대상: 카센서넷(앱 포함)에서 중고차 판매점에 문의하거나 리뷰를 작성한 사람, C-MATCH를 이용하는 판매점, 고객 문의를 거래처 판매점에 전달하는 서비스를 운영하는 사람. 이 글은 카센서를 운영하는 일본 기업 리크루트 주식회사의 공식 공지를 바탕으로 작성했으며, 공격 기법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하면 이 글을 업데이트합니다
2026년 10월 22일 13:30 (JST) 기준아직 확인되지 않음
- 실제로 정보가 유출됐는지 여부(공지는 “유출됐을 가능성”이라고 함)
- 원인과 경로의 세부 사항(조사 중)
- 피해 가능성이 있는 사람에게 개별 연락하는 방법과 시기(우편, 이메일 등)
- 건수가 몇 명을 나타내는지
- 개인사업자 판매점의 계좌 정보 건수
- 경찰 상담 또는 신고 여부(언급 없음)
회사는 원인과 전체 범위를 조사 중이라고 밝혔습니다. 10월 19일 기준 카센서넷 공지는 서비스별 재개 일정이 정해지면 각 서비스 웹사이트에 알리고, 조사 진행에 따라 공표할 사실이 있으면 신속히 알리겠다고 했습니다.
10월 22일 카센서넷 상단 공지는 "카센서넷 서비스 재개에 관한 주의 사항 및 요청"으로 바뀌었습니다. 10월 22일 13시경부터 안전이 확인된 서비스와 기능부터 단계적으로 재개되고 있다고 합니다. 서비스 중단 중 재고와 가격이 변경됐을 수 있으며, 아직 매물 정보에 반영되지 않았을 수 있으니 방문하거나 계약하기 전에 판매점에 직접 확인하라고 요청합니다. 중단 전에 판매점에 보낸 문의에 대한 답변도 늦어질 수 있습니다.
후속 발표 시기는 제시되지 않았습니다. 10월 22일 기준 회사 보도자료 목록에 후속 발표는 없습니다.
내가 해당되는지 확인하기
공지는 아래 네 개 그룹을 대상으로 합니다. 건수는 회사가 확인한 최대치이며, 사람 수가 아니라 레코드 건수입니다.
| 그룹(회사 발표 기준) | 건수 | 항목 |
|---|---|---|
| 카센서넷(앱 포함)을 통해 중고차 판매점에 문의한 사람 | 3,210,421 | 이름과 주소(3,176,375) / 이름, 주소, 문의 내용, 연령대, 성별(33,247) / 이름, 주소, 문의 내용, 전화번호, 팩스번호, 이메일 주소(799) |
| 카센서넷(앱 포함)에 리뷰를 작성한 사람 | 5,289 | 이름(5,285) / 이름과 이메일 주소(4) |
| C-MATCH에 등록된 중고차 판매점 | 483,168 | 대표자와 직원의 이름 및 전화번호, 중고차 판매업 허가번호, 허가 명의인 이름, 허가 발급 광역자치단체, 로그인 ID. 개인사업자의 경우 사무소 또는 창구 주소, 우편번호, 전화번호, 팩스번호, 자동이체 계좌 정보도 포함 |
| 회사 직원(퇴사자 포함), 현재 또는 과거 외주 업체의 직원이나 개인사업자, 현재 또는 과거 영업 대행사의 직원 | 10,673 | 이름, 이메일 주소, 로그인 ID |
| 합계 | 최대 3,709,551 | 모든 그룹에 회사가 부여한 내부 관리 ID도 포함 |
회사에 따르면 판매점에 문의한 사람의 "주소"는 원칙적으로 시·군·구까지만 포함됩니다. 다만 최대 447,670건에는 번지, 건물명, 호실까지 포함된 전체 주소가 있을 수 있습니다.
사이트나 앱에서 차량을 둘러보기만 한 사람은 대상에 나와 있지 않습니다. 회사는 피해 가능성이 있는 사람에게 순차적으로 개별 연락하겠다고 하지만, 방법은 밝히지 않았습니다.
판매점에 문의했거나 리뷰를 작성한 사람이 오늘 해야 할 일
예상치 못한 편지, 이메일, 문자의 링크나 첨부 파일을 열지 마세요
회사는 유출된 정보를 악용한 의심스러운 연락이 올 수 있다고 경고하며, 이메일, 문자, 편지를 열거나 전화를 받지 말고, 그 안의 링크를 열지 말고, 첨부 파일을 열지 말라고 당부합니다.
대부분의 정보는 이름과 주소만 포함하므로, 정확한 주소로 보낸 편지는 이메일이나 전화보다 더 주의가 필요합니다. 가짜 연락을 구별하는 기본 방법은 피싱이란 무엇인가를 참고하세요.
보상금이나 환불 제안은 공지 페이지를 통해 확인하세요
회사는 피해 가능성이 있는 사람에게 순차적으로 개별 연락하겠다고 합니다. 즉, 진짜 연락과 가짜 연락이 비슷한 시기에 올 수 있습니다.
편지나 이메일이 "사고 관련 보상금", "환불", "설문조사 사례금"(이 사이트가 든 예)을 제안하더라도, 그 안의 전화번호, URL, QR 코드를 사용하지 마세요. 검색을 통해 직접 리크루트 공지 페이지를 열고 거기 안내된 연락처를 따르세요.
내가 문의한 차량을 언급하는 연락에 응답하지 마세요
문의 내용은 33,247건과 799건의 정보에 포함됩니다. 일반적으로 내가 문의한 모델이나 판매점을 언급하는 연락은 믿을 만해 보입니다.
연락하는 사람이 판매점이라고 주장하더라도, 내가 무엇을 문의했는지 안다는 것만으로는 아무것도 증명되지 않습니다. 그 자리에서 답하지 말고, 판매점 전화번호를 직접 찾아서 다시 거세요.
비밀번호를 여러 곳에서 쓰고 있다면 서로 다르게 바꾸세요
회사는 로그인 비밀번호가 포함되지 않았다고 밝혔으며, 누구에게도 비밀번호 변경을 요청하지 않았습니다.
별개로, 여러 서비스에 같은 비밀번호를 쓰고 있다면 지금이 서로 다르게 바꾸기 좋은 때입니다. 이는 이 사이트의 일반적인 조언이며 회사의 안내가 아닙니다. 비밀번호 관리자를 쓰면 관리에 도움이 됩니다.
이미 정보를 제공했거나 돈을 냈다면 전용 창구와 경찰에 연락하세요
공지 페이지에 안내된 전용 문의창구(리크루트 도움말 페이지를 통한 이메일 문의)로 질문을 보내세요.
의심스러운 연락을 받고 돈을 보내거나 카드 정보를 제공했다면, 카드사나 은행에도 연락하고, 경찰 상담 전화(일본 내 #9110)에도 문의하세요.
C-MATCH를 이용하는 판매점이 해야 할 일
로그인 ID를 알고 있는 사람이 보내는 재로그인 요청을 주의하세요
판매점 항목에는 대표자와 직원의 이름, 전화번호, 로그인 ID가 포함됩니다. 회사는 로그인 비밀번호는 포함되지 않았다고 밝혔습니다.
일반적으로 로그인 ID와 직원 이름이 있으면, 서비스 운영자인 척하며 비밀번호를 요구하는 가짜 연락을 만들 수 있습니다. "서비스 재개 후 다시 로그인"이나 "계정 확인"(이 사이트가 든 예)에 대한 연락을 받으면, 그 링크로 아무것도 입력하지 마시고, 즐겨찾기나 공식 안내를 통해 서비스에 접속하세요.
개인사업자: 자동이체 계좌와 관련된 연락을 주의하세요
개인사업자의 경우 자동이체 계좌 정보도 항목에 포함됩니다. 전국은행협회는 은행 직원을 사칭해 계좌 정보나 비밀번호(PIN)를 빼내려는 사람에 대해 경고하고 있습니다(일반적인 경고이며, 이번 사고에 대한 것은 아닙니다).
"자동이체 실패" 또는 "계좌 확인 필요"라는 연락을 받으면, 그 안의 번호나 URL은 사용하지 말고, 은행이나 회사의 공식 연락처를 직접 통해 확인하세요. 처음 보는 출금이 있다면 바로 은행에 연락하세요. 유출된 은행 정보를 어떻게 생각해야 하는지는 라신방 기사에서도 다루고 있습니다.
직원 이름이 가짜 연락에 쓰일 수 있다는 것을 직원들에게 알리세요
직원 이름과 전화번호는 항목에 포함됩니다. 일반적으로 직원의 이름을 언급하는 전화나 이메일은 회사 내부에서 진짜로 여겨지기 쉽습니다.
C-MATCH나 카센서를 사칭한 연락이 결제 정보 변경이나 로그인 정보를 요구하면, 그 자리에서 처리하지 말고 다른 경로로 확인한다는 원칙을 회사 내부에서 정해 두세요.
무슨 일이 있었나 (리크루트 발표 기준)
리크루트 주식회사는 2026년 10월 21일 "카센서넷 및 C-MATCH에 대한 불법 접근으로 인한 개인정보 유출에 관한 사과 및 공지"를 발표했습니다. 아래 내용은 모두 이 공지와 카센서넷 공지를 바탕으로 합니다.
2026년 10월 17일 (토)
카센서넷 관련 시스템에 대한 외부의 의심스러운 접근이 확인되었습니다. 같은 날 17시경부터 카센서넷, 카센서 앱, C-MATCH를 포함한 카센서넷 관련 서비스가 모두 중단되었습니다.10월 20일 (화)
조사를 통해 외부 불법 접근으로 유출됐을 가능성이 있는 개인정보의 항목과 건수(최대)를 확인했습니다.10월 21일 (수)
공지가 게시되었습니다. 회사는 개인정보보호위원회에 예비 보고를 이미 제출했다고 밝혔습니다. 전용 문의창구가 마련되었습니다.10월 22일 (목)
13시경부터 안전이 확인된 서비스와 기능이 단계적으로 재개되기 시작했습니다. 카센서넷 공지도 서비스 재개에 관한 공지로 교체되었습니다.
공지는 불법 접근이 언제 시작됐는지는 밝히지 않았습니다. 10월 17일은 회사가 의심스러운 접근을 발견한 날입니다.
- 운영 주체
- 리크루트 주식회사
- 대상 서비스
- 카센서넷(앱 포함), 중고차 매물 사이트 / C-MATCH, 중고차 판매점용 업무 지원 서비스
- 건수
- 최대 3,709,551건(유출됐을 가능성이 있는 건수)
- 항목
- 위 표와 같음. 모든 그룹에 회사가 부여한 내부 관리 ID 포함
- 포함되지 않은 정보
- 신용카드 등 결제 정보와 로그인 비밀번호(모든 그룹)
- 원인
- 제3자의 불법 접근. 원인과 범위의 세부 사항은 조사 중
- 감독기관 보고
- 개인정보보호위원회에 예비 보고 제출
- 피해 가능성이 있는 사람에 대한 연락
- 순차적 개별 연락. 연락이 닿지 않는 사람은 공지를 통해 안내받을 수 있고 문의창구를 이용할 수 있음
- 2차 피해
- 회사가 2026년 10월 21일 기준 파악한 범위 내에서는 확인되지 않음
- 재발 방지
- 원인을 규명하고 그룹 차원에서 추가 대책을 검토·시행하겠다고 함. 구체적인 내용은 제시되지 않음
- 문의
- 공지에 안내된 전용 문의창구(리크루트 도움말 페이지, 이메일 문의)
확인된 것과 확인되지 않은 것
2026년 10월 22일 기준 상태입니다. 후속 발표가 나오면 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 발견 및 서비스 중단 | 10월 17일 의심스러운 접근 발견, 같은 날 17시경부터 관련 서비스 모두 중단 | 확인됨(회사) |
| 원인 | 제3자의 불법 접근, 세부 사항은 조사 중 | 확인됨(회사) / 세부 사항 조사 중 |
| 건수 | 최대 3,709,551건(건수이며 사람 수가 아님) | 가능성(회사) |
| 판매점에 문의한 사람의 이름과 주소 | 3,210,421건, 주소는 원칙적으로 시 단위까지(최대 447,670건은 전체 주소 포함 가능) | 가능성(회사) |
| 문의 내용, 연령대, 성별, 전화번호, 이메일 | 판매점에 문의한 사람 중 일부(33,247건과 799건) | 가능성(회사) |
| 판매점 직원 정보와 로그인 ID | 483,168건 | 가능성(회사) |
| 개인사업자 판매점의 자동이체 계좌 정보 | 포함(건수는 밝히지 않음) | 가능성(회사) |
| 직원과 외주 업체 직원의 이름, 이메일, 로그인 ID | 10,673건 | 가능성(회사) |
| 신용카드 등 결제 정보 | 포함되지 않음 | 포함되지 않음(회사) |
| 로그인 비밀번호 | 포함되지 않음 | 포함되지 않음(회사) |
| 접근이 시작된 시점과 경로 | 밝히지 않음 | 언급 없음 |
| 정보 악용 | 10월 21일 기준 2차 피해 미확인 | 확인되지 않음(회사) |
| 피해 가능성이 있는 사람에 대한 개별 연락 | 순차 연락(방법은 밝히지 않음) | 진행 중(회사) |
| 개인정보보호위원회 보고 | 예비 보고 제출 | 확인됨(회사) |
| 경찰 상담 또는 신고 | 밝히지 않음 | 언급 없음 |
| 서비스 재개 | 10월 22일 13시경부터 안전이 확인된 서비스와 기능부터 단계적으로 재개 | 단계적 재개 중 |
| 서비스 중단 후 매물 정보와 문의 답변 | 재고와 가격 변경이 아직 반영되지 않았을 수 있음. 중단 전 문의에 대한 답변이 늦어질 수 있음 | 회사의 주의 사항 |
이렇게 읽으세요: 가능성과 포함되지 않음
건수와 항목은 "유출됐을 가능성이 있는" 정보입니다. 3,709,551건 모두가 유출됐다고 확인된 것은 아닙니다. 유출되지 않았다고 확인된 것도 아닙니다.
신용카드 등 결제 정보와 로그인 비밀번호만 포함되지 않았다고 명시되어 있습니다. 건수는 사람 수도 아니며, 공지는 여러 판매점에 문의한 사람을 어떻게 셌는지 밝히지 않았습니다.
항목들의 조합이 악용될 수 있는 방식
아래는 일반적으로 일어날 수 있는 일이며, 이번 사건에서 실제로 일어났다는 뜻이 아닙니다. 회사는 10월 21일 기준 2차 피해가 확인되지 않았다고 밝혔습니다.
이름 + 주소(판매점에 문의한 사람)
↓→
보상금, 환불, 설문조사를 제안하는 정확한 주소의 편지
→ 동봉된 번호나 QR 코드를 사용하지 말고, 공지 페이지에서 확인
이름 + 주소 + 문의 내용
↓→
판매점을 사칭하며 내가 문의한 차량을 언급하는 연락
→ 세부 내용을 안다고 증명이 되는 것은 아님 / 직접 찾은 번호로 다시 전화
직원 이름 + 전화번호 + 로그인 ID(판매점)
↓→
운영자를 사칭하며 비밀번호나 결제 정보 변경을 요구하는 연락
→ 링크로 아무것도 입력하지 않기 / 다른 경로로 확인
공지에서 포함되지 않았다고 밝힌 정보
- 신용카드 등 결제 정보
- 로그인 비밀번호
유출됐을 가능성이 있는 항목(회사 발표 기준)
- 이름과 주소(쉽게 바꿀 수 없음)
- 문의 내용, 연령대, 성별(일부 건)
- 전화번호와 이메일 주소(일부 건)
- 판매점의 로그인 ID와 허가번호, 개인사업자의 자동이체 계좌 정보
주소는 오랫동안 바뀌지 않으므로, 일반적으로 훨씬 뒤에도 다른 명목의 연락에 쓰일 수 있습니다. 한동안 이번 사고를 언급하는 연락에 주의하세요.
과거 사례로, 2026년 10월의 북오프 회원 정보 유출에서는 첫 보고의 "최대 약 643만 건(회원 번호)"이 두 번째 보고에서 사람 수(6,383,279명)로 확인되었습니다. 이번에도 같은 일이 일어나지 않을 수도 있습니다.
고객 문의를 거래처에 전달하는 서비스를 운영하는 사람들을 위해
회사는 원인의 세부 사항을 공개하지 않았으므로, 이 글은 예방 방법을 말하지 않습니다. 이 섹션은 회사의 대응을 평가하지도 않습니다. 공지가 말하는 것은 한 번의 사고에서 성격이 꽤 다른 네 그룹(문의자, 거래처 판매점, 회사 직원과 외주 직원)의 정보가 함께 영향을 받았다는 점, 그리고 주소가 "원칙적으로 시 단위까지"라고 했지만 상당수에는 전체 주소가 포함될 수 있다는 점입니다. 아래 내용은 이를 바탕으로 사전에 점검할 수 있는 것으로 한정합니다.
규칙과 실제 저장된 데이터 사이의 차이를 점검하세요
회사는 판매점에 문의한 사람의 주소가 원칙적으로 시 단위까지라고 했지만, 최대 447,670건에는 도로 단위 주소가 포함될 수 있다고 밝혔습니다.
일반적으로 양식을 시 단위만 받도록 설계해도, 자유 입력란이나 오래된 데이터 형식에는 설계 의도보다 더 많은 정보가 남아 있을 수 있습니다. 설계 문서가 아니라 실제 데이터를 기준으로 저장된 항목을 확인하면, 유출이 발생했을 때 어떤 정보가 범위에 드는지 빠르고 정확하게 말할 수 있습니다.
각 시스템이 어떤 그룹의 정보를 보유하는지 정리하세요
이용자, 거래처, 직원, 외주 직원의 정보는 각각 목적과 보관 필요성이 다릅니다. 일반적으로 한 서비스를 중심으로 만든 관련 시스템은 각 그룹의 정보를 조금씩 수집하는 경우가 많습니다.
시스템마다 어떤 그룹의 정보를, 어떤 항목으로, 얼마나 오래 보유하는지 정리하고, 이미 전달된 문의를 일상적인 화면에서 제외할 수 있는지 판단하세요. 그룹과 항목이 분리되어 있으면 사고가 났을 때 "내가 해당되는가?"라는 질문에 더 쉽게 답할 수 있습니다.
사람들에게 어떻게 연락할지, 가짜를 어떻게 가려낼지 미리 정하세요
여기서 대상이 되는 대부분의 사람은 이메일 주소나 전화번호가 아니라 이름과 주소만 기록되어 있습니다. 일반적으로 이런 사람들에게 개별적으로 연락할 방법은 제한적이며, 진짜 연락과 가짜 연락이 비슷한 시기에 도착합니다.
사고가 나기 전에 중요한 공지에 사용할 채널과 발신자를 정하고, 절대 요구하지 않을 것을 정해서 공식 웹사이트에 공개하세요. 그래야 사람들이 진짜와 가짜를 구별하는 데 도움이 됩니다. 이메일 발신자 위조 방지는 위조 이메일에 대한 SPF, DKIM, DMARC를 참고하세요.
출처 (공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 원인과 접근 경로의 세부 사항은 추측하지 않았습니다.
- 리크루트 주식회사, "카센서넷 및 C-MATCH에 대한 불법 접근으로 인한 개인정보 유출에 관한 사과 및 공지"(일본어, 2026년 10월 21일) — recruit.co.jp (PDF: recruit.co.jp)
- 리크루트 주식회사, "카센서넷에 대한 불법 접근에 관하여"(문의창구 페이지, 일본어, 2026년 10월 21일 업데이트) — recruit-help.jp
- 카센서넷, "카센서넷 서비스 재개에 관한 주의 사항 및 요청"(상단 공지, 일본어, 2026년 10월 22일 업데이트) — carsensor.net
- 리크루트 주식회사 보도자료 목록(2026년 10월 22일 확인, 이번 사고에 대한 후속 발표 없음) — recruit.co.jp
- 전국은행협회, "전국은행협회를 사칭한 가짜 웹사이트에 주의하세요"(일본어, 일반적인 경고) — zenginkyo.or.jp
업데이트 기록
2026-10-22 (13:30 JST): 10월 22일 13시경부터 서비스가 단계적으로 재개된 내용과 업데이트된 카센서넷 공지(매물 정보와 문의 답변에 대한 주의 사항)를 추가했습니다. 직원과 외주 직원 그룹의 설명을 공지 내용에 맞게 수정했습니다.
2026-10-22: 2026년 10월 21일 리크루트 공지, 카센서넷 공지, 회사 보도자료 목록(10월 22일 확인)을 바탕으로 한 첫 번째 버전입니다. 원인과 범위의 세부 사항은 조사 중이며, 후속 발표가 나오면 이 글을 업데이트합니다.
다음으로 읽을 글
- 같은 시기의 사고: NIFTY 라인 신청 시스템 침해 / H2O ID 정보 유출 / 코믹 Cmoa 회원 정보 유출
- 후속 사기로부터 자신을 보호하기: 피싱이란 무엇인가 / 스마트폰 보안 기초
- 비밀번호: 비밀번호 관리자 선택과 사용 / 내 비밀번호 유출 여부 확인 방법
- 다른 자동차 관련 서비스: Cariteco(메이테쓰 교쇼) 랜섬웨어 사고
- 2026년 다른 사고: 정보 유출 및 사이버 공격 목록