바이토루 정보 유출(이메일 주소 최대 약 388만 건): 이메일만 유출됐다 — 회원이 가짜 면접 연락과 구인 사기를 구별하는 방법

회사는 2026년 10월 6일 바이토루와 바이토루 NEXT에서 영향을 받은 회원에게 알렸고, 이메일 등을 통해 개별 연락을 진행하고 있다고 밝혔다. 회원이 직접 확인할 방법은 공개되지 않았다.

회사가 보내는 이메일이 올 것을 사람들이 알고 있으므로, 이를 흉내 낸 가짜 이메일이 나올 수 있다. 확인하려면 이메일의 링크를 쓰지 말고, 홈 화면의 공식 앱이나 직접 저장해 둔 즐겨찾기로 사이트를 열어 공지를 읽어라.

구인 사이트에서는 고용주로부터 면접 시간이나 지원 확인에 관한 메시지를 받는 것이 일반적이다. 바로 그 때문에 이를 흉내 낸 메시지를 구별하기 어렵다.

이런 메시지를 받으면 공식 앱이나 사이트에서 실제로 그 구인에 지원했는지, 공고가 아직 있는지 확인하라. 지원한 기억이 없거나 공고를 찾을 수 없다면 링크를 열지 말고 메시지를 무시하라(기본 개념은 피싱이란? 참고).

회사 공지에 따르면 비밀번호와 신용카드 정보는 유출된 데이터에 포함되지 않았다. 회사는 또한 이메일이나 다른 메시지로 비밀번호나 신용카드 정보를 요구하지 않는다고 밝혔다.

따라서 “본인 확인을 위해” 또는 “계정 보호를 위해” 비밀번호나 카드 번호를 입력하라는 메시지는 가짜다. 이미 입력했다면 공식 앱에서 즉시 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 서비스의 비밀번호도 바꿔라(비밀번호 유출 여부 확인 방법 참고).

이는 구인 사이트에 대한 일반적인 조언이며, 바이토루에 관한 진술이 아니다. 일본 경찰청은 정상적인 구인 사이트의 공고에도 범죄 가담자를 모집하는 유해한 공고가 포함될 수 있다고 경고한다. 예를 들어 전화 사기의 현금을 수거하는 일이 있다. 경찰청이 든 징후에는 매우 익명성이 높은 메신저 앱을 설치하라는 요구, 본인, 가족 또는 지인의 개인정보를 반복해서 묻는 것, 근무지나 업무 내용을 확인할 수 없는 것이 포함된다.

경찰청은 정상적인 아르바이트에는 이런 앱이 필요하지 않다고 설명하며, 이런 요구를 받은 사람은 응답을 중단하고 경찰에 상담하라고 권고한다. 이미 신분증 사진을 보냈다면 일본 운전면허증 정보가 유출됐을 때 할 일를 참고하라.

일본 경찰청은 범죄 가담을 모집하는 징후로 다음을 든다(일본에서는 야미바이토라고 부른다). 업무 내용을 명확히 밝히지 않고 고액 보수를 약속하는 공고, “고액 보수”, “당일 지급”, “백색(깨끗한) 일” 같은 문구, 짐을 나르거나 물건을 받기만 하면 고액을 준다는 제안이다.

이미 지원했는데 빠져나올 수 없다면, 경찰 상담 전화 #9110에 연락하거나 가까운 경찰서를 방문하라고 경찰청은 권고한다.

일본 국민생활센터는 여가 시간에 간단한 일로 쉽게 돈을 번다고 약속하지만, 결국 사람들이 돈을 내도록 만드는 부업에 대해 경고한다. 대부분 소셜 미디어나 광고에서 시작되며, 일부는 메신저 앱을 통해 지원하도록 한다.

일을 하면 돈을 준다고 해 놓고 송금을 요구한다면, 돈을 내기 전에 소비자 상담 번호 188에 전화하라.

회원 이메일 주소 같은 회원 데이터를 반환하는 모든 화면이나 API, 계정 존재 여부를 알려 주는 모든 기능(가입, 비밀번호 재설정, 로그인), 숫자로 누군가의 데이터를 고르는 모든 기능을 적어라. 각 기능마다 서버가 매번 이 사용자가 해당 기록을 볼 권한이 있는지 확인하는지 점검하라(개념은 인증과 인가의 차이 참고).

요청 수뿐만 아니라, 로그인 계정이나 API 키별로 반환되는 타인 기록의 수를 세어라. 정상적인 이용에 필요한 양을 측정해 상한을 정하고, 처음에는 사용량이 그 상한의 80%에 도달하면 담당자에게 알리도록 설정하라. IP 주소는 바뀔 수 있으므로 계정이나 키 단위로 세어라. 전체 설계는 요청 횟수 제한과 남용 대책에 정리되어 있다.

접근 로그에서 한 사용자가 연속된 ID나 비슷한 형태의 이메일 주소를 빠르게 조회하는지 확인하라. 화면을 눌러 가며 보는 일반 이용자는 이런 패턴을 만들지 않으므로, 시간당 요청 수와 조회한 서로 다른 대상의 수가 좋은 신호가 된다.

회사는 부정 접근을 확인한 직후 해외 발 접근을 모두 차단했고, 프로그램도 수정했다고 밝혔다. 국가 단위 차단은 피해를 막기 위한 초기 대응으로 빠르게 작동한다. 하지만 일반적으로 연결의 출발지가 어떻게 보이는지에 따라 효과가 달라지므로, 그것만으로는 기능의 문제가 남는다. 이때 확보한 시간을 이용해 기능 자체에 기록별 권한 확인과 양 상한을 추가하라. 그것이 근본적인 해결책이다.