지를 당신에게서 얻어내려는 메시지가 올 수 있습니다
- 생년월일: 본인만 답을 아는 것처럼 보이는 본인 확인 메시지에 쓰기 좋습니다
대부분은 메시지 안의 링크나 번호를 쓰지 않고, 직접 연 공식 사이트나 앱에서 확인하는 것으로 막을 수 있습니다. 회사의 뉴스에서 업데이트를 확인하세요.
운영자가 점검할 사항
원인의 세부 사항이 공개되지 않았으므로, 이 섹션은 공개된 경과에서 말할 수 있는 것에 한정합니다.
- 발견 경위: 회사는 로그 분석에서 열람이 드러났다고 밝혔습니다. 기록이 남아 있었기에 가능했습니다. 로그를 얼마나 보관하는지, 이를 검토할 체계가 갖춰져 있는지 확인하세요.
- "기계적인 연속 접근"의 여지: 제시된 원인은 기계적인 연속 접근입니다. 일반적으로 많은 회원의 화면을 빠르게 연속으로 열람하는 패턴은 요청 횟수 제한이나 비정상 접근 탐지로 막을 수 있는 경우가 있습니다. 여기서의 경로는 공개되지 않았으므로 이를 이번 사고의 원인이라고 단정하지는 않습니다.
- 제3자의 정보 보관: 마이페이지에 제3자의 이름, 주소, 전화번호를 보관하는 설계는 열람의 영향을 회원 너머로 퍼뜨립니다. 표시하는 항목을 줄이거나 일부를 가리는 것을 검토할 수 있습니다.
- 대응 속도: 회사는 발견 다음 날 발표했고, 발표 시점에 EC 사이트에 대한 접근을 차단했습니다. 재시작 후 처음 실행할 때 회원에게 새 비밀번호 설정도 안내합니다. 이것이 공개된 경과가 보여 주는 내용입니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 발표되지 않은 원인의 세부 사항, 데이터 탈취 여부, 보상은 추측하지 않았습니다.
- Aena Co., Ltd., "외부로부터의 무단 접근에 의한 고객 정보 유출 가능성"(일본어, 2026년 10월 14일) — aena.co.jp
- Aena Co., Ltd., "EC 앱 서비스 재개 예정 안내"(일본어, 10월 16일) — aena.co.jp
- Aena Co., Ltd., "EC 앱 서비스 재개 안내"(일본어, 10월 20일) — aena.co.jp
- Aena Co., Ltd., 뉴스 목록(일본어, 10월 30일 확인) — aena.co.jp/news
업데이트 기록
2026-10-30: 최초 버전. Aena의 10월 14일, 16일, 20일 안내와 뉴스 목록(10월 30일 확인, 이번 사고에 관해 10월 20일보다 새로운 것은 찾지 못함)을 바탕으로 작성. 원인의 세부 사항, 데이터 탈취 여부, 보상이 발표되면 업데이트합니다.
다음으로 읽기
- 같은 시기의 일본 소매 사례: MrMax(회원의 이름, 이메일, 전화번호) / Toypo 앱 유출
- 비슷한 사례(인터넷 사업자의 회원 데이터): So-net 회원 데이터베이스 무단 접근
- 이어지는 사기: 피싱이란? / 스마트폰 보안 기본
- 계정 보호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 선택하기 / 다단계 인증 선택하기
- 2026년 기타 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)