대상: 디지털 채권이나 디지털 증권(시큐리티 토큰)을 신청했거나 구매한 분, 특히 은행 계좌번호가 포함됐을 수 있는 분. 이 글은 각 회사의 공식 안내를 바탕으로 한 설명이며 공격 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
디지털 채권이나 디지털 증권(시큐리티 토큰)을 신청했거나 구매한 분, 특히 은행 계좌번호가 포함됐을 수 있는 분.
- 확인된 영향 범위표 보기 ↓
- Marui Group(발행사)
- Sony Bank(판매사)
- NTT Data(플랫폼 제공사)
1개 더 보기
- Phillip Securities Japan(판매사)
가능성이 있다고 한 항목
- Rakuten Securities(판매사)
- Kagome(발행사)
- Kintetsu Group Holdings(발행사)
2개 더 보기
- West Japan Railway(발행사)
- Starts Securities(판매사)
- 아직 확인되지 않은 사항
- 원인의 세부 사항(경로와 범위)
- 발행사와 판매사 전체의 최종 대상자 및 건수
- 다른 발행사나 판매사가 추가로 발표할지
2개 더 보기
- 데이터가 악용되었는지
- 거래와 서비스가 언제 재개되는지
- 지금 할 일절차 보기 ↓
- 이들 회사를 사칭한 연락에 응하지 마세요
- 개별 안내는 직접 열어서 확인하세요
- 은행 계좌번호가 포함됐을 수 있다면 계좌 거래 내역을 확인하세요
3개 더 보기
- 증권 로그인을 보호하세요(Rakuten Securities 계좌가 있다면)
- 일부 거래가 중단되었음을 알아두세요
- 정보를 입력했거나 송금했다면 바로 도움을 받으세요
- 마지막 확인
- 2026년 11월 14일 기준
후속 발표 예정과 확인 기록
이 사이트는 10개 회사의 공식 안내를 확인했습니다. 다른 회사도 발표한 것으로 보도되었지만 안내를 확인하지 못해 표에는 넣지 않았습니다. 각 회사는 2차 피해(부정 거래 등)를 확인하지 못했다고 밝혔거나, 우리가 확인한 범위에서 그런 기록은 없었습니다. 11월 14일 안내를 확인했을 때 가장 최근 갱신은 11월 4일(Sony Bank)이었습니다.
해당 고객이 오늘 해야 할 일
이들 회사를 사칭한 연락에 응하지 마세요
유출됐을 수 있는 데이터는 이름과 연락처입니다. Marui Group은 이 데이터가 사칭이나 수상한 이메일, 문자에 악용될 수 있다며, 모르는 메시지의 URL을 열거나 개인정보를 입력하지 말라고 요청합니다. Kagome, Kintetsu Group Holdings, West Japan Railway도 자사를 사칭한 수상한 이메일, 문자, 전화에 주의하라고 요청합니다.
연락이 진짜인지는 메시지의 링크가 아니라 공식 사이트나 앱을 직접 열어 확인하세요. 구별 방법은 피싱이란?에 있습니다.
개별 안내는 직접 열어서 확인하세요
각 회사는 해당 고객에게 개별로 연락한다고 밝혔습니다. Kagome는 판매사인 Rakuten Securities에 로그인한 뒤 표시되는 중요 공지로 안내한다고 합니다. West Japan Railway는 Rakuten Securities가 해당자에게 이메일 등으로 연락한다고 밝혔습니다. Marui Group은 해당 고객에게 순차적으로 연락한다고 합니다.
어떻게 연락받는지 확인하려면 아래 연락처 표의 공식 전화번호와 이메일을 이용하세요.
은행 계좌번호가 포함됐을 수 있다면 계좌 거래 내역을 확인하세요
은행 계좌번호는 Marui Group 54명과 Sony Bank 4명에게 포함됐을 수 있습니다. 두 안내 모두 계좌 비밀번호가 유출됐다고 밝히지는 않았습니다. 하지만 계좌번호와 이름을 아는 사람은 송금처럼 보이는 연락을 만들기 쉽습니다(이 사이트의 견해). 은행 앱이나 통장에서 거래 내역을 확인하고, 비밀번호나 일회용 비밀번호를 요구하는 연락에는 응하지 마세요.
모르는 입금이 있거나 「착오 송금했으니 돌려달라」는 메시지가 오면 직접 송금하지 말고 먼저 은행과 상의하세요. 두 안내 모두 계좌 변경을 권하지는 않습니다. 일반적인 조언은 일본은행협회의 경고와 경찰청의 주의 안내(둘 다 일본어, 이번 사고가 아닌 일반적인 조언)를 참고하세요.
증권 로그인을 보호하세요(Rakuten Securities 계좌가 있다면)
Rakuten Securities는 로그인 ID와 비밀번호는 유출됐을 수 있는 정보에 포함되지 않는다고 밝혔습니다. 피싱에 강한 패스키 로그인을 필수로 하고 있으며, 설정하지 않았다면 설정을 권장합니다. 패스키란?과 2단계 인증 시작하기를 참고하세요.
일부 거래가 중단되었음을 알아두세요
Sony Bank는 현재 디지털 증권 거래를 중단했으며 복구 후 고객에게 알리겠다고 밝혔습니다. NTT Data도 디지털 증권 플랫폼 「STdirectServices」를 중단했으며, 안전 대책을 확인한 뒤 재개 여부를 결정한다고 합니다. 중단 안내를 사칭한 메시지에 주의하세요.
정보를 입력했거나 송금했다면 바로 도움을 받으세요
수상한 메시지의 링크 페이지에 계좌 정보나 개인정보를 입력했거나 송금했다면 즉시 은행이나 증권사에 연락하세요. 경찰 상담 전화(#9110)나 소비자 핫라인(188)에도 상담할 수 있습니다. 계정의 수상한 활동은 무단 접근 여부 확인 방법을 참고하세요.
무슨 일이 있었나요(각 회사 안내 기준)
여러 발행사와 판매사가 같은 위탁업체의 시스템에 무단 접근이 있었다고 밝혔습니다. Marui Group, Sony Bank, NTT Data 등의 안내는 이 위탁업체를 Securitize Japan이라고 밝혔습니다. 아래 내용은 이들 안내를 바탕으로 합니다. 날짜는 각 회사의 발표일이며 모두 한꺼번에 나오지는 않았습니다.
10월 29일
제3자가 위탁업체의 시스템에 접근했습니다. Starts Securities는 위탁업체가 10월 29일에 감지했다고 밝혔습니다. Phillip Securities Japan은 그날 새벽에 접근이 있었고 그날 아침 확인했다고 밝혔습니다. Marui Group과 NTT Data는 10월 29일에 무단 접근이 발생(수신)했다고 밝혔습니다.10월 30일
NTT Data가 발행사와 판매사(Kagome, Kintetsu Group Holdings, West Japan Railway)에 보고했습니다. Sony Bank는 10월 30일 자 안내를 게시했습니다.10월 31일
NTT Data가 「STdirectServices」 중단을 발표했습니다(제1보). Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings, West Japan Railway가 발표했습니다. Phillip Securities Japan도 첫 안내를 냈으며, 11월 2일 후속 안내에서 고객 정보 유출이 확인된 범위에 관한 그 안내의 일부가 잘못되었다며 정정했습니다.11월 2일
Marui Group(최대 9,086명), NTT Data(제2보), Pan Pacific International Holdings(제1보), Phillip Securities Japan(후속, 162명)이 발표했습니다. Sony Bank는 이날과 11월 4일에 안내를 갱신했습니다(페이지에는 바뀐 내용이 적혀 있지 않습니다).11월 14일
이 사이트가 각 회사의 안내를 확인했습니다. 위 내용보다 새로운 것은 찾지 못했습니다.
- 발생
- 2026년 10월 29일(디지털 채권과 디지털 증권 관리를 제공하는 위탁업체의 시스템에 대한 제3자의 무단 접근)
- 대상
- 디지털 채권이나 디지털 증권을 신청했거나 구매한 사람. 건수는 발행사와 판매사마다 다름
- 원인
- NTT Data 제2보: 위탁업체 SaaS의 인증 기능에 있는 약점이 악용되어 관리자 권한이 무단 취득되었고 정보가 반출됨. 자세한 경로와 범위는 조사 중
- 대응
- 위탁업체가 서비스를 중단하고 경로를 차단했으며 부정하게 취득된 관리자 권한을 무효화함(NTT Data). Sony Bank는 디지털 증권 거래를 중단함
- 2차 피해
- Marui Group, Sony Bank, Rakuten Securities, NTT Data는 현재까지 악용이나 부정 거래는 확인되지 않았다고 밝힘
확인된 내용과 확인되지 않은 내용
이 사이트가 공식 안내를 읽은 10개 회사의 2026년 11월 14일 기준 상태입니다. 회사마다 집계 방식이 다르고 같은 구매자가 발행사와 판매사 양쪽에 나타날 수 있어 건수는 합산할 수 없습니다.
| 회사(역할) | 발표 | 대상 | 유출됐을 수 있는 정보 | 상태 |
|---|---|---|---|---|
| Marui Group(발행사) | 11월 2일 | 최대 9,086명(유출 확인), 54명은 계좌번호 포함 가능 | 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별, 은행 계좌번호, 투자 단위 | 유출 확인됨(최대 9,086명, 54명은 계좌번호 포함 가능)(회사) |
| Sony Bank(판매사) | 10월 30일(11월 2일, 4일 갱신) | 621명 | 4명: 이름, 주소, 생년월일, 계좌번호. 617명: 이름 | 확인됨(회사) |
| NTT Data(플랫폼 제공사) | 10월 31일(제1보), 11월 2일(제2보) | 채권 구매자(별개 그룹으로 111명과 2,678명), 시스템 이용자(인원 조사 중) | 발행사 2곳, 111명: 이름, 주소, 전화번호, 이메일 주소, 성별, 생년월일. 발행사 1곳, 2,678명: 가타카나 이름, 구매 채권 수량, 이메일 주소. 직원 이용자: 이름, 이메일 주소 | 확인됨(회사) |
| Rakuten Securities(판매사) | 10월 31일 | 합계 362건(Kagome, West Japan Railway, Kintetsu Group Holdings 3개 채권, 채권별 내역 없음) | 항목 조사 중. 로그인 ID와 비밀번호, 거래에 필요한 정보는 포함되지 않음 | 가능성 있음(회사) |
| Kagome(발행사) | 10월 31일 | 구매자 5,472명 중 109명 | 이름, 주소, 전화번호, 이메일 주소, 성별, 생년월일 | 가능성 있음(회사) |
| Kintetsu Group Holdings(발행사) | 10월 31일 | 제135회 무담보 채권을 100만 엔 이상 구매한 사람 중 2,678건 | 이름, 구매 금액. 증권 계좌번호와 비밀번호는 보유하지 않음 | 가능성 있음(회사) |
| West Japan Railway(발행사) | 10월 31일 | 2건 | 이름, 주소, 전화번호, 이메일 주소, 성별, 생년월일 | 가능성 있음(회사) |
| Starts Securities(판매사) | 10월 31일 | 건수 미제시 | 이름, 보유 내역. 주소, 전화번호, 이메일 등 연락처와 인증 정보에 대한 접근은 확인되지 않음 | 가능성 있음(회사) |
| Phillip Securities Japan(판매사) | 10월 31일, 11월 2일(후속) | 영화 디지털 증권 구매자 162명 | 이름, 거래 수량 | 확인됨(회사) |
| Pan Pacific International Holdings(발행사) | 11월 2일(제1보) | 조사 중 | 유출 여부, 대상자, 데이터 항목 모두 조사 중 | 명시되지 않음 |
원인에 관해: NTT Data는 위탁업체 SaaS의 인증 기능에 있는 약점이 악용되었다고 밝혔습니다(상태: 일부 확인됨, NTT Data 기준). 자세한 경로는 조사 중입니다. 2026년 11월 14일 위탁업체 공식 첫 페이지에서는 위탁업체 자체의 안내를 찾지 못했습니다(상태: 명시되지 않음).
연락처(각 안내에 기재된 대로)
| 회사 | 연락처 |
|---|---|
| Marui Group | 고객 상담 전화 0120-659-757(일본 시간 10:00–18:00, 수요일과 일요일 휴무), 이메일 maruigroup-socialbond@0101.co.jp |
| Sony Bank | 부정 이용 긴급 연락 전화 0120-365-738(9:00–17:00, 주말과 공휴일 포함). |
| Kagome | 재무·IR부 / 기업 커뮤니케이션부 03-5623-8503(평일 9:00–17:00) |
| Kintetsu Group Holdings | 총무정책부 06-6775-3472(평일 10:00–17:00) |
| West Japan Railway | 경영전략부 06-6375-8939(평일 9:30–17:00) |
| Starts Securities | 증권사업부 03-3686-2511 |
| Phillip Securities Japan | 0120-883-301(평일 9:00–17:00) |
| Pan Pacific International Holdings | 이메일 info-securitytoken@ppih-group.com |
| Rakuten Securities | 안내에 전용 연락처 없음. 사이트의 문의 페이지 이용 |
| NTT Data | 홍보부(언론용) 이메일 nttdata-pr-inquiries@am.nttdata.co.jp |
위탁업체에서 유출될 때 달라지는 점
이번에 접근을 받은 시스템은 고객이 거래한 회사(발행사나 판매사)의 것이 아니라 그 뒤의 위탁업체였습니다. Marui Group은 자사 시스템에서의 유출은 현재까지 확인되지 않았다고 밝혔고, Phillip Securities Japan은 자사 시스템에 대한 무단 접근이나 자사가 관리하는 정보의 유출이 아니라고 밝혔습니다. 다음 표는 이런 항목 조합이 일반적으로 이어질 수 있는 일입니다. 이번 사고에서 이런 일이 일어났다는 뜻은 아닙니다.
| 유출됐을 수 있는 항목 | 일반적으로 일어날 수 있는 일 | 할 일 |
|---|---|---|
| 이름 + 이메일 주소 + 전화번호 | 발행사나 판매사를 사칭한 현실적인 이메일, 문자, 전화 | 링크를 열지 말고 공식 사이트나 앱에서 확인 |
| 이름 + 생년월일 + 주소 | 나머지 정보를 알아내려는 「본인 확인」 | 상대가 생년월일을 말해도 응답하지 않기 |
| 은행 계좌번호 + 이름 | 송금처럼 보이는 연락, 「착오 송금했으니 돌려달라」는 요구 | 직접 송금하지 말고 은행과 상의 |
| 이름 + 투자 단위 / 구매 금액 | 자산가를 노린 권유, 상환이나 혜택을 사칭한 연락 | 발행사 공식 사이트에서 상환과 혜택 안내 확인 |
유출됐을 수 있는 정보
- 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별(회사마다 다름)
- 투자 단위, 구매 수량, 구매 금액(회사마다 다름)
- 은행 계좌번호(Marui Group 54명, Sony Bank 4명)
안내 범위에서 포함되지 않았다고 한 것
- 신용카드 정보(Marui Group, 위탁업체에 맡기지 않음)
- 로그인 ID와 비밀번호, 거래에 필요한 정보(Rakuten Securities)
- 증권 계좌번호, 비밀번호 등 금융 거래 정보(Kintetsu Group Holdings, 보유하지 않음)
발행사와 판매사가 점검할 것: 위탁업체의 관리자 권한
원인은 아직 조사 중이므로 공개된 사실이 뒷받침하는 내용만 적습니다.
- 위탁업체의 관리자 권한을 확인하세요. NTT Data는 위탁업체 SaaS의 관리자 권한이 무단으로 취득되었다고 밝혔습니다. 일반적으로 위탁업체가 관리자 권한으로 볼 수 있는 고객 데이터와 그 권한의 인증 강도는 위탁하는 쪽이 물어볼 수 있는 사항입니다.
- 맡기는 항목을 줄이세요. Kintetsu Group Holdings는 증권 계좌번호와 비밀번호를 보유하지 않으며, Marui Group은 신용카드 정보를 위탁업체에 맡기지 않았다고 밝혔습니다. 넘기지 않은 데이터는 그곳에서 유출될 수 없습니다.
- 누가 무엇을 언제 알릴지 합의하세요. 이번에 안내는 10월 30일부터 11월 4일까지 흩어져 나왔고 위탁업체 자체의 안내는 찾지 못했습니다. 위탁업체가 서비스를 멈췄을 때 누가 이용자에게 무엇을 언제 알릴지 계약 전에 정해 두면 이용자 연락이 빨라집니다.
출처(공개 자료)
이 글의 사실은 아래 공식 안내(모두 일본어)를 바탕으로 합니다. 공개되지 않은 원인의 세부 사항은 추측하지 않았습니다.
- Marui Group, 「디지털 채권을 관리하는 외부 위탁업체에 대한 무단 접근에 따른 고객 정보 유출」(2026년 11월 2일) — 0101maruigroup.co.jp
- Sony Bank, 「디지털 증권 외부 위탁업체에 대한 무단 접근에 따른 정보 유출」(2026년 10월 30일, 11월 2일과 4일 갱신) — sonybank.jp
- NTT Data, 「STdirectServices 중단(제2보)」(2026년 11월 2일) — nttdata.com
- Rakuten Securities, 「외부 서비스 제공업체에 대한 무단 접근에 따른 고객 정보 유출 가능성」(2026년 10월 31일) — rakuten-sec.co.jp
- Starts Securities, 「무단 접근에 따른 개인정보 유출 가능성」(2026년 10월 31일) — starts-sc.com
- Phillip Securities Japan, 「외부 위탁업체에 대한 무단 접근에 따른 고객 정보 유출(후속)」(2026년 11월 2일) — phillip.co.jp
- Kagome, 「당사 디지털 혜택 채권을 구매한 고객의 개인정보 유출 가능성과 당사의 대응」(2026년 10월 31일, PDF) — kagome.co.jp
- Kintetsu Group Holdings, 「외부 서비스에 대한 무단 접근에 따른 투자자 정보 유출 가능성」(2026년 10월 31일, PDF) — Kintetsu Group Holdings 안내(PDF)
- West Japan Railway, 「외부 서비스에 대한 무단 접근에 따른 투자자 정보 유출 가능성」(2026년 10월 31일, PDF) — westjr.co.jp
- Pan Pacific International Holdings, 「당사 디지털 채권 관리 시스템에 대한 무단 접근에 대한 사과와 안내(제1보)」(2026년 11월 2일, PDF) — ppih.co.jp
업데이트 기록
2026-11-14: 첫 버전. Marui Group(11월 2일), Sony Bank(10월 30일, 11월 2일과 4일 갱신), NTT Data(11월 2일), Rakuten Securities, Starts Securities, Kagome, Kintetsu Group Holdings, West Japan Railway(10월 31일), Phillip Securities Japan(11월 2일), Pan Pacific International Holdings(11월 2일)의 안내를 바탕으로 작성. 같은 날 안내를 확인했으며 11월 4일보다 새로운 것은 없었습니다. 다른 회사도 발표한 것으로 보도되었지만 확인할 수 있었던 안내만 표에 넣었습니다.
다음으로 읽기
- 가짜 연락 구별법: 피싱이란? / 패스키란?
- 로그인 보호: 2단계 인증 시작하기
- 계정의 수상한 활동: 무단 접근 여부 확인 방법
- 증권사의 비슷한 위탁처 경유 사고: Daiwa Securities 위탁처 침해(약 11만 명)
- 2026년 기타 사고: 데이터 유출 및 사이버 공격(일본 및 해외)