대상 독자: 회사나 개인 사이트의 보안을 책임지는 모든 분. 이 글은 개별 사고 해설이 아니라, 2026년 8월에 일본 조직들이 공개한 내용을 나란히 놓고 볼 때 드러나는 패턴을 다룬다. 모든 사실은 해당 공개 자료와 보도에서 가져왔으며, 원인에 대한 추론은 포함하지 않았다.
침투 경로별 분류
각 조직이 공개한 내용을 기준으로 했으며, 수치와 원인은 공개된 대로만 표기했다.
| 공개일 | 조직 | 출발점 | 분류 |
|---|---|---|---|
| 8월 3일 | Kodansha | 기업 메일함 — 연락처가 탈취됐고, 해당 직원을 사칭한 메일이 일부 연락처로 발송됨 | 자격 증명 |
| 8월 4일 및 7일 | Innovation Co. | GitHub 자격 증명 — 회사는 두 가지 실패를 공개: 설정에 하드코딩된 토큰, 저장소에 저장된 개인정보 | 자격 증명 |
| 8월 13일 | Charm | 전자상거래 사이트에 대한 무단 접근 (약 230,000건 레코드, 비밀번호 해시 포함) | 직접 |
| 8월 14일 | Nichirei | 랜섬웨어 (7월 13일 시스템 장애; 직원 정보가 노출됐을 가능성) | 직접 |
| 8월 17일 및 19일 | Sakura Internet | 서비스 제공업체의 관리 환경, 이후 계약 관리 시스템 (최대 1,360,563개 회원 계정이 범위에 포함) | 자격 증명 / 제공업체 |
| 8월 20일 | Expo 2025 Association | 하청업체의 Microsoft 365, 5월 13일에 받은 피싱 이메일에서 시작 | 자격 증명 / 벤더 |
| 8월 20일 | VOISING | BI 도구 (최대 약 170,000명) | 자격 증명 / SaaS |
| 8월 | JST (보도) | 메일함 접근 (약 16,000건 메시지) | 자격 증명 |
| 8월 12일 | OCS, ANA Group (보도) | 애플리케이션의 취약점 | 직접 |
이 수치를 읽는 방법
위 수치는 발표 시점에 공개된 그대로이며, 대부분의 조사는 진행 중이다. 특히 Sakura Internet의 1,360,563은 유출이 확인된 수가 아니라 범위에 포함될 수 있는 회원 레코드 수이며, 회사는 정보 유출이 확인되지 않았다고 밝혔다. 조사 중인 수치를 최종 수치로 취급하지 않는 것이 이런 보도를 읽는 기본 능력이다.
자체 시스템 보안만으로는 충분하지 않은 이유
시작: 내가 통제하지 않는 정상 계정
벤더의 M365 / BI 도구 / 메일함 / GitHub 토큰 / 제공업체 콘솔
공격자가 일반적인 작업을 수행
탈취한 자격 증명으로 정상적으로 로그인하고 데이터를 정상적으로 읽음
자체 서버 (건드려지지 않음)
패치, WAF, CSP는 이 경로에 적용되지 않음
악용된 취약점은 누군가가 결함을 통해 들어왔다는 뜻이므로, 결함을 고치면 막을 수 있다. 탈취된 자격 증명은 누군가가 정상적으로 로그인했다는 뜻이므로, 고쳐야 할 결함이 없다. 보호해야 할 대상은 자격 증명 자체다. 누가 가지고 있는지, 어디에 저장되어 있는지, 얼마나 오래 유효한지가 핵심이다.
이 경우에 효과가 없는 것
- 패치 — 아무것도 악용하지 않는 공격에는 무관함
- WAF / IPS — 정상적인 로그인은 이상 징후로 보이지 않음
- "우리는 너무 작아서 표적이 되지 않는다" — 표적은 벤더나 제공업체였고, 귀사는 그들의 고객으로서 영향을 받은 것
- 호스팅 방식 변경 — VPS로 바꿔도 자격 증명 탈취는 막히지 않음
효과가 있는 것
- 다단계 인증, 특히 메일, 코드 호스팅, SaaS 관리자 계정
- 수명이 짧고 권한 범위가 좁은 자격 증명 — 장기 토큰을 폐기
- 데이터에 접근할 수 있는 벤더와 SaaS 목록 관리
- 설정 파일에 비밀 정보를 하드코딩하지 않고, 저장소에 개인정보를 두지 않음
- 데이터가 읽혔다고 가정한 계획 — 빼앗길 대상을 줄여 둠
해야 할 일
의존하는 외부 서비스와 하청업체를 목록으로 정리
호스팅, SaaS, BI 도구, 메일 플랫폼, 코드 호스팅, 그리고 하청업체까지 포함한다. 이 목록이 없으면 뉴스가 나왔을 때 "우리가 영향 범위에 있는가?"라는 질문에도 답할 수 없다. 목록 작성 방법: 자산 목록 점검표.
메일과 코드 호스팅에 다단계 인증을 먼저 적용
위에서 살펴본 출발점 중 여러 곳이 메일함과 코드 호스팅 자격 증명이었다. 두 계정은 그 밖의 모든 것을 다시 발급받을 수 있는 계정이므로 다른 항목보다 우선해야 한다. → 다단계 인증 선택하기
장기 유효 자격 증명을 점검하고 수명과 권한 범위를 줄이기
설정 파일의 비밀 정보, 만료 기한이 없는 액세스 토큰, 모든 저장소에서 유효한 키 등. 탈취를 가정하고, 공격자가 얻는 것을 작고 짧게 유지한다. → .env와 API 키의 위험성 / 커밋 단계에서 비밀 정보 차단하기
제공업체가 침해되면 무엇이 일어나는지 미리 파악
제공업체가 침해됐다는 통지를 받았을 때 실제로 무엇을 잃게 되는가? 이를 미리 답해 두면 당일에 해야 할 일이 정해진다. → 웹 호스트가 침해됐을 때 할 일
기회형 피싱이 뒤따른다고 가정
대형 사고 뒤에는 항상 이를 사칭한 메일이 따라온다. 8월의 한 사례에서는 탈취된 연락처로 직원을 사칭한 메일이 발송된 것이 공개됐다. "사고 안내" 메일의 링크는 클릭하지 말고, 공식 사이트를 직접 열어 확인한다. → 피싱이란
이 사이트의 견해: 이것은 대기업만의 이야기가 아니다
표에는 대형 조직이 나와 있지만, 침투가 시작된 지점은 규모와 상관이 없다. 메일함, SaaS 관리자 권한, 저장소에 방치된 자격 증명이 그것이다. 1인 개발자에게도 똑같이 적용되며, 소규모 운영은 외부 서비스에 더 많이 의존하고 자격 증명 하나로 접근할 수 있는 범위가 넓은 경우가 많아 오히려 더 위험할 수 있다. 우리의 입장은 일관된다. 지금 당장 필요한 만큼만 자격 증명을 배포하고, 쓰지 않는 자격 증명을 방치하지 않는 것이, 시스템을 절대 뚫리지 않게 만들려는 노력보다 효과가 크다. 패치는 기본으로 유지하되, 초점은 자격 증명으로 옮겨야 한다.
출처
사실은 각 조직의 공개 자료와 보도에서 가져왔다. 공개된 내용 이상으로 원인이나 책임을 추정하지 않았다.
- Sakura Internet — 1차 보고 (8월 17일) / 2차 보고 (8월 19일, 8월 26일 업데이트) / FAQ
- Expo 2025 Association — 하청업체의 무단 접근 관련 보고 (8월 20일)
- Kodansha — 개인정보 노출 관련 공지 (8월 3일)
- Charm — 무단 접근 관련 공지 (8월 13일)
- Innovation Co. — GitHub 사고 관련 최종 보고 (8월 7일)
- Nichirei 관련 보도 — @IT (8월 15일)
- VOISING 관련 보도 — ITmedia NEWS (8월 21일)
다음으로 읽을 글
- 계정이나 벤더 로그인에서 시작된 최근 사례: Navigate360 P3 (Crime Stoppers 제보 플랫폼) / ASOS (영국, 고객 데이터)
- 계약업체의 클라우드 키가 악용된 채용 사이트 사례: MyBRANDS
- 2026년 전체 사고 (일본 및 전 세계): 침해 및 사이버 공격 목록, 그리고 침투 경로의 차이
- 2026년 주요 사례 비교: KDDI, Aflac, 디지털청, Sakura Internet의 공통점
- VPN이 침투 경로일 때: VPN 장비는 랜섬웨어의 주요 침투 경로: 디지털청 침해 이후의 원격 접속 방어
- 준비: 자산 목록 점검표 / 다단계 인증 선택하기
- 제공업체가 침해됐을 때: 웹 호스트가 침해됐을 때 할 일
- 개발용 클라우드 자격 증명이 탈취됐을 때: Nikkei 무단 접근 (약 183만 건 레코드)
- 클라우드 운영 자격 증명이 획득됐을 때: Digital Arts 클라우드 서비스 무단 접근
- 자격 증명 탈취: npm 설치 한 번으로 자격 증명이 탈취될 때 / .env와 API 키의 위험성
- 설계: 비밀번호 재설정 설계 결함 — 서비스 자체의 재설정 절차가 공격자에게 자격 증명을 발급하는 경우
- 사례: KADOKAWA 랜섬웨어 (2024) — 피싱으로 탈취된 자격 증명이 침투 지점이었음