Bookoff 회원 정보 유출(6,383,279명): 이름·주소·이메일·비밀번호 해시가 노출됐을 수 있음 — 회원이 해야 할 일

2차 보고에 따르면 대상은 일본 Bookoff의 앱 회원, 온라인 스토어 회원, 웹 회원이며 탈퇴 회원도 포함됩니다. 회원 카드만 사용하고 앱이나 웹으로 등록하지 않은 사람은 포함되지 않습니다.

대상 서비스와 비대상 서비스는 아래 "무슨 일이 있었나"의 그림에 정리되어 있습니다. BOOKOFF SUPER BAZAAR, BOOKOFF PLUS, BOOKOFF, 공식 온라인 스토어 등의 회원은 대상이고, Booklog, Aoyama Book Center, Japan TCG Center 등은 별도 시스템이라 대상이 아닙니다.

10월 23일 회사는 Bookoff 회원 사이트에서 대상 여부를 알려 주는 웹 조회를 추가했습니다. 사용 방법은 다음과 같습니다(회사 공지와 FAQ 기준).

• 회사 공지 또는 직접 연 Bookoff 공식 웹사이트에서 Bookoff 회원 사이트(member.bookoff.co.jp)를 여세요. 이메일이나 SMS의 링크는 사용하지 마세요
• Bookoff에 등록한 이메일 주소와 비밀번호로 로그인하고 화면 안내에 따라 대상 여부를 확인하세요
• 이메일 주소나 회원 계정을 여러 개 등록했다면 계정마다 확인하세요
• 탈퇴 등으로 로그인할 수 없다면 전용 창구에 문의하세요(마지막 단계 참조)

회사는 개별 이메일을 받지 못했다고 해서 대상이 아닌 것은 아니라고 밝혔습니다. 회원 카드 정보를 앱이나 웹으로 옮긴 회원도 대상일 수 있습니다. 앱이나 웹으로 등록한 적이 있다면 조회 결과를 기다리지 말고 아래 단계도 함께 진행하세요.

회사는 2차 보고에서 대상 회원에게 BOOKOFF 공식 온라인 스토어와 공식 앱의 비밀번호를 변경하라고 요청했습니다. 공식 앱이나 직접 연 웹사이트에서 변경하세요. 회사는 안내 이메일에 비밀번호 변경 화면으로 연결되는 링크를 넣지 않는다고 밝혔습니다.

유출됐을 수 있는 것은 비밀번호 해시(비밀번호로 되돌릴 수 없도록 변환한 값)이며, 회사는 이것이 그대로 비밀번호로 복원될 수는 없다고 밝혔습니다. 다만 일반적으로 짧거나 흔한 비밀번호는 해시에서 알아낼 수 있는 경우가 있습니다(원리: 비밀번호 해싱이란?). 알아낸 비밀번호는 이메일 주소와 함께 다른 서비스에서 시도됩니다.

회사는 다른 서비스에서 같거나 비슷한 비밀번호를 쓰고 있다면 그것도 변경하라고 요청합니다. 이메일, 온라인 쇼핑, 금융 서비스부터 시작하세요. 비밀번호 관리자는 비밀번호 돌려 쓰기를 멈추는 현실적인 방법이며, 2단계 인증을 추가하면 로그인이 더 안전해집니다.

회사는 그룹이나 제휴사를 사칭한 이메일, 문자, 전화가 올 수 있다고 경고합니다. 예상하지 못한 메시지의 링크나 첨부 파일은 열지 말고, 개인 정보나 로그인 정보도 입력하지 말라고 요청합니다.

그룹이 이메일, 문자, 전화로 비밀번호, 신용카드 정보, 은행 계좌 정보를 묻는 일은 없다고 합니다(10월 9일 공지에는 인증 코드도 포함). 이런 요구는 모두 가짜입니다(구별 방법: 피싱이란?).

회사는 2026년 10월 15일(목)부터 단계적으로 대상 회원의 등록 주소로 이메일을 보냈으며, 수신 가능으로 확인된 모든 주소로의 발송이 10월 22일(목)에 완료됐다고 밝혔습니다. 제목은 "不正アクセスによる個人情報漏えいに関するお詫びとお知らせ"(부정 접속에 의한 개인정보 유출에 관한 사과 및 안내)이며, FAQ(10월 23일 기준)에는 발신 주소가 "bookoff@2902.net"으로 나와 있습니다. 주소 변경이나 메일 설정 때문에 이메일이 도착하지 않을 수 있고, 받지 못했다고 해서 대상이 아닌 것은 아니므로 위의 웹 조회로 확인하세요. 발신 주소는 위조될 수 있으므로 발신자가 일치한다는 것만으로 진짜 이메일이라고 할 수 없습니다.

회사는 이 이메일이 비밀번호, 신용카드 정보, 은행 계좌 정보의 입력이나 회신을 요구하지 않으며 비밀번호 변경 화면으로 연결되는 링크도 없다고 밝혔습니다. 같은 제목이라도 비밀번호 변경 화면으로 연결되는 링크가 있거나, 비밀번호·카드 정보·은행 정보의 입력이나 회신을 요구한다면 공식 설명과 맞지 않습니다. 이메일 링크를 쓰지 말고 공식 연락처를 통해 확인하세요. 내용은 공식 앱이나, 직접 즐겨찾기 또는 검색으로 연 공식 웹사이트에서 확인하세요.

회사는 수상한 연락이나 모르는 사용을 발견하면 문의 창구로 연락하라고 요청합니다. 공식 앱이나 온라인 스토어에 로그인할 수 있다면 포인트 잔액, 사용 내역, 등록 정보에 직접 바꾸지 않은 변경이 없는지 확인하세요. 회사는 10월 13일 기준으로 회원 데이터의 재작성이나 포인트 부정 사용은 확인되지 않았다고 밝혔습니다.

10월 22일(목) 회사는 이번 사안 전용 무료 전화 0120-300-663(10:00–18:30, 연중무휴, 일본어)을 개설했습니다. 그 전에는 Bookoff Group 고객 창구로 안내했습니다. 다른 연락처는 Bookoff Group Holdings 웹사이트의 전용 문의 양식입니다(둘 다 10월 23일 공지에 기재). 받은 메시지에 있는 번호나 링크가 아니라, 직접 연 공식 웹사이트의 공지에서 찾으세요.

유출 안내 이메일은 비슷하게 만든 가짜의 견본이 됩니다. 안내에 "여기서 로그인해 비밀번호를 변경하세요"라고 적으면 가짜도 똑같은 형식을 쓸 수 있습니다.

안내에 링크를 넣지 않고 "공식 앱이나 공식 웹사이트의 공지를 확인하세요"라고 쓰면, 링크를 절대 열지 말라고 일관되게 안내할 수 있습니다. 발신 주소와 제목을 미리 웹사이트에 공개해 두는 것도 도움이 됩니다. Bookoff의 2차 보고도 마찬가지로 제목을 공개하고 이메일에 비밀번호 변경 화면 링크를 넣지 않는다고 밝혔습니다.

유출된 해시에서 비밀번호를 복원하기가 얼마나 어려운지는 방식에 크게 좌우됩니다. 비밀번호 전용의 느린 방식(bcrypt, Argon2 등)과 솔트로 저장하고 있는지 확인하세요.

해시가 유출됐을 때 사용자에게 무엇을 요청할지(전원 초기화 또는 돌려 쓰는 비밀번호 변경 권고)도 미리 정해 두면, 발표 문구를 급박한 상황에서 정하지 않아도 됩니다. 자세한 내용은 비밀번호 해싱이란?을 보세요.