대상: 일본의 and ST 매장 또는 and ST 웹 스토어 고객, 그룹과 거래하는 기업의 직원, 고객 정보를 다루는 모든 분. 이 글은 회사의 공식 공지를 바탕으로 하며, 공격이나 사기 수법은 다루지 않습니다.
진행 중: 해당 조직이 추가 내용을 발표하는 대로 이 글을 갱신합니다
2026년 10월 24일 기준아직 알 수 없음
- 직원 정보의 범위
- 접속 방법
- 개인에게 연락하는 방법과 시기
- 전용 문의 창구
- 회원 포인트를 다시 사용할 수 있는 시기
회사는 10월 23일 공지에서 해당 고객과 거래처에 순차적으로 연락을 시작하고 문의 창구를 마련할 예정이라고 밝혔습니다. 추가 조사에서 보고할 내용이 확인되면 신속히 알리겠다고도 밝혔습니다. 10월 24일에 회사의 공지 목록을 확인했을 때 후속 공지는 올라와 있지 않았습니다.
오늘 회원이 해야 할 일
회사의 안내는 링크가 아니라 공식 앱에서 확인하세요
회사는 해당 고객에게 순차적으로 연락을 시작한다고 밝혔습니다. 10월 24일 현재 공지에는 이메일, 앱, 우편 중 무엇으로 연락하는지 나와 있지 않습니다.
회사에서 온 것처럼 보이는 연락을 받더라도 링크는 열지 마세요. 같은 내용이 공식 앱이나, 즐겨찾기 또는 검색으로 연 공식 웹사이트에 있는지 확인하세요.
브랜드, 주소, 생년월일이 맞다는 이유로 메시지를 믿지 마세요
유출됐을 수 있는 정보에는 이름, 주소, 전화번호, 이메일 주소와 함께 생년월일과 회원 ID가 있습니다. 가짜 메시지도 실제 주소와 생년월일을 보여줄 수 있습니다.
'사과', '환불', '회원 정보 확인'을 내세워 카드 번호, 계좌 정보, 로그인 정보를 요구하면 거기서 멈추세요(구별 방법: 피싱이란?).
포인트 '보상'이나 '소멸'을 내세운 메시지에 주의하세요
회사에 따르면 현재 매장과 웹 스토어에서 회원 포인트를 사용할 수 없습니다. 이런 상황은 '포인트를 보상해 드립니다', '포인트가 곧 소멸됩니다' 같은 가짜 메시지의 구실로 흔히 쓰입니다.
포인트는 공식 앱이나 공식 웹사이트의 마이페이지에서 확인하세요. 회사 지원 페이지에는 점검 중 마이페이지가 열리지 않거나 포인트 잔액이 잘못 표시될 수 있다고 적혀 있습니다. 이상해 보여도 이메일이나 문자 메시지의 링크로 확인하려 하지 마세요.
비밀번호는 포함되지 않았다고 합니다. 다만 돌려 쓰지는 마세요
회사는 고객이 설정한 비밀번호는 유출됐을 수 있는 정보에 포함되지 않는다고 밝혔고, 고객에게 변경을 요청하지도 않습니다.
다만 회원 ID와 이메일 주소는 포함되어 있습니다. 다른 곳에서 같은 비밀번호를 쓰고 있다면 지금 서비스마다 다른 비밀번호로 바꿔, 다른 곳에서 유출된 비밀번호가 여기에 쓰이지 않게 하세요. 비밀번호 관리자가 현실적인 방법입니다.
전화로 '본인 확인'을 요구해도 답하지 마세요
생년월일, 주소, 전화번호를 알고 있으면 회사를 사칭해 '본인 확인'을 하는 척하며 카드 번호나 카드 비밀번호(PIN) 같은 나머지 정보를 얻으려 할 수 있습니다.
회사 직원이라고 해도 그 자리에서 답하지 마세요. 전화를 끊고 공식 웹사이트에 적힌 창구로 직접 연락하세요.
정보를 입력했거나 결제했다면 즉시 도움을 받으세요
가짜 메시지에 속아 카드나 계좌 정보를 입력했다면 즉시 카드사나 은행에 연락하세요.
일본에서는 경찰 상담 전화(#9110)나 소비자 핫라인(188)에도 연락할 수 있습니다. 빨리 신고할수록 결제를 막을 가능성이 높아집니다.
거래처가 해야 할 일
거래처 정보 약 1만 건의 회사명, 주문·반품 주소, 담당자 이름, 전화번호, 이메일 주소가 유출됐을 수 있습니다. 이 정보들이 합쳐지면 거래처를 사칭한 이메일을 쓰기가 쉬워집니다.
- 회사나 그룹의 이름으로 계좌 변경이나 긴급 지급을 요구하는 이메일이 오면, 이미 알고 있는 전화번호로 담당자에게 확인하세요
- 확인할 때 이메일에 적힌 전화번호나 회신 주소는 사용하지 마세요
- 주문이나 반품에 관한 낯선 첨부 파일이나 링크를 열기 전에 사내 IT 담당자에게 물어보세요
무슨 일이 있었나 (and ST HD 공지 기준)
2026년 10월 23일, and ST HD Co., Ltd.(아다스트리아가 그룹에 속한 지주회사)는 업무 서버에 대한 부정 접속과 개인정보 등의 유출 가능성에 관한 사과 공지를 기업 사이트에 게시했습니다. 아래는 모두 회사 공지에 적힌 내용입니다. 시각은 일본 시간입니다.
2026년 10월 22일 오전 7시 30분경
외부로부터의 부정 접속: 회사의 여러 서버에 대해 로그인 시도, 침입, 데이터 반출이 차례로 이루어졌습니다.오전 10시경
회사가 부정 활동을 감지하고 관련 서버를 격리했습니다.오후 5시까지
접속 경로를 차단하고 사내 업무 시스템을 중단하는 등의 조치를 했습니다. 회사는 차단 후 해당 경로를 더 이상 쓸 수 없음을 확인했습니다.10월 23일
회사는 경찰에 상담하고 개인정보보호위원회에 보고했으며, 공지를 게시하고 해당자에게 순차적으로 연락을 시작하겠다고 밝혔습니다.
- 고객
- 약 250만 건. 이름, 생년월일, 성별, 주소, 전화번호, 이메일 주소, 회원 ID
- 거래처
- 약 1만 건. 회사명, 주문·반품 주소, 담당자 이름, 전화번호, 이메일 주소
- 직원
- 범위 확인 중
- 포함되지 않음
- 신용카드 정보 등 결제 정보와 고객이 직접 설정한 비밀번호
- 경과
- 10월 22일 오전 7시 30분경부터 여러 서버에 대해 로그인 시도, 침입, 데이터 반출이 차례로 이루어짐. 오전 10시경 감지·격리, 오후 5시까지 경로 차단
- 웹 스토어
- and ST 웹 스토어는 부정 접속의 영향을 받지 않았음. 다만 현재 매장과 웹 스토어에서 회원 포인트를 사용할 수 없음
- 대응
- 긴급 조치를 했고, 접속 방법을 파악해 대응함. 해당 고객과 거래처에 순차적으로 연락 중이며 문의 창구를 마련할 예정
- 신고처
- 경찰에 상담, 개인정보보호위원회(일본의 개인정보 보호 당국)에 보고 (10월 23일)
- 문의
- 공지에 적힌 고객 문의 양식: support.dot-st.com (이메일이나 문자 속 연락처가 아니라 이 양식이나 공식 웹사이트를 이용하세요)
and ST 지원 사이트에는 10월 22일 오후 5시경부터 '시스템 점검'이 진행 중이라고 적혀 있으며, 포인트를 사용한 주문을 할 수 없음, 포인트 잔액이 올바르게 표시되지 않을 수 있음, 마이페이지가 열리지 않을 수 있음, 매장 수령 및 시착 서비스 중단, d 계정이나 Rakuten ID 연동이 작동하지 않을 수 있음 등의 영향이 나열되어 있습니다(10월 24일 확인). 이 페이지 자체에는 부정 접속에 대한 언급이 없습니다.
회사의 업무 서버
10월 22일 오전 7시 30분경부터 부정 접속, 오전 10시경 감지·격리
↓ 유출됐을 수 있는 정보
고객: 약 250만 건
이름, 생년월일, 성별, 주소, 전화, 이메일, 회원 ID
거래처: 약 1만 건
회사명, 주문·반품 주소, 담당자 이름, 전화, 이메일
↓ 흔히 뒤따르는 것
회사나 브랜드 이름을 쓴 이메일, 문자, 전화, 편지
사과, 포인트 보상, 본인 확인을 내세워 카드나 로그인 정보를 요구
↓ 링크나 전화번호는 사용하지 마세요
공식 앱이나 직접 연 웹사이트에서 확인
진짜 공지는 그곳에도 올라옵니다
알려진 것과 알려지지 않은 것
2026년 10월 24일 현재, 회사의 10월 23일 공지를 기준으로 합니다. 후속 발표가 나오면 상태 열을 갱신하겠습니다.
| 항목 | 회사 발표 내용 | 상태 |
|---|---|---|
| 부정 접속 | 제3자가 회사의 업무 서버에 부정하게 접속함 | 확인됨 (회사) |
| 시기와 대응 | 10월 22일 오전 7시 30분경부터, 오전 10시경 감지·격리, 오후 5시까지 경로 차단 | 확인됨 (회사) |
| 고객 정보 | 약 250만 건: 이름, 생년월일, 성별, 주소, 전화, 이메일, 회원 ID | 가능성 있음 (회사) |
| 거래처 정보 | 약 1만 건: 회사명, 주문·반품 주소, 담당자 이름, 전화, 이메일 | 가능성 있음 (회사) |
| 직원 정보 | 범위 확인 중 | 조사 중 |
| 결제 정보와 고객이 설정한 비밀번호 | 유출됐을 수 있는 정보에 포함되지 않음 | 포함되지 않음 (회사) |
| 어느 회원 서비스인지 | 밝히지 않음 | 밝히지 않음 |
| 접속 방법(원인) | 파악해 대응했다고 하나 공개하지 않음 | 밝히지 않음 |
| and ST 웹 스토어 | 부정 접속의 영향 없음 | 확인됨 (회사) |
| 회원 포인트 | 현재 매장과 웹 스토어에서 사용 불가, 복구 시점 제시 없음 | 밝히지 않음 |
| 개인에 대한 연락 | 순차적으로 시작 예정, 방법과 시기는 제시 없음 | 밝히지 않음 |
| 악용 | 유출된 정보를 이용한 메시지를 받았다는 발표 없음 | 밝히지 않음 |
| 경찰과 감독 기관 | 경찰에 상담, 위원회에 보고 | 확인됨 (회사) |
이런 정보 조합은 어디에 악용될 수 있나
아래는 이런 정보 조합이 유출됐을 때 일반적으로 일어나는 일입니다. 이번 사고에서 실제로 일어났다는 뜻이 아닙니다.
가짜 메시지에 담길 수 있는 것
- 이름, 주소, 전화번호: 브랜드 이름을 붙인 편지나 문자
- 생년월일: 전화로 하는 '본인 확인'
- 회원 ID: 가짜 로그인 페이지로 연결되는 '회원 확인' 링크
가짜 메시지가 할 수 없는 것
- 공식 앱 안의 공지를 바꾸는 것
- 직접 연 공식 웹사이트의 마이페이지 표시 내용을 바꾸는 것
- 공식 웹사이트에 적힌 창구가 같은 이야기를 하게 만드는 것
비밀번호 없이 회원 정보가 유출된 이전 사례는 MrMax 앱 및 온라인 스토어 유출을 참고하세요. 비밀번호 정보가 관련될 때 조언이 어떻게 달라지는지는 Bookoff 회원 정보 유출과 비교해 보세요.
이번 사고의 다른 점: 거래처 연락처가 포함되어 있습니다
많은 소매업 유출은 회원 정보에 그치지만, 이번에는 거래처 약 1만 건의 회사명, 주문·반품 주소, 담당자 이름과 연락처도 유출됐을 수 있습니다.
따라서 회원을 노린 가짜 메시지뿐 아니라, 거래처를 사칭해 지급이나 계좌 변경을 요구하는 이메일에도 대비해야 합니다.
고객 정보를 다루는 분들께
접속 방법은 공개되지 않았습니다. 이 부분은 회사가 설명한 경과에서 끌어낼 수 있는 내용에 한정합니다.
여러 서버에 걸친 반복 로그인 시도를 경보로 설정하세요
공지에 따르면 여러 서버에 대해 로그인 시도가 차례로 이루어졌습니다. 서버별 실패 횟수만 세지 말고, 하나의 출발지가 여러 서버에 연달아 로그인을 시도하는 경우를 경보 조건에 추가하세요.
관리자 로그인에는 항상 비밀번호 외의 확인 절차(다중 인증)를 요구하세요.
출처 (공개 자료)
이 글의 사실은 아래 공개 자료에서 가져왔습니다. 공개되지 않은 접속 방법과 관련 회원 서비스에 대해서는 추측하지 않습니다.
- and ST HD Co., Ltd., 업무 서버에 대한 부정 접속 및 개인정보 등의 유출 가능성에 관한 사과 공지 (2026년 10월 23일, 일본어) — andst-hd.co.jp
- and ST 지원, 사이트 점검의 영향에 관한 안내 (2026년 10월 24일 확인, 일본어) — support.dot-st.com
갱신 이력
2026-10-24: and ST HD의 10월 23일 공지를 바탕으로 한 초판. 직원 정보의 범위, 개인에 대한 연락 방법, 회원 포인트 복구가 발표되면 갱신합니다.
다음 글
- 비슷한 사례: Abahouse 정보 유출 (가짜 환불 이메일) / MrMax 유출
- 뒤따르는 사기: 피싱이란? / 이메일 스푸핑과 SPF, DKIM, DMARC
- 비밀번호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 고르는 법
- 2026년의 다른 사고: 정보 유출 및 사이버 공격 목록 (일본과 전 세계)