istyle @cosme 유출(회원 약 300만 명 정보 유출): 유출된 이름·주소·전화번호·피부 타입에 회원이 해야 할 일

회사는 통지 이메일을 cosme.net 도메인에서 보낸다고 밝혔습니다. 제목이나 본문에 @cosme나 istyle이 나오더라도 발신 도메인이 다르면 다른 것으로 취급하세요. 표시 이름은 누구나 설정할 수 있으므로 확인할 것은 이름이 아니라 도메인입니다. 도메인이 일치하는 것만으로 메시지가 안전하다는 증거는 아닙니다. 링크를 쓰지 말고 공식 사이트를 직접 여세요.

회사는 cosme.net의 이메일을 받을 수 있도록 스팸 설정을 조정해 달라고도 요청합니다. 진짜 통지를 놓치지 않게 하려는 것일 뿐입니다. 이메일 안의 링크를 열어도 안전하다는 뜻이 아닙니다.

일반적으로 이름, 주소, 전화번호, 이메일 주소가 결합되면 본인을 위해 쓴 것처럼 보이는 가짜 메시지를 만들기 쉽습니다. 확인된 유출 항목에는 피부 타입과 헤어 타입도 있습니다. 피부 타입에 맞는 경품이나 등록 정보 업데이트 요청처럼 회원 안내를 흉내 내는 문구가 생각될 수 있습니다(이 사이트가 가정한 예이며 실제 도착한 메시지에 대한 보고가 아닙니다). 회사는 아는 한 악용이나 2차 피해는 확인되지 않았다고 밝혔습니다.

구분하는 방법은 피싱이란?에 있습니다. 비밀번호나 카드 번호 입력을 요구하는 메시지는 가짜로 취급하세요. 회사도 통지 이메일은 이를 요구하지 않는다고 밝혔습니다.

전화번호가 유출 항목에 있으므로, 회사는 사칭 문자와 전화가 올 수 있다고도 경고합니다. @cosme라고 밝히는 전화에서는 개인정보나 인증 코드를 알려 주지 마세요. 끊고, 공식 사이트에 적힌 고객 지원 채널로 직접 연락하세요.

회사는 현재로서는 로그인 비밀번호는 포함되지 않았다고 밝혔습니다. 공지는 회원에게 비밀번호 변경을 요청하지 않습니다. 이 사이트는 @cosme와 다른 서비스에서 같은 비밀번호를 쓴다면 만일을 위해 바꾸기를 권합니다. 이메일 주소가 유출 항목에 있으며, 돌려 쓰는 비밀번호는 다른 서비스로 들어가는 길이 될 수 있습니다(확인은 비밀번호 유출 여부 확인 방법, 계정 강화는 다중 인증 시작하기).

공지에 따르면 이후 @cosme를 탈퇴한 사람도 접근 당시 회원이었다면 영향을 받습니다. 회사는 탈퇴 후 일정 기간 보관하는 정보로 연락한다고 밝혔습니다. 개별 통지는 11월 6일 금요일까지 마칠 예정이므로 아직 받지 못한 사람도 있습니다. 문의는 회사가 발표한 무단 접근 문의 창구(평일 10:00–18:00 JST, 주말과 공휴일 휴무)로 하세요. 이메일 주소는 회사의 공지 페이지에서 확인하세요.

공지에 따르면 탈퇴한 사람도 영향을 받으며, 회사는 탈퇴 후 일정 기간 보관하는 정보로 연락한다고 밝혔습니다. 이 사이트의 조언으로, 자기 서비스가 탈퇴 후 몇 개월 동안 어떤 항목을 보관하는지 목록으로 만들고, 목적에 필요 없는 항목을 정해진 기한까지 삭제할 수 있는지 검토하세요.

회사는 영향을 받은 사람이 많아 통지에 시간이 걸린다고 밝혔고, 스팸 설정 확인 요청과 함께 이메일의 발신 도메인을 공개했습니다. 통지를 보내는 쪽이라면 발신 도메인을 공개하고, 이메일 안의 링크로 확인하게 하지 않도록 메시지를 설계하세요. 가짜 통지가 섞여 들어가기 어려워집니다. 발신자 인증은 SPF, DKIM, DMARC 기사에서 다룹니다.