대상 독자: 기업이나 조직에서 뉴스레터·안내 메일을 받는 분, 그리고 RAKUS Lite Cloud Co., Ltd.의 메일 발송 서비스 blastmail을 이용하는 조직. 이 글은 RAKUS Lite Cloud, 모회사 RAKUS Co., Ltd., 영향을 공개한 이용 조직의 공식 공지를 바탕으로 합니다. 공격 방법은 다루지 않습니다.
진행 중: 조직이 추가로 공개하는 대로 이 글을 갱신합니다
2026년 10월 24일 13시 20분 갱신 기준아직 알 수 없음
- 침입 경로의 세부 사항
- 344개 계약이 어느 이용 조직인지(회사는 개별 연락만 했음)
- 계약별로 어떤 수신자 정보 항목이 몇 건 유출되었는지
- 서비스 재개 시기
- 2차 피해(데이터 악용) 발생 여부
RAKUS Lite Cloud는 전문 기관의 외부 조사가 계속되고 있으며 다음 보고는 10월 25일 일요일 10시경으로 예정되어 있다고 밝혔습니다. 주말에도 계속 보고하겠다고 밝혔습니다. 344건이라는 수치는 외부 조사가 진행됨에 따라 바뀔 수 있는 '현재' 수치라고 설명합니다.
뉴스레터 수신자가 오늘 할 일
발신자 실명으로 온 메일이라도 링크와 첨부 파일을 열지 마세요
blastmail이 보내는 주소는 발송 조직이 등록한 수신자 목록에 들어 있습니다. 따라서 데이터가 악용된다면 실제 발신자 이름을 사용한 가짜 메일의 형태가 될 가능성이 높습니다.
'회원 정보를 확인해 주세요', '포인트가 곧 만료됩니다', '발송을 재개했습니다' 같은 메일이라도 본문의 링크, 첨부 파일, QR 코드를 열지 마세요. 확인하려면 공식 앱이나 북마크해 둔 공식 사이트를 직접 여세요(가짜 구별법: 피싱이란?).
뉴스레터를 받는 조직의 공지를 확인하세요
아래 '영향을 공개한 이용 조직' 표에서 뉴스레터를 받는 조직의 공지를 여세요. 표에 없는 조직은 공식 사이트의 공지 코너를 확인하세요. JR시코쿠는 영향을 받았을 가능성이 있는 분께 준비되는 대로 사과 메일을 보낸다고 밝혔습니다.
요구받아도 비밀번호, 인증 코드, 카드 번호를 입력하지 마세요
RAKUS Lite Cloud는 신용카드 번호를 보유하지 않는다고 밝혔습니다. 그래도 이름과 이메일 주소를 아는 사람이 입력을 요구하는 메일을 쓸 수는 있습니다. JR시코쿠는 수상한 메일이나 문자의 URL을 열지 말고 비밀번호, 인증 코드 등을 입력하지 말아 달라고 요청합니다.
뉴스레터가 중단된 동안 오는 '발신자' 메일에 특히 주의하세요
니가타일보, 환경성, JR시코쿠 등은 blastmail을 통한 메일 발송이 중단되었다고 밝혔습니다. 이 기간에 그 이름으로 '발송을 재개했습니다', '등록 정보를 갱신해 주세요'라는 메일이 오면 먼저 공식 사이트 공지에서 재개 여부를 확인하세요. 니가타일보는 회원 등록·해지 시 자동으로 가는 메일은 이번 사고와 무관한 별도 시스템에서 평소처럼 발송되므로 모든 메일이 중단된 것은 아니라고 밝혔습니다.
영향을 공개한 이용 조직
blastmail을 이용하는 조직이 각자 공지를 냈습니다. 아래 목록은 이 사이트가 각 조직의 공식 페이지에서 직접 열어 확인했고 blastmail 또는 RAKUS Lite Cloud를 명시한 공지만 다룹니다(2026년 10월 24일 기준).
각 상태와 수치는 해당 조직의 표현 그대로입니다. 집계 단위(인원, 누적 건수, 등록 건수)가 달라 수치를 합산할 수 없습니다. 표에는 giftee처럼 자사 계약이 대상이 아니라고 발표한 조직도 포함됩니다.
| 조직 | 서비스 이용 용도(조직 설명) | 대상 정보(조직 설명) | 건수(조직 설명) | 상태 |
|---|---|---|---|---|
| The Niigata Nippo | 니가타일보 패스포트 회원 대상 뉴스레터, 속보 메일 등 | 이름(가타카나), 도도부현, 시구정촌, 이메일 주소, 성별, 연령대, 이용 중인 상품, 가입 중인 뉴스레터 서비스. 신용카드 정보, 전화번호, 생년월일, 은행 계좌번호, 비밀번호는 포함되지 않음 | 최대 약 25만 3,000명(전 회원) | 유출 확인(회사) |
| JR Shikoku | JR시코쿠 투어 웹 뉴스레터 | 등록 시 입력한 이름, 생년월일, 주소, 이메일 주소 | 약 3만 건(최대) | 가능성 있음(회사) |
| 요코하마시(시 출전 구역 GREEN×EXPO 2027 자원봉사 신청자) | 신청자 대상 일괄 메일 | 이름, 이메일 주소 | 6,334명 | 가능성 있음(시) |
| 요코하마시(요코하마 여성 협회 Yokohama Women's Association for Communication and Networking) | 협회 본부와 남녀공동참획센터 3곳의 뉴스레터 | 이메일 주소 | 누적 3,932건(2026년 3월 말 등록 수, 중복 포함 가능) | 가능성 있음(시와 협회) |
| 요코하마시(시라하타 지구센터) | 지정 관리자가 발행하는 정보지 | 이메일 주소 | 약 200건 | 가능성 있음(구) |
| 환경성 | 지구환경 파트너십 플라자(GEOC), 지역 순환 공생권, 후쿠시마 환경 재생 플라자 뉴스레터 등 6종 | 이메일 주소. 뉴스레터에 따라 이름, 속성, 소속, 도도부현·시구정촌, 비고(등록 사유) | 기재 없음 | 가능성 있음(성, 유출은 확인되지 않음) |
| giftee | 여행지 납세(Tabisaki Nouzei), e-machi 플랫폼, giftee Benefit의 메일 발송 | 여행지 납세 ID와 이메일 주소 / 지자체명 또는 회사명, 담당자명, 부서명, 이메일 주소 / 이메일 주소, giftee Benefit ID, 기업 로그인 URL | 기재 없음 | 확인되지 않음(회사, 10월 23일 기준 288건에 자사 계약은 포함되지 않음) |
표의 '가능성 있음'은 유출이 확인되었다는 뜻이 아닙니다
JR시코쿠와 요코하마시의 3건은 10월 22일에 데이터가 '유출되었을 가능성이 있다'는 사례로 공개되었습니다. 요코하마시의 시라하타 지구센터와 남녀공동참획 협회 문서는 유출을 '현재로서는 확인할 수 없다'고 밝힙니다. 환경성도 지금까지 수신자 정보 유출은 확인되지 않았다고 밝혔습니다. 니가타일보는 10월 22일 오후 RAKUS Lite Cloud로부터 전 회원의 정보가 유출되었다는 보고를 받았다고 밝혔습니다. 뉴스레터를 받는 조직이 표에 있는지 확인하고, 그 조직의 후속 공지를 지켜보세요.
요코하마시의 GREEN×EXPO 문서에는 2027년 국제원예박람회 협회의 공지도 포함되어 있습니다. 자원봉사자에게 일괄 메일을 보내는 위탁 업체도 blastmail을 이용하고 있으며, 유출 가능성이 있는 정보는 자원봉사 신청 번호, 활동 번호, 이메일 주소입니다(협회는 이름 등 개인을 식별하는 정보는 제공하지 않았다고 밝혔습니다). 등록된 자원봉사자가 영향을 받았는지는 확인되지 않았습니다.
니가타일보는 두 번째 공지에서 니가타 연어 프로젝트 회원 약 7,000명이 영향을 받았을 수 있다고 했으나, 세 번째 공지에서 288건에 포함되지 않았고 다섯 번째 공지에서 새로 확인된 56건에도 포함되지 않았다고 밝혔습니다.
무슨 일이 있었나(RAKUS와 RAKUS Lite Cloud의 공지에서)
아래는 10월 21일 RAKUS Co., Ltd.의 제1보와 제2보, 그리고 RAKUS Lite Cloud의 공지(10월 24일 13시 20분 갱신판)를 바탕으로 합니다. RAKUS Lite Cloud는 RAKUS Co., Ltd.의 100% 자회사입니다. blastmail 제품 사이트는 보안 점검을 위해 일시적으로 비공개 상태입니다.
2026년 10월 21일 수요일 오전 0시 30분
시스템에 대한 수상한 접근을 감지하고 blastmail을 긴급 중단했습니다(관리 화면과 API 사용 불가). 오전 1시경부터 메일 발송도 멈췄습니다.10월 21일
RAKUS가 제1보를 공개했습니다(영향과 원인은 조사 중, 개인정보보호위원회와 JIPDEC(Japan Institute for Promotion of Digital Economy and Community)에 보고). 이어 제2보에서 외부 제3자가 부정하게 접근해 개인정보를 포함한 데이터를 반출한 사실을 확인했다고 밝혔습니다. 같은 날 RAKUS는 예방 조치로 다른 서비스 7개도 일시 중단했습니다.10월 21일 저녁
요코하마시 문서에 따르면 발송 서비스 사업자가 전 고객의 수신자 목록 등 일부에서 유출이 확인되었다고 보고했습니다(시라하타 지구센터는 오후 5시 32분경, 남녀공동참획 협회는 오후 5시경).10월 22일
RAKUS의 다른 서비스 7개가 재개되었습니다(부정 접근과 데이터 유출은 확인되지 않았다고 설명). 이용 조직들이 공지를 내기 시작했습니다.10월 23일
개인정보보호위원회 공동 보고 안내가 공개되었습니다(신청 기한 10월 29일). giftee와 니가타일보의 공지에 따르면, 회사는 이날 발송 데이터 유출이 확인된 288개 계약 전체에 대한 연락을 마쳤다고 발표했습니다.10월 24일 13시 20분
새로 확인된 56건을 포함해 344개 계약 전체에 개별 연락을 마쳤다고 갱신했습니다. 재개 일정은 미정입니다.
메일 수신자
발송 조직에 등록한 이메일 주소 등. 344개 계약에서 수신자 목록 등 발송 데이터 유출 확인
할 일: 발신자를 사칭한 메일의 링크를 열지 않기
이용 조직(고객)
전 고객의 회사명, 담당자명, 전화번호, 이메일, 청구처, 계약·결제 이력이 반출됨
할 일: 보고와 통지 여부 판단, 가짜 청구 메일 주의
RAKUS Lite Cloud
API 서버 2대에 침입당했고 영업 관리 시스템과 서비스 데이터베이스에 접속됨
침입 경로는 조사 중
- 서비스
- 메일 발송 시스템 blastmail(RAKUS Co., Ltd.의 자회사 RAKUS Lite Cloud Co., Ltd. 제공)
- 확인된 사항
- 외부 제3자가 부정하게 접근해 개인정보를 포함한 데이터를 반출함
- 고객 정보
- 영업 관리 시스템에서 전 고객의 회사명, 담당자명, 전화번호, 이메일 주소, 청구용 이메일 주소, 계약·결제 이력 등. 회사는 신용카드 번호를 보유하지 않음
- 발송 데이터
- 일부 고객은 수신자 목록 등의 유출도 확인됨: 10월 24일 13시 20분 기준 344개 계약(변동 가능), 모두에게 개별 연락함
- 설명된 원인
- 외부 제3자가 API 서버 2대에 침입해 명령을 실행하고 영업 관리 시스템과 서비스 데이터베이스에 접속해 데이터를 반출함. 침입 경로의 세부 사항은 조사 중
- 대응
- 서비스 긴급 중단, 개인정보보호위원회와 JIPDEC에 보고, 전문 기관의 외부 조사, 이용 조직과의 공동 보고
- 문의처
- blastmail 서포트 센터(support@blastmail.jp, 전화 03-6862-7337, 평일 10:00~17:00)
알려진 것과 알려지지 않은 것
2026년 10월 24일 13시 20분 갱신 기준입니다. 후속 보고가 나오면 이 표의 상태 열을 갱신합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 반출된 데이터 | 외부 제3자가 부정하게 접근해 개인정보를 포함한 데이터를 반출함 | 유출 확인(회사) |
| 고객 정보 | 전 고객의 회사명, 담당자명, 전화번호, 이메일 주소, 청구용 이메일 주소, 계약·결제 이력 등 | 유출 확인(회사) |
| 수신자 목록 등 | 고객 계정 정보 외의 데이터(수신자 목록 등) 유출이 확인된 계약: 344건(현재 수치) | 유출 확인(회사) |
| 344개 계약이 어느 조직인지 | 공개하지 않음. 해당 고객에게 개별 연락함 | 조사 중 |
| 수신자 수 | RAKUS Lite Cloud 공지에는 기재 없음 | 기재 없음 |
| 신용카드 번호 | 회사가 보유하지 않음 | 포함되지 않음(회사) |
| 원인 | API 서버 2대 침입, 명령 실행, 영업 관리 시스템과 데이터베이스 접속 | 확인됨(회사). 진입 경로는 조사 중 |
| 침입 경로 | 세부 사항 조사 중 | 조사 중 |
| 서비스 재개 | 미정 | 조사 중 |
| RAKUS의 다른 서비스 | 예방 조치로 7개 서비스를 중단했다가 10월 22일 재개. 부정 접근과 유출은 확인되지 않음 | 확인되지 않음(RAKUS) |
| 2차 피해(데이터 악용) | RAKUS Lite Cloud는 기재하지 않음. 니가타일보는 10월 22일 두 번째 공지에서 악용은 확인되지 않았다고 밝힘 | 확인되지 않음(니가타일보) |
유출된 데이터로 할 수 있는 일
일반적으로 다음 조합이 있으면 다음과 같은 악용이 일어날 수 있습니다. 이번 사건에서 실제로 일어났다는 뜻은 아닙니다.
- 이메일 주소와 발신자 이름: 진짜 뉴스레터와 같은 주소로 그 조직 이름의 가짜 메일이 오고, 수신자는 '늘 뉴스레터를 보내는 조직'이라고 쉽게 믿음
- 이름, 연령대, 주소 등(발송 조직마다 다름): 가짜 메일에 실제 이름이나 지역을 넣을 수 있어 대량 스팸보다 믿기 쉬움
- 고객의 회사명, 담당자명, 전화번호, 청구용 이메일, 결제 이력: blastmail 또는 RAKUS를 사칭한 가짜 청구서, 결제 정보 변경 요청, '재개를 위해 다시 로그인하라'는 메일이나 전화의 재료
이번 달 하나의 발송 서비스에서 여러 이용 조직의 수신자 정보가 노출된 다른 사례로는 Ymirlink의 메일 발송 서비스 Cuenote FC 부정 접근과 재해 정보 메일 서비스 SpeeCAN RAIDEN 부정 접근이 있습니다. 두 건 모두 수신자는 메일을 받는 조직의 공지를 통해 영향 여부를 확인했습니다. 이번에는 이에 더해 전 이용 조직의 연락처와 결제 이력도 반출되었습니다.
blastmail을 이용하는 조직이 할 일
RAKUS Lite Cloud는 수신자 목록 등의 유출이 확인된 고객에게 개별 연락했다고 밝혔습니다. 아래 단계는 회사의 안내와 개인정보보호위원회의 안내를 바탕으로 합니다.
개별 연락을 받았는지 확인하세요
RAKUS Lite Cloud는 수신자 목록 등 고객 계정 정보 외 데이터 유출이 확인된 344개 계약 전체에 연락을 마쳤다고 밝혔습니다. 계약에 등록된 담당자 주소와 청구 주소로 연락이 왔는지 확인하세요. 회사는 수치가 바뀔 수 있다고 하므로, 연락이 없더라도 갱신 내용을 계속 확인하세요. 회사의 공지 페이지에 있는 서포트 센터로 문의할 수 있습니다.
수신자 목록에 등록한 항목을 정리하세요
대상 정보는 수신자 목록에 넣은 내용에 따라 다릅니다. 니가타일보는 이름(가타카나), 성별, 연령대 등 8개 항목을 들고 있고, GREEN×EXPO 자원봉사 일괄 메일은 자원봉사 신청 번호, 활동 번호, 이메일 주소이며 이름은 제공하지 않았다고 밝힙니다. 보유하지 않은 항목을 말할 수 있으면 수신자에 대한 설명이 짧아집니다.
개인정보보호위원회 보고와 본인 통지 여부를 판단하세요
수신자 목록의 개인 데이터는 메일을 보내는 조직이 관리하는 개인 데이터입니다. 개인정보보호위원회에 따르면 부정한 목적으로 이루어졌을 수 있는 유출(의심 사례 포함)과 1,000명을 넘는 유출(행정기관과 지방공공단체는 100명 초과)은 보고해야 합니다(유출 시 대응과 참고 자료, 일본어).
RAKUS Lite Cloud는 이용 조직이 회사와 함께 위원회에 보고하는 절차를 제공합니다(공동 보고 안내, 신청 기한 2026년 10월 29일). 회사에 따르면 공동 보고를 하더라도 수신자 목록 유출이 확인된 이용 조직은 본인에게 직접 통지해야 하며, 프라이버시마크를 보유한 조직은 JIPDEC에 직접 보고해야 합니다. 판단이 어려우면 위원회의 상담 창구나 변호사 등 전문가에게 문의하세요.
수신자에게 주의를 알리세요
영향을 공개한 대부분의 조직은 자사를 사칭한 수상한 메일에 주의하고 URL을 열지 말아 달라고 요청하고 있습니다. 공식 사이트 공지에 주의 사항을 게시하고, 메일로 보낼 때는 링크를 넣지 않고 발신 주소를 밝히는 등 가짜와 구별하기 쉽게 하세요.
직원에게 가짜 청구·재로그인 메일을 주의시키세요
전 고객의 담당자명, 전화번호, 이메일 주소, 청구용 이메일 주소, 결제 이력이 반출되었습니다. 경리와 메일 담당 직원에게, blastmail 또는 RAKUS를 사칭한 청구서, 결제 정보 변경, 재개를 위한 재로그인 지시가 오면 메일의 링크가 아니라 회사의 공식 공지나 서포트 센터를 통해 확인하도록 알리세요(발신자 확인 방법: SPF, DKIM, DMARC 기본).
이 사이트의 견해: 발송 서비스의 고객은 발신자이자 유출 당사자입니다
메일 발송 서비스 사고에서는 보통 수신자의 주소에 관심이 쏠립니다. 이번에는 이에 더해 전 이용 조직의 연락처와 결제 이력도 반출되었습니다. 이용 조직은 수신자에게 사고를 설명해야 하는 동시에 자사 직원이 표적이 될 수도 있습니다.
발송 서비스에 등록한 연락처를 확인하세요
가입 시 등록한 담당자 또는 청구용 이메일이 이미 퇴직한 사람의 개인 주소로 남아 있지 않은지 확인하세요. 그렇게 되어 있으면 개별 통지를 놓치거나 가짜 청구서를 아무도 알아채지 못하게 됩니다. 부서 공용 주소를 쓰면 담당자가 바뀌어도 연락이 이어집니다.
재개 후 회사의 안내에 따라 API 키와 관리자 비밀번호를 점검하세요
공지에 따르면 제3자는 API 서버에 침입해 서비스 데이터베이스에 접속했습니다. API 키나 관리 화면 비밀번호가 유출되었는지는 기재되어 있지 않습니다. 서비스가 재개되면 회사의 안내를 확인하고, 가능하면 API 키를 재발급하며, 관리자 비밀번호를 다른 서비스와 돌려쓰지 않았는지 확인하세요(키 취급 기본: .env와 API 키 기본).
발송이 멈췄을 때의 연락 수단을 정해 두세요
발송은 10월 21일부터 멈춰 있으며 재개일은 정해지지 않았습니다. 니가타일보와 GREEN×EXPO 협회는 중단 중의 안내를 공식 웹사이트로 옮겼습니다. 발송이 멈췄을 때 쓸 수단을 미리 정해 두세요(위탁 업체 관리는 호스팅 업체가 침해당했을 때도 참고).
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로는 추측하지 않습니다.
- RAKUS Co., Ltd., 「[제1보] 당사 자회사 제공 blastmail에 대한 수상한 접근 감지와 서비스 중단 안내」(2026년 10월 21일, 일본어) — rakus.co.jp
- RAKUS Co., Ltd., 「[제2보] 당사 자회사 제공 blastmail에 대한 부정 접근에 따른 데이터 유출과 서비스 중단 안내」(2026년 10월 21일, 일본어) — rakus.co.jp
- RAKUS Lite Cloud Co., Ltd., 「[중요] blastmail 긴급 중단 및 개인 데이터 유출에 대한 사과와 보고(2026년 10월 24일 13시 20분 갱신)」(일본어) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., 「blastmail 웹사이트 일시 중단 안내」(일본어) — info.blastmail.jp
- RAKUS Lite Cloud Co., Ltd., 「개인정보보호위원회 공동 보고 안내」(2026년 10월 23일, 일본어) — info.blastmail.jp
- RAKUS Co., Ltd., 서비스 7개의 일시 중단(10월 21일)과 재개(10월 22일) 공지(일본어) — 중단 / 재개
- The Niigata Nippo, RAKUS Lite Cloud 부정 접근에 따른 회원 정보 유출 공지(두 번째 10월 22일, 세 번째 10월 23일, 다섯 번째 10월 24일, 일본어) — 두 번째 / 세 번째 / 다섯 번째
- Shikoku Railway Company(JR Shikoku), 「RAKUS Lite Cloud 부정 접근에 따른 개인 데이터 유출 가능성」(2026년 10월 22일, 일본어) — jr-shikoku.co.jp
- 요코하마시 보도 발표: GREEN×EXPO 자원봉사 신청자 메일, 요코하마 여성 협회 뉴스레터, 시라하타 지구센터 뉴스레터의 유출 가능성(모두 2026년 10월 22일, 일본어) — GREEN×EXPO / 남녀공동참획 협회 / 시라하타 지구센터
- 환경성, 「환경성 관련 뉴스레터 수신자 정보 유출 가능성」(2026년 10월 23일, 일본어) — env.go.jp
- giftee, Inc., 「[후속 보고] RAKUS Lite Cloud 부정 접근에 따른 개인 데이터 유출 가능성」(10월 22일 게시, 2026년 10월 23일 갱신, 일본어) — giftee.co.jp
- 개인정보보호위원회, 「유출 시 대응과 참고 자료」(일본어) — ppc.go.jp
갱신 이력
2026-10-24: 10월 21일 RAKUS의 제1보와 제2보, 10월 24일 13시 20분 갱신된 RAKUS Lite Cloud의 공지와 공동 보고 안내, 이용 조직의 공지를 바탕으로 한 초판. 침입 경로, 영향 받은 이용 조직, 서비스 재개가 공개되면 갱신합니다.
다음 글
- Studio 웹사이트 빌더 부정 접속: 전체 이용자 데이터와 폼 전송 내용 유출 가능성 — 폼 전송자와 사이트 운영자가 해야 할 일
- 비슷한 사고: Ymirlink의 Cuenote FC 부정 접근 / SpeeCAN RAIDEN 부정 접근
- 가짜 메일 구별: 피싱이란? / 내 주소에서 스팸이 올 때
- 발신자 확인(사이트 운영자용): SPF, DKIM, DMARC 기본
- 2026년의 다른 사고: 정보 유출·사이버 공격 목록