대상: 빅에코, 메가빅, 가라오케 CLUB DAM, 바나나클럽, B-GARAGE 또는 DK 다이닝 매장에서 회원으로 등록하거나 예약한 모든 분; 다이이치코쇼 직원(공지는 "직원 정보"라고만 밝히며 퇴사자 포함 여부는 밝히지 않음); 고객 데이터를 협력업체에 넘기는 기업. 이 글은 다이이치코쇼 주식회사의 공식 공지에 근거하며, 공격 기법은 다루지 않습니다.
진행 중: 회사가 새로운 내용을 발표하는 대로 이 글을 갱신합니다
2026년 10월 10일 기준아직 알려지지 않음
- 데이터가 외부로 실제 유출되었는지 여부
- PC가 감염된 경위
- 어떤 업무가 위탁되었는지
- 영향을 받은 사람에게 개별 연락이 가는지 여부
- 영향 여부를 확인하는 방법
- 재발 방지 대책
회사는 영향을 받은 고객의 범위와 대응을 포함해 새로운 사실이 생기면 신속히 발표하겠다고 밝혔습니다. 10월 9일에 전용 무료 문의 전화를 개설했습니다. 10월 10일 기준으로 원인과 범위에 대한 후속 발표는 없습니다.
빅에코 등 회원이 오늘 해야 할 일
영향을 받았는지 확인하십시오(6개 브랜드의 회원 및 예약자, 그리고 직원)
회사에 따르면, 이 데이터는 매장에서 회원으로 등록했거나 예약한 고객과 관련됩니다. 내역은 아래와 같습니다. 모든 수치는 대략적이며, 총계에서 중복(약 515,000건)은 제외되었습니다.
- 빅에코 관련: 약 5,558,000건
- DK 다이닝 관련: 약 3,462,000건
- 가라오케 CLUB DAM 관련: 약 74,000건
- 메가빅 관련: 약 43,000건
- 바나나클럽 관련: 약 5,000건
- B-GARAGE 관련: 약 4,000건
이에 더해 직원 약 93,000건이 포함됩니다. 공지는 현재 직원만 해당하는지, 퇴사자도 포함되는지 밝히지 않았습니다.
10월 10일 기준으로 공지에는 영향을 받은 사람에게 개별 연락이 가는지, 또는 포함 여부를 확인하는 방법이 나와 있지 않습니다. 위 브랜드 중 하나에 회원으로 등록했거나 예약한 적이 있다면 포함된 것으로 보고 아래 단계를 따르십시오.
쿠폰, 회원 정보 갱신, 포인트에 관한 이메일이나 문자의 링크를 열지 마십시오
회사는 데이터가 실제로 유출되었다면 스푸핑 이메일과 피싱에 쓰일 수 있다고 경고합니다. 의심스러운 이메일, 문자, 전화를 주의하고 낯선 링크나 첨부 파일을 열지 말라고 요청합니다.
노래방과 식당 회원 프로그램은 쿠폰, 회원 등급 안내, 포인트 알림을 정기적으로 보냅니다. 그래서 "쿠폰 받기", "회원 정보 갱신", "포인트 소멸 예정" 같은 가짜 메시지는 실제 메시지와 구별하기 어렵습니다. 링크를 열지 마십시오. 같은 안내가 공식 앱이나 직접 즐겨찾기에 저장한 공식 사이트에 있는지 확인하십시오(가짜를 구별하는 방법: 피싱이란 무엇인가?).
비밀번호나 카드 정보를 요구하는 요청은 가짜로 간주하십시오
회사는 비밀번호나 신용카드 정보를 결코 요구하지 않는다고 밝혔습니다. 사과, 보상, 보너스 포인트를 명목으로 이를 요구하는 메시지에는 응답하지 마십시오. 이미 입력했다면 해당 서비스의 비밀번호를 바꾸고, 카드 정보를 입력했다면 카드사에 전화하십시오.
생년월일을 PIN이나 비밀번호로 쓰고 있다면 바꾸십시오
여기서부터는 이 사이트의 조언입니다. 비밀번호와 달리 생년월일은 나중에 바꿀 수 없습니다. 유출되었을 수 있으므로, 생년월일의 4자리 또는 6자리를 은행 카드나 휴대폰 PIN으로 쓰거나 비밀번호의 일부로 쓰고 있다면 바꾸십시오.
이름과 이메일 주소도 알려졌을 가능성이 있으므로 "이름 + 생일" 형태의 비밀번호는 쉽게 시도될 수 있습니다. 비밀번호를 바꿀 때는 비밀번호 관리자를 사용해 길고 나와 무관한 비밀번호를 만드는 것이 현실적인 방법입니다.
생년월일을 말하는 전화 상대가 진짜라는 보장은 없습니다
전화를 건 사람이 이름과 생년월일을 읽어 주며 "본인 확인"을 하면 공식적으로 들릴 수 있습니다. 이름, 생년월일, 전화번호는 모두 이번 대상 항목에 포함되어 있으므로 이런 전화는 더 쉽게 흉내 낼 수 있습니다. 전화가 오면 그 자리에서 질문에 답하지 말고 끊은 뒤, 회사 공식 웹사이트에 적힌 번호로 다시 거십시오.
공식 공지에 있는 연락처만 이용하십시오
회사의 문의 전화는 수신자 부담 0120-732-079(일본 시간 10:00–17:00, 주말 및 공휴일 제외, 일본 국내에서 연결 가능)이며, 이메일 incident-desk@dkkaraoke.co.jp(10월 9일 공지 기준)도 있습니다. 전화가 혼잡하면 이메일을 이용할 수 있다고 합니다. 번호와 주소는 받은 이메일이나 문자가 아니라 회사 공식 웹사이트에서 확인하십시오.
비밀번호 변경: 공지의 내용과 이 사이트의 견해
회사의 공지는 유출되었을 수 있는 데이터에 비밀번호가 포함되지 않았다고 말하며, 이 정보만으로는 포인트를 사용할 수 없다고 합니다. 포인트 악용은 확인되지 않았다고 합니다. 공지는 비밀번호 변경을 요구하지 않습니다.
이 사이트도 이번 사건만으로 비밀번호를 바꿔야 한다고 보지 않습니다. 다만 이메일이나 문자 링크로 열린 페이지에서 로그인했다면 해당 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 바꾸십시오(확인 방법: 비밀번호가 유출되었는지 확인하는 방법).
발생한 일(다이이치코쇼 발표 기준)
아래 내용은 다이이치코쇼의 2026년 10월 8일 공지와 10월 9일 무료 문의 전화 공지에 근거합니다. 회사가 협력업체의 보고에 따른 것이라고 밝힌 내용은 그렇게 표시했습니다.
2026년 10월 1–2일
협력업체의 보고에 따르면, 협력업체 직원이 사용하는 PC 한 대에서 악성코드 감염이 발견되었습니다.10월 2일
협력업체는 해당 PC를 네트워크에서 분리했습니다.10월 5일
협력업체가 범위를 조사한 뒤 다이이치코쇼가 보고를 받았습니다.10월 8일
다이이치코쇼가 "협력업체에서의 개인정보 유출 가능성"(일본어 및 영어)을 게시했습니다.10월 9일
고객용 전용 무료 문의 전화가 개설되었습니다. 회사는 이번 사건과 관련된 개인 데이터의 악용은 확인되지 않았으며 조사는 계속 진행 중이라고 밝혔습니다.2026년 10월 10일 기준
원인과 범위에 대한 후속 발표 없음.
- 대상
- 매장에서 회원으로 등록했거나 예약한 고객(약 8,631,000명)과 직원 기록(약 93,000건). 총 약 8,724,000건
- 항목
- 이름(등록 이름), 성별, 생년월일, 이메일 주소, 전화번호
- 포함되지 않은 항목
- 비밀번호. 이 정보만으로는 포인트를 사용할 수 없으며, 포인트 악용은 확인되지 않음
- 공개된 원인
- 다이이치코쇼가 개인 데이터 처리를 위탁한 회사의 직원이 사용하는 PC(기기 1대)가 악성코드에 감염되었습니다. 위탁 업무와 관련된 개인 데이터가 그곳에 일시적으로 저장되어 있었습니다
- 확인되지 않은 사항
- 외부로의 실제 유출, 이번 사건으로 인한 악용, 회사 자체 시스템에 대한 영향
- 협력업체의 대응(보고 기준)
- PC를 네트워크에서 분리하고 비밀번호 등 인증 정보를 재설정했습니다. 유출 여부를 포함해 원인과 범위를 조사 중
- 회사의 다음 단계
- 악용 여부를 모니터링하고 징후가 있으면 대응, 사용 중인 시스템 점검, 협력업체와 외부 전문 기관이 수행하는 원인 조사 및 재발 방지 계획 검토, 협력업체 관리 방식 검토 및 강화
확인된 사항과 확인되지 않은 사항
2026년 10월 10일 기준 상황입니다. 후속 공지가 나오면 상태 열을 갱신하겠습니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 감염된 기기 | 협력업체 직원이 사용하는 PC 1대. 10월 2일 분리 | 확인됨(협력업체 보고 기준) |
| 기기의 데이터 | 위탁 업무 관련 개인 데이터가 일시적으로 저장됨 | 확인됨(협력업체 보고 기준) |
| 건수 | 약 8,724,000건(고객 약 8,631,000명, 직원 약 93,000건) | 현재까지 알려진 범위 |
| 항목 | 이름(등록 이름), 성별, 생년월일, 이메일, 전화번호 | 유출되었을 수 있음 |
| 비밀번호 | 포함되지 않음 | 확인됨 |
| 포인트 | 이 데이터만으로는 사용 불가. 악용은 확인되지 않음 | 확인됨(회사 발표) |
| 외부로의 실제 유출 | 확인되지 않음. 유출 여부를 포함해 조사 중 | 조사 중 |
| 악용 | 확인되지 않음(10월 9일 기준) | 확인되지 않음 |
| PC 감염 경위 / 악성코드 종류 | 공지에 언급 없음 | 공개되지 않음 |
| 위탁된 업무 | 공지에 언급 없음 | 공개되지 않음 |
| 개별 통지 | 공지에 언급 없음 | 공개되지 않음 |
| 재발 방지 대책 | 협력업체와 외부 전문 기관의 조사 결과를 검토하고 협력업체 관리를 강화할 예정 | 검토 중 |
이 내용을 읽는 법: '확인되지 않음'은 '유출되지 않았음'을 뜻하지 않습니다
회사는 외부로의 실제 유출을 확인하지 못했다고 밝혔지만, 유출을 배제할 수 없어 공지를 게시했습니다. 악성코드에 감염된 기기에서 데이터가 빠져나갔는지는 조사가 끝날 때까지 불분명한 경우가 많으며, 이에는 시간이 걸릴 수 있습니다. 그때까지는 데이터가 외부에 있다고 가정하고 가짜 메시지에 대비하십시오.
이름, 생년월일, 전화번호, 이메일로 무엇을 할 수 있는가
일반적으로 다음 조합은 아래와 같이 악용될 수 있습니다. 이번 사건에서 실제로 그런 일이 일어났다는 뜻은 아닙니다.
- 이름 + 이메일 + 전화번호: 정확한 이름이 들어간 회원 안내처럼 보이는 이메일과 문자
- 이름 + 생년월일 + 전화번호: "본인 확인"을 가장한 전화와 가짜 생일 혜택 메시지의 재료
- 생년월일 + 이름: 생년월일을 PIN이나 비밀번호로 쓰는 계정이 시도됨
- 성별 + 생년월일: 연령대와 성별에 맞춘 그럴듯한 판매 권유나 사기에 이용될 수 있음
이 사이트의 견해: 바꿀 수 없는 데이터가 유출되었을 때는 생년월일만으로 본인으로 인정받는 상황을 줄이십시오
비밀번호는 바꾸면 무효화되지만, 생년월일과 이름은 바꿀 수 없습니다. 이 조합은 수년간 쓰일 수 있습니다.
따라서 방어는 데이터를 되찾는 것이 아니라 생년월일만으로 본인 확인이 되는 상황을 없애는 것입니다. 생년월일을 PIN과 비밀번호에서 빼고, 생년월일을 안다는 이유로 전화 상대를 믿지 마십시오. 이 두 가지는 이번 사건뿐 아니라 생년월일이 포함된 유출이 있을 때마다 도움이 됩니다.
빅에코
~5.558M
DK 다이닝
~3.462M
CLUB DAM, 메가빅, 바나나클럽, B-GARAGE
합계 ~126K
직원 기록
~93K
↓ 위탁 업무를 위해
협력업체 직원 한 명의 PC에 일시 저장
중복 제외 후 ~8.724M
↓
10월 1–2일 악성코드 발견; 10월 2일 PC 분리
외부 유출은 확인되지 않음(조사 중)
고객 데이터를 협력업체에 넘기는 기업을 위하여
PC가 어떻게 감염되었는지는 공개되지 않았으므로, 이 섹션은 악성코드를 막는 방법을 다루지 않습니다. 다른 기업이 자신의 관행과 비교해 확인할 수 있는 공개된 사실은 다음과 같습니다. 여러 브랜드의 회원 데이터와 직원 데이터가 협력업체 직원 한 명의 PC에 일시적으로 저장되어 있었습니다. 이 섹션은 회사나 협력업체의 행위를 평가하지 않습니다.
고객 데이터를 보유한 협력업체 목록, 건수, 통지 기한은 다이와증권 협력업체 침해 글에서 다루었습니다. 여기서는 데이터가 협력업체의 서버가 아니라 업무를 수행하는 사람의 PC에 남는 경우에 초점을 맞춥니다.
협력업체에는 업무에 필요한 열과 레코드만 제공하십시오
집계, 우편 발송, 분석을 위탁할 때 회원 데이터베이스 전체를 내보내면 업무에 쓰이지 않는 열과 브랜드까지 협력업체 PC에 들어갑니다. 위탁 전에 업무마다 실제로 필요한 열이 무엇인지 정하십시오.
예를 들어 연령대 보고서에는 전체 생년월일 대신 연령대를, 연락이 필요 없는 업무에는 이메일이나 전화번호를 빼고, 이름 대신 회원 번호를 쓰는 식입니다. 업무를 브랜드별로 나눈다면 파일도 나누십시오. 첫 단계로 협력업체에 정기적으로 보내는 파일 하나를 골라, 업무에 각 열이 필요한지 협력업체와 열 단위로 점검해 보십시오.
협력업체가 자신의 PC가 아닌 기업이 관리하는 환경에서 일하게 하십시오
데이터가 협력업체 직원의 PC에 저장되면, 그 PC의 악성코드 방어와 업데이트 상태가 고객 데이터의 보호 수준이 되는데, 발주 측은 둘 다 볼 수 없습니다. 가능하다면 협력업체가 기업이 관리하는 환경(화면만 전송하는 가상 데스크톱, 다운로드가 차단된 공유 작업 공간 등)에서 일하게 하여 PC에 어떤 파일도 남지 않도록 하십시오.
로컬 복사본이 꼭 필요한 업무라면 암호화, 업무 종료 시 삭제, 삭제 완료를 발주 측에 확인하는 기한을 요구하십시오.
기기 요건과 최초 통지 기한을 계약서에 명시하십시오
일본의 개인정보보호법은 개인 데이터 처리를 위탁하는 사업자에게 수탁자에 대해 필요하고 적절한 감독(제25조)을 하도록 요구합니다. 이 감독을 구체화하기 위해 계약서나 각서에 다음을 포함하십시오.
- 고객 데이터를 다루는 기기의 요건: 악성코드 활동을 탐지하고 기록하는 도구(예: EDR), OS 및 소프트웨어 업데이트, 디스크 암호화, 개인 기기에서의 처리 금지
- 고객 데이터를 저장할 수 있는 장소와 업무 후 삭제 기한
- 감염이나 침입이 발견되었을 때의 조치: 범위 조사를 기다리지 않는 최초 통지 기한(예: 24시간 이내)을 조사 보고서 기한과 별도로 정하기
협력업체가 이러한 요건을 충족하는지 기기 관리 방식에 대한 서면 보고서나 자체 점검 결과로 연 1회 확인하십시오.
조직이 전반적으로 어디서 시작해야 하는지는 조직을 위한 최소 보안에서, 악성코드 유형과 기기 보호는 악성코드란 무엇인가?에서 다룹니다.
출처(공개 기록)
이 글의 사실은 아래 공개 정보에 근거합니다. 공개되지 않은 감염 경로나 기법에 대해서는 추측하지 않습니다.
- 다이이치코쇼 주식회사, "협력업체에서의 개인정보 유출 가능성"(2026년 10월 8일) — en.dkkaraoke.co.jp(일본어: dkkaraoke.co.jp)
- 다이이치코쇼 주식회사, 협력업체의 유출 가능성에 관한 무료 문의 전화 개설 공지(2026년 10월 9일, 일본어) — dkkaraoke.co.jp
- 개인정보보호위원회, "개인정보보호법 가이드라인(일반 규칙)"(수탁자 감독, 일본어) — ppc.go.jp
업데이트 기록
2026-10-10: 10월 8일 다이이치코쇼 공지와 10월 9일 무료 문의 전화 공지에 근거한 첫 번째 버전. 회사는 범위와 대응을 포함해 새로운 사실을 발표하겠다고 밝혔으며, 발표되면 이 글을 갱신하겠습니다.
다음으로 읽을 글
- 협력업체를 통해 고객 데이터가 위험에 처한 다른 사례: 다이와증권 협력업체 침해
- 이름, 전화번호, 이메일을 이용한 사기: TEMAIRAZU 무단 접근
- 가짜 메시지와 비밀번호: 피싱이란 무엇인가? / 2단계 인증 선택하기
- 2026년의 다른 사건: 2026년 데이터 유출 및 사이버 공격