대상 독자: Arara Inc.의 이메일 발송 서비스 Arara Message(ASP repica 시리즈 포함)를 사용하는 기업과 기관으로부터 뉴스레터나 알림 이메일을 받는 사람, 그리고 이 서비스를 사용하는 기업과 기관입니다. 이 글은 Arara Inc.와 영향을 공개한 고객 기관의 공식 공지를 바탕으로 작성했습니다. 공격이 어떻게 이루어졌는지는 다루지 않습니다.
진행 중: 조직이 더 많은 내용을 발표하면 이 글을 업데이트합니다
- 대상
Arara Inc.의 이메일 발송 서비스 Arara Message(ASP repica 시리즈 포함)를 사용하는 기업과 기관으로부터 뉴스레터나 알림 이메일을 받는 사람, 그리고 이 서비스를 사용하는 기업과 기관입니다.
- 확인된 영향 범위표 보기 ↓
- 개인정보 반출(고객사 환경)
- 이메일 주소 건수
- 공유 환경
6개 더 보기
- 환경 B
- 반출 기간
- 회원 데이터 항목
- 가짜 이메일 발송
- 서비스 상태
- 당국 신고
- 아직 확인되지 않은 사항
- 이메일 주소만인 건수와 속성이 있는 건수의 구분(확인 중)
- 영향받은 고객사의 수와 이름(최대 약 380곳은 추정)
- 각 회사의 영향 대상자와 항목(Arara가 환경 B의 고객사를 포함해 고객사에 개별 통지 중)
4개 더 보기
- 고객사 직원 데이터에 대한 영향(관리 콘솔 이용자의 이름과 이메일 주소)
- 침입이 시작된 시점과 방법
- 서비스 재개 시점
- 사업 실적에 대한 영향(아직 검토 중)
- 지금 할 일절차 보기 ↓
- 카드 회사를 사칭한 news@arara.com의 이메일은 열지 말고 삭제하세요
- 당분간 구독 중인 발신자를 사칭한 이메일의 링크와 첨부 파일은 열지 마세요
- 이용 중인 서비스는 아래 표에서 확인하세요
1개 더 보기
- 요청을 받더라도 비밀번호나 카드 번호는 입력하지 마세요
- 마지막 확인
- 2026년 11월 7일 기준(일본 시간, Arara의 공지 페이지는 11월 6일 21:00에 마지막으로 업데이트되었고, 다음 업데이트는 11월 7일 12:00경 예정이었으나 확인 시점에는 올라와 있지 않음)
후속 발표 예정과 확인 기록
Arara Inc.는 11월 6일 3차 보고에서 환경 B를 더해 이메일 주소 건수를 갱신했습니다. 이메일 주소만인 건수와 속성이 있는 건수의 구분, 사업 실적에 대한 영향은 아직 검토 중이며 재개 시점은 정해지지 않았다고 밝혔습니다. 공지 페이지에는 영향이 확정된 고객사부터 차례로 각 회사에 자사 영향을 개별적으로 알리고 있다고 적혀 있습니다.
이메일 수신자가 오늘 해야 할 일
Arara Inc.의 서비스는 기업과 기관이 뉴스레터나 안내를 보낼 때 사용합니다. 수신자는 Arara가 아니라 발신 기업이나 기관에 이메일 주소를 등록했으므로, 영향 여부는 발신자 자신의 공지로 확인하세요.
카드 회사를 사칭한 news@arara.com의 이메일은 열지 말고 삭제하세요
Arara Inc.는 10월 28일부터 30일까지 서비스가 악용되어 신용카드 회사를 사칭한 가짜 이메일이 최대 약 713만 통 발송되었다고 밝혔습니다. 발신 주소는 "news@arara.com"이며 제목은 카드 사용 확인 요청이나 이용 내역서 등입니다.
회사는 본문의 URL을 열지 말고 이메일을 삭제해 달라고 요청합니다. 링크에서 카드 정보를 입력했다면 즉시 카드 회사에 연락하세요. 수신자는 제3자가 외부에서 가져온 이메일 주소였으므로, 받았다고 해서 내 주소가 반출되었다는 증거는 아닙니다.
당분간 구독 중인 발신자를 사칭한 이메일의 링크와 첨부 파일은 열지 마세요
반출된 주소와 회원 데이터는 발신 회사 이름으로 된 가짜 이메일이나 SMS에 쓰일 수 있습니다. 이름이나 회원 번호가 표시된 메시지라도 진짜가 아닐 수 있습니다. 확인하려면 공식 앱이나 즐겨찾기에 등록해 둔 공식 사이트를 여세요(가짜를 구별하는 방법은 피싱이란? 참고).
이용 중인 서비스는 아래 표에서 확인하세요
아래 표에는 각 회사의 공지가 정리되어 있습니다. 표에 없는 회사가 나중에 발표할 수도 있으므로, 뉴스레터를 받는 사이트의 공지 페이지를 가끔 확인하세요. 개별 통지가 오면 이메일 안의 링크가 아니라 공식 사이트의 공지와 대조하세요.
요청을 받더라도 비밀번호나 카드 번호는 입력하지 마세요
Arara Inc.는 비밀번호나 카드 정보 입력을 요구하는 이메일은 보내지 않는다고 밝혔고, 고객사들도 비슷하게 밝혔습니다. 이메일이 입력을 요구하면 이메일이 아니라 공식 사이트를 통해 확인하세요.
가짜 이메일을 받았다고 해서 내 주소가 반출된 것은 아닙니다
Arara Inc.의 2차 보고에 따르면 가짜 이메일은 "제3자가 외부에서 가져온 이메일 주소"로 발송되었습니다. 회사의 서비스가 악용되었기 때문에(회사 설명) 발신 주소가 news@arara.com으로 표시됩니다. 반대로 받지 않았다고 해서 내 주소가 반출되지 않았다는 뜻도 아닙니다.
영향을 공개한 고객 기관
Arara Inc.의 서비스를 사용하는 기관은 자체 공지를 게시했습니다. 아래 표는 이 사이트가 11월 5일부터 7일 사이에 각 기관의 공식 페이지를 열어 확인한 공지 중 Arara Inc.(또는 그 서비스)를 명시한 것만 정리했습니다. 발표일이 오래된 순서입니다.
각 상태 표현은 해당 기관의 문구를 따릅니다. Arara Inc.는 고객사를 밝히지 않았습니다. 각 기관이 밝힌 건수는 약 8,130만 건과 더하거나 비교할 수 없습니다(같은 사람의 주소가 여러 기관의 건수에 들어 있을 수 있습니다).
| 기관 | 서비스 이용 목적(공지 기재 내용) | 영향을 받을 수 있는 데이터(공지 기재 내용) | 상태 | 날짜 |
|---|---|---|---|---|
| Kagoshima Bank, Minami-Nippon Bank, Kagoshima Sogo Shinkin Bank, Kagoshima Shinkin Bank(Pay-don) | 앱 "Pay-don"의 이메일 알림(이메일 발송을 Arara Inc.에 위탁). 이메일 알림과 신규 가입 중지 | Pay-don 이용자와 가맹점의 이메일 주소, 결제 정보(일시, 가게 이름, 결제 금액). 건수는 밝히지 않음. 2차 피해는 보고되지 않음 | 가능성 있음(은행 4곳) | 10월 28일 |
| Okinawa Prefecture(낙도 교류 사업 "Shimamaru") | 뉴스레터(사업 수탁 업체가 Arara Message 이용) | 이메일 주소 2,560건. 이름 등 다른 데이터는 유출되지 않음 | 가능성 있음(현) | 10월 29일 |
| Suzuki(Suzuki Media Site) | 언론 대상 뉴스 릴리스(사이트 서비스 제공 업체 아래에서 Arara Inc.가 이메일 발송 담당) | 등록된 이메일 주소 최대 2,575건. 이름과 주소는 없음. 악용과 2차 피해는 확인되지 않음 | 가능성 있음(회사) | 10월 30일 |
| Bic Camera, Kojima, Sofmap(공동 공지) | 이메일 발송을 위탁 업체에 맡김. 메일 발송 시스템은 Arara Inc.가 제공 | 이메일 주소 등. 그룹 합계 약 1,490만 건. 신용카드 정보와 온라인 쇼핑몰 로그인 정보는 이 서비스에서 다루지 않아 대상이 아님. 구체적인 2차 피해는 확인되지 않음 | 가능성 있음(각 회사) | 11월 2일 |
| Osaka Gas(식사 정기 배송 "FitDish") | "FitDish" 고객에게 보내는 이메일 | 이메일 주소 34,489건(10월 8일부터 29일까지 발송 대상). 이름, 주소, 전화번호, 카드 정보, 구매 데이터는 없음 | 유출 확인(회사) | 11월 2일 |
| Kinko's Japan | Smart Membership 회원 대상 뉴스레터 | 이메일 주소(건수 확인 중). 이름, 회원 번호, 등록일, 생일, 선호 매장: 현재까지 유출 미확인. 처음에는 자사 환경이 대상이 아니라고 전달받았으나 2차 보고 이후 재확인에서 유출이 확인됨 | 유출 확인(회사), 다른 항목은 미확인 | 11월 2일 |
| Asoview(이 사이트의 해설) | Asoview! 회원 대상 이메일(회원 데이터를 Arara Inc.의 서비스에 위탁) | 15,821,184건. 이메일 주소, 회원 ID 또는 번호, 이름, 성별, 생년월일, 전화번호, 우편번호, 지역, 티켓 구매·이용 데이터 등. 비밀번호와 카드 정보는 위탁하지 않아 대상이 아님. 영향받은 회원 특정은 앞으로 진행 | 유출 확인(회사) | 11월 3일 |
| The Yokohama Rubber Co. | 뉴스 릴리스와 뉴스 이메일 발송(이메일 발송을 담당하는 위탁 업체 경유) | 등록된 회사명과 이메일 주소. 건수는 밝히지 않음. Arara Inc.는 처음에는 관련 유출이 없다고 보고했다가 11월 3일 회사에 유출을 통지함 | 유출 확인(회사) | 11월 3일 |
| Workman | "Workman Online Store 뉴스레터". 온라인 사이트의 알림 이메일(앱 내 알림 포함)은 이 서비스를 쓰지 않아 영향 없음 | 이메일 주소 최대 약 145만 건. 다른 데이터는 유출되지 않음. 10월 29일에는 회원 주소가 포함되지 않았다고 전달받았으나 11월 2일 긴급 전화로 유출을 통보받음(서면 확인 대기 중) | 유출 확인(회사) | 11월 4일 |
| JR Kyushu | 분양 맨션 모델하우스 방문자와 자료 청구자 대상 뉴스레터(발송 위탁 업체가 Arara Inc.의 서비스를 이용) | 이름과 이메일 주소. 최대 약 13,000건. 주소와 전화번호는 유출 가능성 없음. 2차 피해는 확인되지 않음 | 가능성 있음(회사) | 11월 4일 |
| TKC | TKC 시스템 이용 고객 대상 이메일 발송(발송을 Arara Inc.에 위탁). TKC 서비스는 현재 이메일을 보낼 수 없음 | 이메일 주소 최대 2,230,812건. 이메일 본문, 마이넘버, 지자체 신청 내용은 유출되지 않음. 어느 고객의 주소인지는 조사 중(3차 보고) | 유출 확인(회사) | 11월 4일 |
| Bank of the Ryukyus(2차 보고) | 외부 이메일 서비스 "repica"(Arara Inc. 제공). 발송 중지 | 이메일 주소 96,477건(10월 8일부터 29일까지 발송된 이메일 일부). 이름, 주소, 계좌 정보, 비밀번호 유출은 확인되지 않음. 영향받은 대상 특정(2차 보고) | 유출 확인(은행) | 11월 4일 |
| Zaif | 알림 이메일(Arara Inc.의 서비스). 발송 일시 중지 | 이메일 주소 380,536건(중복 제외). 이름 등 속성 정보, 이메일 본문, 인증 정보는 없음. 현재 이용자 수는 확인 중(2차 보고) | 유출 확인(회사) | 11월 4일 |
| IIJ(IIJmio) | IIJmio 고객 대상 이메일 | 이메일 주소 983,458건(해지된 계약 포함). 고객 속성의 세부 내용은 Arara Inc.와 확인 중. 카드 정보는 서비스와 공유하지 않아 대상이 아님 | 유출 확인(회사) | 11월 4일 |
| Hasegawa | Arara Inc.의 이메일 발송 서비스와 연동된 "repica" 서버 | 이메일 주소 305건(10월 8일부터 29일까지 발송 대상). 보관 중인 고객 데이터(이름, 구매 데이터)와 이메일 제목·본문은 대상이 아님(1차 보고) | 유출 확인(회사) | 11월 4일 |
| Tribeck | 이메일 발송 정보(발송 로그). 비즈오션(bizocean)의 서식 사이트와 회원 데이터, 광고 서비스(뉴스레터 포함)는 이 서비스를 쓰지 않아 대상이 아님 | 61,213건(중복과 테스트 이메일 포함). 이메일 주소와 병합 문자열(이름 등 병합 필드로 설정한 항목) | 유출 확인(회사) | 11월 4일 |
| Chobirich | 회원 대상 이메일 발송(Arara Message). 발송을 중지하고 사이트에서 회원에게 알림 | 이메일 주소 1,348,525건(회원 수가 아님). 이메일 주소, 회원 번호, 닉네임, 생년월일, 성별, 거주 도도부현, 포인트 잔액이 유출되었을 수 있음. 이름, 전화번호, 비밀번호, 은행 계좌 정보는 위탁하지 않아 대상이 아님. 영향받은 회원의 특정은 이제부터 | 가능성 있음(회사) | 11월 4일 |
| MOS Food Services | "MOS WEB 회원" 대상 뉴스레터 등 이메일(Arara Inc. 제공 "repica") | 7,517,087건. 이메일 주소, 연령, 성별, 거주 도도부현 등. 신용카드 정보 등 결제 관련 정보는 포함되지 않음 | 유출 확인(회사) | 11월 4일 |
| GMO Payment Service | 자사 위탁처인 법률사무소가 이메일 발송에 사용한 Arara Message. 2026년 7월 20일부터 10월 30일까지 이메일 발송 대상이었던 사람의 데이터 | 이메일 주소만: 최대 101,226건. 이메일 주소, 이름, 청구 금액, 청구 내용(이용하거나 구매한 가맹점과 상품), 문의 번호, 안내 내용: 최대 5,771건. 합계 최대 106,997건(회사 자체 수치). 영향받은 사람에게는 이메일로 개별 통지. 자사 시스템과 서비스에는 영향 없음 | 유출 확인(회사) | 11월 5일 |
| CYBIRD | 여러 서비스에서 Arara Inc.의 이메일 발송 서비스를 이용. 영향받은 서비스와 사람은 아직 특정되지 않음 | 이메일 주소 98,738건. Arara로부터 보고받은 유출 항목은 이메일 주소뿐. 자사 서비스에 대한 무단 접근은 확인되지 않음 | 유출 확인(회사) | 11월 6일 |
| Pacific League Marketing(퍼시픽 리그 5개 구단의 이메일 발송) | 구단 공식 사이트의 유료 회원 중 희망자에게 보낸 경기 속보 등의 이메일. 2026년 7월 1일 이후 각 구단이 이메일을 보낸 주소(Nippon-Ham, Rakuten, Seibu, Lotte, SoftBank). 5개 구단은 Arara Inc.의 서비스 이용을 중지함. Orix는 이용하지 않음 | 이메일 주소만. 구단별: Nippon-Ham 3,575건, Rakuten 1,165건, Seibu 2,693건, Lotte 2,618건, SoftBank 3,660건(회사가 밝힌 합계 13,711건). 팬클럽 회원 데이터는 대상이 아님. 2차 피해는 확인되지 않음. 같은 안내에는 Chiba Lotte Marines 공식 사이트에 대한 무단 접근도 적혀 있으나 Arara와는 별개의 건으로 취급함 | 유출 확인(회사) | 11월 6일 |
영향이 없다고 통지받았던 회사가 나중에 영향을 받은 것으로 밝혀졌습니다
Workman, The Yokohama Rubber, Kinko's Japan의 공지에는 10월 28일이나 29일의 첫 연락에서는 자사 환경이 대상이 아니라고(또는 관련 유출이 확인되지 않았다고) 전달받았고, 11월 2일 2차 보고 무렵 유출을 통지받았다고 적혀 있습니다. 무단 접근이 확인된 서버가 공유 환경에서 고객사 환경으로 넓어졌기 때문입니다. 처음에 영향이 없다고 들었더라도 후속 조사에서 바뀔 수 있습니다.
무슨 일이 있었는가(Arara Inc.의 공지 기준)
아래는 2026년 11월 6일 Arara Inc.의 3차 보고, 11월 2일의 2차 보고(보도자료와 같은 날 모회사의 적시 공시), 공지 페이지를 바탕으로 한 내용입니다. 10월 29일 1차 보고에서는 공유 환경의 이메일 주소 약 301만 건 유출을 발표했습니다.
10월 27일
사전 조사로 보이는 접근이 있었습니다(3차 보고가 2차 보고의 "10월 27일–28일"을 수정).10월 28일
제3자가 공유 환경의 관리 콘솔에 무단 로그인하여 데이터 내보내기 같은 기능을 악용해 데이터를 반출했습니다. 회사는 16:31에 해당 환경을 긴급 중지했습니다(2차·3차 보고).10월 28일
서비스 환경 일부가 악용되어 카드 회사를 사칭한 가짜 이메일 발송이 시작되었습니다(3:59경). 7:00에 회사는 해당 환경의 외부 접근을 차단했습니다. 다른 환경에서도 8:47경부터 가짜 발송이 이어졌습니다(10월 30일 발견).10월 29일
회사는 1차 보고를 발표하고 개인정보보호위원회에 초기 보고를 제출했으며, 경찰에 신고하고 JIPDEC에 초기 보고를 보냈습니다.10월 28일–31일
제3자가 서비스의 서버를 통해 많은 서버에 침입하여 데이터베이스 내용을 반출했습니다(고객사 환경의 서버 97대). 2차 보고에서도 이미 10월 28일–31일이라고 했습니다. 11월 6일 회사는 11월 2일 일부 고객사에 개별로 알렸던 기간("10월 28일에서 29일 사이 어느 시점")을 정정했습니다. 데이터는 10월 28일부터 10월 31일 중지까지 계속 반출되었습니다(서버마다 시점이 다름). 별도 클라우드 환경(환경 B)에서도 같은 기간에 인증 정보가 무단으로 사용되어 데이터가 반출되었습니다(3차 보고).10월 30일
회사는 가짜 발송을 발견하고 13:26에 해당 환경의 통신을 차단했습니다(13:32 이후 새로운 발송은 확인되지 않음).10월 31일
오전에 서비스를 통해 데이터가 반출된 것을 발견했습니다. 악용된 인증 정보를 무효화하고 서버별로 차례로 통신을 차단하여 서비스 전체를 중지했습니다(중지 시작 14:50, 완료 19:53). 환경 B의 인증 정보도 무효화하고 환경 B를 중지했습니다(3차 보고).11월 2일
회사는 2차 보고를 발표했습니다(모회사가 같은 날 적시 공시). 새로 확인된 사항은 개인정보보호위원회에 보고하고 JIPDEC에 중간 보고를 보낼 예정이라고 밝혔습니다.11월 6일
회사가 3차 보고를 발표했습니다. 환경 B에서 반출된 3,249,492건을 더해 구분 간 중복을 제외한 합계를 81,329,467건으로 밝혔고, 공유 환경의 건수를 2,842,400건으로 정정했습니다. 같은 날 공지 페이지에서 11월 2일 일부 고객사에 개별로 알렸던 반출 기간("10월 28일에서 29일 사이 어느 시점")을 정정했습니다.
이메일 수신자와 회원
발신 측에 이메일 주소를 등록함(이름, 회원 번호 등을 함께 등록한 경우도 있음)
해야 할 일: 발신자 이름으로 온 이메일의 링크는 열지 않기
발신 기업 및 기관(고객사)
메일링 리스트를 관리하며 Arara Inc.의 서비스에 등록해 이메일을 발송함. 개인정보에 대한 책임은 고객사에 있음
해야 할 일: 영향 여부를 확인하고 신고와 통지를 결정하기
Arara Inc.(Arara Message)
환경 A의 서비스 경유 78,102,937건, 공유 환경 2,842,400건, 환경 B 3,249,492건. 겹치는 부분을 뺀 합계는 81,329,467건
항목은 고객사마다 다르며 조사 중
- 서비스
- 이메일 발송 서비스 Arara Message와 ASP repica 시리즈. 중지된 부분은 Arara Message GUI, API v1과 v2, ASP repica 편집기·발송기·자동 메일, BMA 오류 목록 기능. 온프레미스 repica는 대상이 아님. 회사의 다른 서비스는 영향 없음
- 구분 (1): 서비스 경유(환경 A)
- 10월 28일부터 10월 31일 중지까지 계속(서버마다 시점이 다름. 11월 2일 일부 고객사에 개별로 알린 기간은 11월 6일 정정): 고객사 환경 서버 97대(최대 약 380개사)에서 이메일 주소와 회원 데이터 반출 확인. 2차 보고는 약 7,700만 건(11월 1일 기준), 3차 보고는 78,102,937건(이메일 주소만 31,346,375건, 속성 포함 46,756,562건)
- 구분 (2): 1차 보고의 공유 환경(환경 A)
- 10월 27일은 사전 조사로 보이는 접근이었고, 무단 로그인과 반출은 10월 28일: 고객사 61곳. 이메일 주소와 속성 정보. 3차 보고는 2차 보고의 3,386,187건을 2,842,400건(이메일 주소만 2,507,311건, 속성 포함 335,089건)으로 정정하고 일부 텍스트 정보가 포함되었다고 밝힘. 2차 보고의 "5개사의 고객 데이터 최대 411,827건"은 3차 보고에서 갱신되지 않음
- 구분 (4): 환경 B(3차 보고에서 추가)
- 10월 28일–31일, 인증 정보가 무단으로 사용되어 환경 B에 접근했고 이메일 주소 3,249,492건(이메일 주소만)이 반출됨. 새로운 침입이 아님. 환경 B는 서비스의 다른 서버와 다른 클라우드에 있음. 2차 보고 시점에는 조사 중이어서 건수를 확인하지 못해 포함하지 않음. 10월 31일 인증 정보를 무효화하고 중지함
- 구분 (3): 악용
- 10월 28일–30일: 두 환경에서 가짜 이메일 최대 약 713만 통 발송. 발송 자체로는 이메일 주소 외의 유출이 확인되지 않음
- 건수에 대하여
- 3차 보고의 합계 81,329,467건은 구분 간 겹치는 부분을 뺀 수치임(이메일 주소만 34,285,087건, 속성 포함 47,044,380건. 이 구분은 확인 중). 2차 보고의 구분을 겹침이 없는 것처럼 더하면 80,386,187건이며, 3차 보고는 이보다 943,280건 많음. 사람 수가 아닌 이메일 주소 수임. "반출되었을 가능성"은 읽힌 레코드의 양으로 판단함(2차 보고)
- 항목
- 이메일 주소, 고객사가 등록한 항목(이름, 성별, 생년월일, 전화번호, 회원 번호, 주소 등, 고객사마다 다름), 발송 대상 등의 기록. 신용카드 번호는 보관하지 않음. 관리 콘솔을 쓰는 직원의 이름과 이메일 주소에 대한 영향은 확인 중
- 원인에 대한 설명
- 웹 서버의 취약점과 시스템 환경의 문제가 관련됨. 침입이 시작된 시점과 방법은 조사 중. 접근 출처가 같아 일련의 침입은 앞선 보고와 같은 제3자로 보인다고 밝힘
- 재개
- 경로를 특정하고 인증 정보를 일괄 변경하며 시스템 안전을 확인한 뒤 결정. 시점은 미정(3차 보고도 동일). 재개 시 고객사에 관리 콘솔 비밀번호와 API 키 등 인증 정보 재설정을 요청할 예정
- 문의처
- 고객사 지원 창구 03-5414-3611. 직접 계약 고객 전용이며, 대리점을 통해 계약한 경우 해당 대리점에 문의(공지 페이지 기준)
확인된 사항과 확인되지 않은 사항
2026년 11월 7일 기준 상태입니다. 새로운 소식이 있으면 이 표의 상태 열을 다시 씁니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 개인정보 반출(고객사 환경) | 서버 97대에서 이메일 주소와 회원 데이터 반출 확인(반출되었을 가능성이 있는 데이터 포함, 2차 보고) | 유출 확인(회사, 가능성 포함) |
| 이메일 주소 건수 | 구분 간 중복을 제외한 81,329,467건(3차 보고). 2차 보고는 약 7,700만 건이었음. 사람 수가 아님. 이메일 주소만 34,285,087건, 속성 포함 47,044,380건의 구분은 확인 중 | 확인됨(회사, 구분은 확인 중) |
| 영향받은 고객사 수 | 최대 약 380곳(2차 보고의 추정이며, 3차 보고는 공유 환경의 61곳과 환경 B의 고객사를 포함한다고 설명). 이름은 공개되지 않음 | 조사 중 |
| 공유 환경 | 고객사 61곳, 2,842,400건(중복 제외. 2차 보고의 3,386,187건에서 정정, 1차 보고의 약 301만 건에서 갱신). 2차 보고의 5곳 고객 데이터 최대 411,827건은 3차 보고에서 갱신되지 않음 | 유출 확인(회사) |
| 환경 B | 3,249,492건, 이메일 주소만. 10월 28일–31일의 같은 일련의 접근 중. 새로운 침입이 아님. 10월 31일 인증 정보 무효화 및 중지 | 유출 확인(회사) |
| 반출 기간 | 10월 27일: 사전 조사로 보이는 접근. 무단 로그인과 반출은 10월 28일부터 10월 31일 중지까지 계속(서버마다 다름). 11월 2일 일부 고객사에 개별로 알린 "10월 28일에서 29일 사이 어느 시점"은 잘못이었으며 11월 6일 정정됨(공개된 2차 보고는 10월 28일–31일) | 확인됨(회사) |
| 회원 데이터 항목 | 이름, 성별, 생년월일, 전화번호, 회원 번호, 주소 등(고객사마다 다름), 발송 대상 등의 기록 | 유출 확인(회사, 항목은 고객사마다 다름) |
| 신용카드 번호 | 서비스에 전혀 보관하지 않음(2차·3차 보고) | 포함되지 않음(회사) |
| 관리 콘솔과 API 인증 정보 | 악용된 인증 정보는 무효화됨. 재개 시 고객사에 재설정을 요청할 예정. 2차 보고의 표에서 해당 칸은 "이용 중지"(서비스 경유)와 "해당 없음"(공유 환경)이며, 반출되었는지는 적혀 있지 않음 | 명시되지 않음 |
| 고객사 직원 데이터 | 관리 콘솔 이용자의 이름과 이메일 주소에 대한 영향을 확인 중 | 조사 중 |
| 가짜 이메일 발송 | 10월 28일–30일, 두 환경에서 최대 약 713만 통. 발신 주소 news@arara.com. 수신자는 제3자가 외부에서 가져온 주소 | 확인됨(회사) |
| 원인 | 웹 서버의 취약점과 시스템 환경의 문제. 시작 시점과 경로는 조사 중 | 조사 중 |
| 유출된 데이터의 악용 | Arara는 언급하지 않음. Bic Camera·Kojima·Sofmap, Asoview, Zaif는 공지에서 현재 2차 피해나 악용이 확인되지 않았다고 밝힘 | 미확인(각 회사) |
| 서비스 상태 | 10월 31일 모든 서비스 중지. 재개 시점 미정(3차 보고). 예약 발송은 실행되지 않음 | 확인됨(회사) |
| 당국 신고 | 개인정보보호위원회: 10월 29일 초기 보고, 11월 2일 중간 보고, 11월 6일 추가 보고 예정. 총무성(간토 총합통신국): 11월 4일 보고, 11월 6일 추가 보고 예정. 경찰: 10월 29일 신고. JIPDEC: 10월 29일 초기 보고, 11월 4일 중간 보고, 11월 6일 추가 보고 예정 | 확인됨(11월 4일까지의 건), 11월 6일 추가 보고는 예정이라고 명시 |
| 사업 실적에 대한 영향 | 아직 검토 중(3차 보고) | 조사 중 |
각 회사의 건수는 약 8,130만 건과 비교할 수 없습니다
81,329,467건(약 8,130만 건)은 Arara Inc.가 이번 사고 전체에 대해 구분 간 중복을 제외하고 밝힌 이메일 주소 수입니다. Workman의 최대 약 145만 건이나 Asoview의 15,821,184건 같은 수치는 그 일부일 수 있지만, 어느 회사가 얼마를 차지하는지는 공개되지 않았습니다. 건수는 집계 기준이 서로 다르므로 더하거나 빼지 마세요.
이메일 주소와 회원 데이터는 어떻게 악용될 수 있는가
일반적으로 다음 조합이 있으면 다음과 같은 악용이 가능합니다. 이번 사고에서 실제로 일어났다는 뜻은 아닙니다.
- 이메일 주소와 발신 회사 이름: 평소 뉴스레터와 같은 주소로 그 회사 이름의 가짜 이메일이 오며, 늘 오던 발신자라고 믿기 쉽습니다
- 이름, 전화번호, 주소: 실제 이름을 쓴 가짜 이메일과 SMS, 전화를 이용한 가짜 본인 확인
- 회원 번호, 이름, 생년월일: 회원 서비스를 사칭해 "본인 확인"을 구실로 추가 정보를 요구
- 이용 내역(구매한 티켓 종류, 이용한 시설, 결제일과 금액): 실제 예약과 결제에 기반한 그럴듯한 "취소"나 "환불" 안내의 재료
2026년 10월에 Ymirlink의 이메일 발송 서비스 Cuenote FC와 Blastmail에서 일어난 사고도 하나의 발송 서비스에서 많은 기관의 주소가 유출된 사례였습니다. 어느 경우든 이메일을 받는 기관의 공지로 영향 여부를 확인하게 됩니다.
Arara Message를 사용하는 기업과 기관이 해야 할 일
Arara Inc.는 2차 보고 이후 모든 고객사에 신속히 연락해 환경이 영향을 받았는지와 어떤 데이터가 유출되었는지를 개별적으로 알리겠다고 밝혔습니다. 3차 보고에서는 환경 B를 이용한 고객사에도 개별 연락하겠다고 밝혔습니다. 표에서 보듯 처음에는 영향이 없다고 통지받았다가 나중에 영향이 확인된 사례가 있습니다.
Arara Inc.의 개별 연락과 지원 창구를 통해 환경이 영향을 받았는지 확인하세요
연락을 기다리기만 하지 말고 고객사 지원 창구(03-5414-3611, 직접 계약 고객 전용. 대리점 경유라면 대리점)에 문의하세요. 회사가 알려 주는 항목과 건수를 발송 시스템에 등록한 항목과 대조하세요.
개인정보보호위원회 신고는 공동 보고 마감(11월 9일 18시)을 확인하세요
Arara Inc.는 민간 기업과 기관은 회사와 공동으로, 정부 기관과 지자체는 회사에 대리 보고를 맡겨 개인정보보호위원회에 보고할 수 있다고 밝혔습니다. 신청 마감은 2026년 11월 9일(월) 18시입니다. 신청하면 직접 보고할 필요가 없고, 초기 보고의 기준 기간을 넘겨도 지연 보고로 취급하지 않는다는 점을 위원회와 확인했다고 합니다. 직접 보고하는 경우에는 신청할 필요가 없습니다.
공동 보고는 프라이버시 마크 보유 사업자의 JIPDEC 보고를 포함하지 않으므로 이는 직접 처리해야 합니다. 절차는 회사의 안내 페이지에 있습니다. 당사자에게 통지해야 하는지는 위원회 상담 창구나 전문가와 상의하세요.
11월 2일에 반출 기간을 안내받았다면 정정된 기간으로 바꾸세요
Arara Inc.의 공지 페이지에 따르면 11월 2일 일부 고객사에 개별로 알린 기간("10월 28일에서 29일 사이 어느 시점")은 잘못이었습니다. 올바른 기간은 10월 28일부터 10월 31일 서비스 중지까지 각 서버에서 계속된 반출입니다(서버마다 시점이 다름). 앞선 기간을 개인정보보호위원회 보고나 사내 설명에 사용했다면 정정된 기간으로 바꾸세요.
서비스 중지 중에는 예약 발송이 실행되지 않으므로 중요한 안내는 다른 수단으로 옮기세요
공지 페이지에 따르면 서비스 중지 중에는 관리 콘솔과 API를 쓸 수 없고 이미 예약된 이메일도 발송되지 않습니다. 예약해 둔 청구서, 기한 안내, 캠페인은 도착하지 않습니다. 공식 사이트 게시나 앱 알림 등 다른 수단으로 중요한 안내를 전하세요. TKC와 Hasegawa처럼 이미 다른 이메일 발송 플랫폼으로 옮기는 회사도 있습니다.
재개 전에 자사 인증 정보를 점검하세요
Arara Inc.는 재개 시 고객사에 관리 콘솔 비밀번호와 API 키 등 인증 정보 재설정을 요청할 예정입니다. 이 사이트의 조언으로, 같은 비밀번호를 다른 서비스에서도 쓰는지, API 키가 다른 시스템이나 설정 파일에 적혀 있는지 미리 확인해 두면 재설정이 빨라집니다.
수신자에게 주의를 알리세요
표의 회사들은 모두 공지에서 자사 이름으로 온 수상한 이메일의 링크를 열지 말라고 당부하고 있습니다. 주의 이메일 자체에는 링크를 넣지 않고, 발송이 중지된 동안 도착하는 이메일은 가짜일 가능성이 높다고 알리면 도움이 됩니다.
이 사이트의 관점: 발송 시스템이 멈추면 이메일에만 의존한 연락도 멈춥니다
이번 사고에서는 데이터 유출뿐 아니라 서비스 전체가 중지되어 예약 발송이 실행되지 않습니다. 표의 회사들이 받는 영향도 "이메일 알림 기능 중지(Pay-don)", "알림 이메일 일시 중지(Zaif)", "TKC 서비스에서 이메일 발송 불가"처럼 제각각입니다.
이메일로 보내는 것을 종류별로 정리하세요
청구와 기한 안내, 인증 코드, 예약 확인, 캠페인을 나누고, 발송 시스템이 며칠 멈추면 곤란한 것을 표시해 두세요.
멈추기 전에 대체 수단을 정해 두세요
같은 제공 업체에 의존하지 않는 별도의 발송 플랫폼, 공식 사이트 공지, 앱 알림을 미리 정해 두세요. 멈춘 뒤에야 교체할 곳을 찾기 시작하면 표의 회사들처럼 그동안 연락에 공백이 생깁니다.
발송 시스템에 등록하는 항목은 최소한으로 하세요
표에서 보듯 같은 사고에서도 이메일 주소만 보관한 회사부터 이름, 생년월일, 구매 데이터까지 등록한 회사까지 영향이 다양합니다. 병합 필드나 세분화에 쓰지 않는 항목은 등록하지 마세요.
출처(공개 기록)
이 글의 사실은 다음 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 방법은 추측하지 않습니다.
- Arara Inc., "Arara Message에 대한 무단 접근에 따른 정보 유출 및 서비스 중지(3차 보고)"(2026년 11월 6일) — arara.com
- Arara Inc., "[중요] Arara Message 서비스 중지 및 개인정보 유출에 대한 사과와 보고"(공지 페이지 2026년 11월 6일 21:00 업데이트, 11월 7일 확인, 반출 기간 정정 포함) — am.arara.com
- Arara Inc., "Arara Message에 대한 무단 접근에 따른 정보 유출 및 서비스 중지(2차 보고)"(2026년 11월 2일) — arara.com
- Arara Inc., "개인정보보호위원회 공동 보고 및 대리 보고 안내" — am.arara.com
- PayCloud Holdings Co., Ltd., "연결 자회사가 제공하는 Arara Message에 대한 무단 접근에 따른 정보 유출 및 서비스 중지(2차 보고)"(2026년 11월 2일, 적시 공시) — xj-storage.jp
- Kagoshima Bank 외 3개 기관, Pay-don에 대한 무단 접근에 따른 개인정보 유출 가능성 공지(2026년 10월 28일) — kagin.co.jp
- Okinawa Prefecture, 낙도 교류 사업 "Shimamaru" 뉴스레터 발송 서비스에 대한 무단 접근에 따른 정보 유출 가능성 공지(2026년 10월 29일) — pref.okinawa.jp
- Suzuki Motor Corporation, "위탁 업체의 개인정보 유출 가능성"(2026년 10월 30일) — suzuki.co.jp
- Bic Camera, Kojima, Sofmap, 위탁 업체에 대한 무단 접근에 따른 뉴스레터 등록자 데이터 유출 사과 및 공지(2026년 11월 2일) — biccamera.com
- Osaka Gas Co., Ltd., "위탁 업체의 이메일 발송 서비스에 대한 무단 접근에 따른 고객 정보 유출"(2026년 11월 2일) — osakagas.co.jp
- Kinko's Japan Co., Ltd., Arara Message에 대한 무단 접근에 따른 고객 이메일 주소 유출 사과 및 공지(1차 보고, 2026년 11월 2일) — kinkos.co.jp
- Asoview, Inc., "위탁 업체의 이메일 발송 서비스에 대한 무단 접근 사과 및 공지"(2026년 11월 3일) — asoview.co.jp
- The Yokohama Rubber Co., Ltd., "당사가 이용하는 이메일 발송 서비스의 개인정보 유출"(2026년 11월 3일) — y-yokohama.com
- Workman Co., Ltd., Workman Online Store 뉴스레터 회원 이메일 주소 유출 사과 및 요청(2026년 11월 4일) — workman.co.jp
- Kyushu Railway Company, 협력 업체의 이메일 발송 서비스에 대한 무단 접근에 따른 이메일 주소 유출 가능성 공지(2026년 11월 4일) — jrkyushu.co.jp
- TKC Corporation, "이메일 발송 위탁 업체에 대한 무단 접근에 따른 정보 유출(3차 보고)"(2026년 11월 4일) — tkc.jp
- The Bank of the Ryukyus, "위탁 업체의 이메일 발송 서비스에 대한 무단 접근에 따른 고객 이메일 주소 유출(2차 보고)"(2026년 11월 4일) — ryugin.co.jp
- Zaif, "위탁 업체에 대한 무단 접근에 따른 정보 유출(2차 보고, 2026년 11월 4일)" — corp.zaif.jp
- Internet Initiative Japan Inc., "당사가 이용하는 이메일 발송 서비스에 대한 무단 접근에 따른 고객 정보 유출"(2026년 11월 4일) — iij.ad.jp
- Hasegawa Co., Ltd., "이메일 발송 위탁 업체에 대한 무단 접근에 따른 개인정보 유출 사과 및 공지(1차 보고)"(2026년 11월 4일) — hasegawa.jp
- Tribeck Corporation, Arara Inc.에 대한 무단 접근에 따른 개인정보 유출 사과 및 공지(2026년 11월 4일) — tribeck.jp
- Chobirich Co., Ltd., 위탁 업체의 이메일 발송 서비스에 대한 무단 접근 사과 및 공지(2026년 11월 4일) — chobirich.co.jp
- MOS Food Services, Inc., 위탁 업체의 이메일 발송 서비스에 대한 무단 접근에 따른 고객 정보 유출 사과 및 공지(2026년 11월 4일) — mos.co.jp
- GMO Payment Service, Inc., "Arara Inc.에 대한 무단 접근에 따른 개인정보 유출"(2026년 11월 5일) — gmo-ps.com
- CYBIRD Co., Ltd., "[중요 공지] 이메일 발송 서비스(Arara Inc.)에 대한 무단 접근에 따른 개인정보 유출 사과 및 공지"(2026년 11월 6일) — cybird.co.jp
- Pacific League Marketing, Inc., "무단 접근에 따른 고객 이메일 주소 유출 사과 및 공지"(2026년 11월 6일, Sportsmania에 게재된 보도자료) — sportsmania.jp
- Personal Information Protection Commission, "유출 등 대응과 참고 자료" — ppc.go.jp
업데이트 이력
2026-11-07: 11월 6일 3차 보고를 반영했습니다. 반출된 이메일 주소를 약 7,700만 건에서 구분 간 중복을 제외한 81,329,467건(약 8,130만 건)으로 바꿨습니다. 별도 클라우드 환경(환경 B)의 3,249,492건, 공유 환경 건수 정정(3,386,187건에서 2,842,400건), 11월 2일 일부 고객사에 개별로 알렸던 반출 기간의 정정(10월 28일부터 10월 31일 중지까지 계속)을 추가했고, 고객사 표에 Tribeck, Chobirich, MOS Food Services, GMO Payment Service, CYBIRD, Pacific League Marketing을 추가했습니다. 공지 페이지는 11월 6일 21:00에 마지막으로 업데이트되었고, 11월 7일 12:00경 예정된 업데이트는 확인 시점에 올라와 있지 않았습니다.
2026-11-05: 첫 버전. Arara Inc.의 11월 2일 2차 보고(약 7,700만 건, 최대 약 380곳, 가짜 이메일 최대 약 713만 통)와 고객 기관 15곳의 공식 공지를 바탕으로 작성했습니다. 공지 페이지는 11월 4일 21:00에 마지막으로 업데이트되었고, 11월 5일 12:00경 예정된 업데이트는 이 글을 작성할 때까지 올라오지 않았습니다.
다음으로 읽을 글
- 유사 사례: Ymirlink Cuenote FC 무단 접근 / Blastmail 무단 접근 / JR East, View Card, JR Kyushu 이메일 주소 유출
- 개별 고객사 해설: Asoview 회원 데이터 유출
- 가짜 이메일 식별: 피싱이란? / 내 이메일 주소로 스팸이 온다
- 발신자 확인(운영자용): SPF, DKIM, DMARC 기본 개념
- 2026년 기타 사고: 2026년 데이터 유출 및 사이버 공격 (일본 및 전 세계)