대상: Benefit One이 제공하는 Credit Saison 카드 회원용 혜택 서비스 Toku-Kai에 등록했던 사람(탈퇴한 사람 포함), 그리고 업무를 위탁처에 맡기는 기업. 이 글은 Benefit One의 공식 공지를 근거로 작성되었으며 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 원인(공격자가 어떻게 침입했는지)
- 영향을 받은 최종 인원수
- 이후 악용이 발생하는지 여부
- 개별 통지 완료
- Toku-Kai 재개 시기
회사는 10월 28일 공지에서 조사가 계속되고 있으며 인원수가 바뀔 수 있고 추가로 확인된 내용은 웹사이트에서 신속히 알리겠다고 썼습니다. 10월 30일 기준 회사의 뉴스 목록에 이 건에 대한 후속 공지(제2보)는 보이지 않습니다.
Toku-Kai 전·현 회원이 오늘 해야 할 일
영향을 받았는지 확인하세요(탈퇴한 사람도 포함)
공지에 따르면 영향을 받은 사람은 Toku-Kai에 등록했던 29,465명이며, 이 수치에는 탈퇴한 사람 일부도 포함됩니다. 회사는 영향을 받은 회원에게 등록된 이메일 주소로 한 명씩 연락하겠다고 합니다. 탈퇴 등으로 연락이 닿지 않는 사람에게는 이번 발표와 문의처가 개별 통지를 대신한다고 밝혔습니다.
공지에는 Benefit One 문의처(이메일 security-support@benefit-one.co.jp)에 영향 여부를 물어볼 수 있다고 되어 있습니다. 받은 이메일이 진짜인지 확인하려면 그 안의 링크를 쓰지 말고, 직접 찾아 연 공식 사이트의 회사 발표와 비교하세요.
회사나 제휴사를 사칭한 메시지의 링크는 열지 마세요
이름, 생년월일, 성별, 우편번호, 이메일 주소, 고객 번호가 함께 있으면 올바른 이름과 번호가 들어간 그럴듯한 가짜 메시지를 쓸 수 있습니다. 회사는 회사, 제휴사, 위탁처를 사칭한 수상한 이메일, 전화, 문자에 주의하라고 경고하며 회원에게 신용카드 번호나 비밀번호를 묻는 일은 없다고 밝혔습니다.
회사가 영향을 받은 회원에게 이메일을 보낼 예정이므로, 이를 흉내 낸 "영향 여부 확인"이나 "카드 재등록" 가짜 메시지도 생각해 볼 수 있습니다. 카드 번호나 비밀번호를 묻는 메시지는 가짜로 보고 직접 연 공식 사이트에서 확인하세요(구별법: 피싱이란?).
공지는 카드 번호 변경을 요청하지 않습니다. 예방 차원에서 명세서를 확인하세요
회사는 신용카드 번호, 유효기간, 보안 코드를 회사나 해당 시스템에 보관하지 않는다고 밝혔습니다. 결제 대행사가 관리하며 그 대행사의 시스템에는 접근이 없었으므로 카드 정보는 유출되지 않았다고 합니다. 공지는 카드 번호 변경을 권하지 않습니다.
회사는 또 결제 시스템 연동에 쓰는 자사의 인증 관련 정보 일부가 유출되었을 수 있고, 이것이 관리 번호와 결합되면 회비 결제의 부정 처리가 가능한 상태였다고 밝혔습니다. 이 정보는 10월 26일 변경되었고 그 경로로는 더 이상 부정 이용이 불가능하다고 합니다. 예방 차원에서 명세서에 기억에 없는 Toku-Kai 회비 청구가 있는지 확인하세요.
공지는 비밀번호 변경을 요청하지 않습니다
비밀번호는 밝혀진 유출 항목에 없고, 회사의 공지도 회원에게 변경을 요청하지 않습니다. 이 기회에 같은 이메일 주소를 쓰는 다른 서비스의 약하거나 재사용한 비밀번호를 점검하고 싶다면 비밀번호 관리자를 고려할 만하지만, 이번 사건에서 필수 단계는 아닙니다.
위탁처가 침해되어 제휴사 회원의 정보가 유출되었습니다
발표에 따르면 유출된 데이터는 Benefit One이 제휴사 회원에게 제공하는 서비스의 업무를 맡은 위탁처가 운영하는 시스템에서 나왔습니다. 회사는 Credit Saison이 관리하는 시스템에서 유출된 것이 아니라고 밝혔습니다.
회원 입장에서는 카드 회사, 서비스를 제공하는 회사, 그 업무를 하는 위탁처가 모두 얽혀 있으며, 이번 무단 접근은 위탁처의 시스템에서 일어났습니다. 같은 유형의 과거 사례로는 여러 기관이 같은 원인에 대해 따로따로 발표한 JR동일본, VIEW Card, JR규슈의 이메일 유출이 있습니다. 이번 건이 같은 경과를 밟는다고는 할 수 없습니다.
Credit Saison
카드 회원에게 서비스를 제공. 이 회사 시스템에서는 유출되지 않음
↓→
Benefit One
Toku-Kai 제공
↓→
위탁처의 시스템
무단 접근이 일어난 곳
회원 정보는 위탁처가 운영하는 시스템에서 유출되었습니다(회사 발표).
무슨 일이 있었나요 (Benefit One 발표 기준)
아래는 2026년 10월 28일 Benefit One의 발표(PDF)와 같은 날 Credit Saison의 공지를 바탕으로 합니다.
2026년 10월 14일 13:45
위탁처에서 무단 접근이 발생하고, 10월 20일 14:05까지 간헐적으로 반복됩니다.10월 21일
위탁처가 무단 접근의 일부를 감지합니다(10:30). Benefit One이 위탁처의 보고를 받고(11:40) 서비스를 임시 중단합니다(17:00).10월 23일
개인정보보호위원회에 보고합니다(속보).10월 24–25일
위탁처가 21일 시점에는 파악하지 못했던 추가 무단 접근을 감지합니다. Benefit One은 25일 18:50에 제2보를 받습니다.10월 26일
추가 피해를 막기 위해 Benefit One이 결제 시스템 연동에 쓰는 인증 관련 정보를 변경합니다.10월 27일
19:00에 위탁처로부터 제3보를 받고 인증 관련 정보 일부가 유출되었을 수 있음을 인지합니다.10월 28일
Benefit One이 10월 26일의 변경으로 그 경로를 통한 부정 처리가 더 이상 불가능함을 확인합니다. 사과문과 공지를 게시합니다.
- 영향을 받은 서비스
- Toku-Kai(Credit Saison Co., Ltd. 카드 회원용 서비스). 회사는 Credit Saison의 시스템에서 유출된 것이 아니라고 밝힘
- 유출 항목
- 이름, 후리가나, 생년월일, 성별, 우편번호, 이메일 주소, 고객 번호, 가입·탈퇴 정보, 회비 결제 처리에 쓰이는 관리 번호. 어떤 항목이 해당되는지는 회원이 등록한 내용에 따라 다름
- 관리 번호에 대해
- 회원 정보와 결제 정보를 잇는 번호이며 신용카드 번호가 아님
- 회원 데이터와 별도로 유출 가능성
- 결제 시스템 연동에 쓰는 회사 자체의 인증 관련 정보 일부. 관리 번호와 결합되면 회비 결제의 부정 처리가 가능했으며, 10월 26일에 변경됨
- 포함되지 않았다고 함
- 카드 번호, 유효기간, 보안 코드 등 카드 정보(결제 대행사가 관리하며 그 시스템에는 접근 없음)
- 악용 상황
- 인증 정보를 변경할 때까지의 기간을 확인한 결과, 이번 사건에 기인한 부정 결제는 발견되지 않음. 이 데이터의 악용에 따른 피해는 확인되지 않음
- 취한 조치
- 서비스 임시 중단, 알려진 무단 접근 경로 차단, 인증 관련 정보 변경
- 진행 중인 조치
- 관계자 및 위탁처와의 공동 조사, 제3자 전문 회사의 조사, 개인정보보호위원회 보고, 경찰 상담, 범위와 원인 조사
확인된 것과 확인되지 않은 것
2026년 10월 30일 기준 상황입니다. 후속 발표가 나오면 이 표의 상태 열을 고쳐 씁니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 무단 접근 기간 | 2026년 10월 14일 13:45부터 10월 20일 14:05까지 간헐적. 21일 시점에 파악하지 못한 추가 접근이 10월 24–25일에 감지됨 | 확인(회사) |
| 인원수 | 29,465명(탈퇴한 사람 일부 포함). 조사에 따라 변동 가능 | 확인(현재 기준, 변동 가능) |
| 이름, 후리가나, 생년월일, 성별, 우편번호, 이메일 주소 | 회원마다 다름(등록 내용에 따름) | 유출 확인(회사) |
| 고객 번호, 가입·탈퇴 정보 | 같음 | 유출 확인(회사) |
| 회비 결제 처리용 관리 번호 | 신용카드 번호가 아님 | 유출 확인(회사) |
| 결제 시스템 연동용 인증 관련 정보 | 일부가 유출되었을 수 있음. 10월 26일 변경 | 가능성 있음(회사) |
| 카드 번호, 유효기간, 보안 코드 | 보관하지 않음, 유출 없음 | 포함되지 않음(회사) |
| 비밀번호 | 유출 항목에 없음 | 밝히지 않음 |
| 부정 결제 처리 | 이번 사건에 기인한 것은 발견되지 않음 | 확인되지 않음(회사) |
| 악용에 따른 피해 | 현재 확인되지 않음 | 확인되지 않음(회사) |
| 원인과 침입 경로 | 위탁처의 시스템이 제3자의 무단 접근을 받음. 자세한 내용은 조사 중 | 조사 중 |
| 개별 통지 | 등록된 이메일 주소로 한 명씩 발송 | 예정 |
| Toku-Kai 재개 | 원인이 특정되고 재발 방지책이 완료된 뒤. 시기는 회사 웹사이트에서 알림 | 미정 |
읽는 법: '확인되지 않음'은 '일어나지 않았다'가 아닙니다
회사는 부정 결제와 악용에 따른 피해가 "확인되지 않았다"고 씁니다. 조사가 계속되고 있으며 인원수가 바뀔 수 있다고 합니다. 이름, 생년월일, 이메일 주소는 이미 유출되어 나중에 가짜 메시지에 쓰일 수 있으므로, 카드 정보가 포함되지 않았다는 점과 메시지를 경계해야 한다는 점은 별개의 문제입니다.
유출된 항목의 조합이 초래할 수 있는 일
일반적으로 다음과 같은 조합은 이런 악용으로 이어질 수 있습니다. 이번 건에서 실제로 일어났다는 뜻은 아닙니다.
- 이름 + 생년월일 + 이메일 주소 + 고객 번호: 올바른 이름과 번호가 들어간 그럴듯한 "확인 요청"이나 "절차 안내" 이메일을 쓸 수 있습니다
- 이메일 주소 + 서비스 이름(Toku-Kai): "Toku-Kai 회비", "탈퇴 절차", "카드 재등록"을 사칭한 메시지의 입구가 됩니다
- 가입·탈퇴 정보: 탈퇴한 사람도 "탈퇴 확인"을 사칭한 메시지를 받을 수 있습니다
위탁처를 쓰는 기업을 위해: 공개된 경과로 확인할 수 있는 것
원인은 공개되지 않았습니다. 이 섹션은 회사나 위탁처의 대응을 평가하지 않으며, 위탁처를 쓰는 기업이 공개된 경과를 바탕으로 자사 쪽에서 점검할 수 있는 것에 한정합니다.
- 위탁처는 나중에 추가 무단 접근을 발견할 수 있습니다. 경과를 보면 21일 시점에 파악하지 못한 추가 접근이 10월 24–25일에 발견되었고 보고는 세 차례에 걸쳐 들어왔습니다. 보고가 한 번으로 끝나지 않을 수 있다는 점과 중간 보고 빈도를 미리 계약으로 합의할 수 있는지 물어 보세요.
- 결제 연동의 인증 정보는 교체할 수 있는 상태로 두세요. 공지에 따르면 회사는 추가 피해를 막기 위해 연동용 인증 정보를 변경했고, 이후 위탁처로부터 그 일부가 유출되었을 수 있다는 보고를 받았습니다. 일반적으로 연동 자격 정보를 위탁처에 맡길 때는 언제든 바꿀 수 있는 절차와, 바꿨을 때 무엇이 영향을 받는지를 알아 두면 피해를 막는 시간이 짧아집니다.
- 위탁처가 무엇을 보유하는지 점검하세요. 이번에는 위탁처의 시스템에 회원 이름부터 가입·탈퇴 정보와 결제 관리 번호까지의 항목이 있었습니다. 위탁처가 보유하는 항목이 업무에 필요한 범위 안인지, 탈퇴한 회원의 정보를 계속 보관할 필요가 있는지를 정기적으로 점검하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로와 수법은 추측하지 않습니다.
- Benefit One Inc., "위탁처에 대한 무단 접근으로 인한 제휴사 회원 개인정보 유출에 대한 사과와 공지"(2026년 10월 28일, PDF, 일본어) — corp.benefit-one.co.jp
- Credit Saison Co., Ltd., "Benefit One Inc.가 제공하는 Toku-Kai의 개인정보 유출에 대하여"(2026년 10월 28일, 일본어) — saisoncard.co.jp
- ITmedia NEWS(2026년 10월 29일, 일본어). 공식 발표와의 일치 여부를 확인하는 데 사용 — itmedia.co.jp
업데이트 기록
2026-10-30: 첫 버전. Benefit One의 10월 28일 발표(PDF)와 같은 날 Credit Saison의 공지를 바탕으로 합니다. 10월 30일 기준 회사의 뉴스 목록에 이 건에 대한 후속(제2보)이 보이지 않음을 확인했습니다. 회사는 추가로 확인된 내용을 발표하겠다고 밝혔으며, 발표되면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 유형의 사건: JR동일본, VIEW Card, JR규슈의 이메일 유출 가능성
- 후속 사기 식별: 피싱이란? / 비밀번호 관리자의 원리와 고르는 법
- 2026년 기타 사건: 2026년의 데이터 유출과 사이버 공격(일본과 해외)