대상: 에디온 온라인 스토어를 이용한 사람, 특히 11월 4일 19시 이후 PC에서 카드 정보를 입력한 사람, 에디온 기프트 카드를 가진 사람, 로그인 ID와 비밀번호에 관한 이메일을 받은 사람. 이 글은 **에디온의 공식 공지(제1보와 제2보)**를 바탕으로 한 해설이며 공격 방법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
에디온 온라인 스토어를 이용한 사람, 특히 11월 4일 19시 이후 PC에서 카드 정보를 입력한 사람, 에디온 기프트 카드를 가진 사람, 로그인 ID와 비밀번호에 관한 이메일을 받은 사람.
- 확인된 영향 범위표 보기 ↓
- 무단 접근
- 결제 관련 처리의 악성 프로그램
- 온라인 스토어 상태
가능성이 있다고 한 항목
- 이름, 이메일 주소, 전화번호, 생년월일, 성별, 주소, 고객 번호
- 주문 번호, 주문 금액, 우편번호, 주소 코드
- 신용카드 유효기간
5개 더 보기
- 카드 번호, 카드 명의, 보안 코드 (주문 시 오류 로그)
- 카드 번호, 유효기간, 카드 명의, 보안 코드 (PC에서의 신규 입력)
- 에디온 기프트 카드 번호
- 에디온 기프트 카드 번호, PIN, 이용 이력
- 로그인 ID와 비밀번호
- 아직 확인되지 않은 사항
- 침입 경로와 방법
- 영향 범위(최종 건수와 항목)
- 이름과 연결되지 않은 로그 정보의 건수
3개 더 보기
- 에디온 기프트 카드의 처리 방법
- 온라인 스토어 재개 시기
- 데이터가 악용됐는지
- 지금 할 일절차 보기 ↓
- 11월 4일 19시 이후 PC에서 카드 정보를 입력했다면 명세서를 확인하고 카드사에 연락하세요
- 에디온 기프트 카드의 번호와 PIN을 요청받아도 알려 주지 마세요
- 비밀번호 변경 이메일을 받았다면 공식 사이트에서 바꾸고, 같은 비밀번호를 쓴 곳도 고치세요
2개 더 보기
- 에디온을 사칭한 수상한 연락에는 응답하지 마세요
- 걱정되면 공식 창구에 문의하세요
- 마지막 확인
- 2026년 11월 12일 기준
후속 발표 예정과 확인 기록
회사는 제2보에서 개인정보보호위원회와 관할 경찰에 추가 보고를 준비 중이며, 영향 범위 등 새로 확인된 사실은 보고하겠다고 밝혔습니다. 2026년 11월 12일 회사의 뉴스 릴리스 목록을 확인했을 때 11월 9일 제2보(서비스 중단 시각은 11월 10일 정정) 이후의 후속 공지는 없었습니다.
이용자가 오늘 해야 할 일
11월 4일 19시 이후 PC에서 카드 정보를 입력했다면 명세서를 확인하고 카드사에 연락하세요
제2보에 따르면 악성 프로그램은 11월 4일 19시 직후부터 작동하고 있었습니다. 결제 입력 화면에서 PC로 카드 정보를 새로 입력했다면(최대 556건), 카드 번호, 유효기간, 카드 명의, 보안 코드가 제3자에게 직접 유출됐을 가능성을 회사가 부정하지 못합니다. 주문 시 오류 로그에 기록된 카드 정보(최대 5건)도 같은 항목입니다. 회사는 스마트폰에서의 조작과 입력은 이 프로그램의 영향을 받지 않았음을 확인했다고 합니다.
회사는 영향을 받았을 수 있는 사람에게 카드 명세서에서 기억에 없는 청구를 확인하고, 있으면 카드 뒷면에 적힌 창구로 연락해 달라고 요청합니다. 보안 코드가 포함됐을 수 있으므로 이 사이트는 아직 부정 청구가 없더라도 카드사에 번호 변경(재발급)을 문의할 것을 권합니다. 번호가 바뀔 때까지 이 조합은 계속 쓸 수 있는 상태로 남습니다(근거는 APORITO 온라인 스토어 카드 정보 유출 가능성, 비슷한 사건은 PhotoGoods 기사 참고).
번호가 바뀌면 공과금이나 정기 결제처럼 옛 번호로 자동 청구되던 서비스를 갱신하세요. 회사는 신용카드사에 부정 이용 감시 강화를 요청했다고 밝혔습니다.
에디온 기프트 카드의 번호와 PIN을 요청받아도 알려 주지 마세요
제2보에 따르면 에디온 기프트 카드 5,360장의 번호, PIN, 이용 이력이 유출됐을 수 있습니다. 번호와 PIN 입력만으로 쓸 수 있는 곳은 회사의 온라인 스토어뿐이고, 실제 매장에서는 실물 카드를 제시해야 합니다. 온라인 스토어가 중단돼 있는 동안에는 유출된 정보만으로 제3자가 사용할 수 없다고 회사는 밝혔습니다.
온라인 스토어 재개 후 카드를 어떻게 처리할지는 검토 중이며, 정해지면 해당 고객에게 안내하겠다고 합니다. 그때까지 잔액 확인이나 카드 교환 등을 이유로 번호나 PIN을 묻는 이메일, 문자, 전화는 가짜로 여기세요. 실물 카드는 직접 보관하세요.
비밀번호 변경 이메일을 받았다면 공식 사이트에서 바꾸고, 같은 비밀번호를 쓴 곳도 고치세요
회사는 로그인 ID와 비밀번호가 포함된 최대 1,141명에게 비밀번호 변경을 요청하는 개별 이메일을 순차적으로 보낸다고 밝혔습니다. 온라인 스토어는 신규 로그인에 2단계 인증이 필요하므로 즉시 부정 이용이 일어나는 상황은 아니라고 합니다.
이 이메일을 흉내 낸 가짜 이메일이 돌 수도 있습니다(이 사이트의 견해). 비밀번호는 이메일의 링크가 아니라 북마크나 공식 앱으로 직접 연 화면에서 바꾸세요. 에디온과 같은 비밀번호를 다른 서비스에서 쓰고 있다면 그곳도 바꾸세요. 확인은 내 비밀번호가 유출되었는지 확인하는 방법, 재사용을 줄이려면 비밀번호 관리자와 다중 인증이 도움이 됩니다.
에디온을 사칭한 수상한 연락에는 응답하지 마세요
유출됐을 수 있는 정보에는 이름, 이메일 주소, 전화번호, 주소, 생년월일, 주문 번호, 주문 금액이 있습니다. 주문 내용을 아는 듯한 그럴듯한 연락을 만들 수 있으므로, 회사는 에디온을 사칭한 수상한 이메일, 문자, 전화에 주의해 달라고 요청합니다.
예를 들어 주문 취소, 환불, 카드 재등록을 이유로 카드 정보나 비밀번호를 입력하는 링크로 유도하는 연락은 가짜로 여기세요. 직접 연 공식 사이트나 앱에서 확인하세요. 가짜를 알아보는 방법은 피싱이란?을 참고하세요.
걱정되면 공식 창구에 문의하세요
공지에 안내된 연락처는 고객 상담 센터(전화 0120-77-0095, 일본 시간 9시부터 18시)입니다. 이메일이나 문자에 적힌 번호가 아니라 공식 공지의 연락처를 이용하세요. 기억에 없는 청구가 있으면 카드 뒷면의 창구, 경찰 상담 전화(#9110), 소비자 핫라인(188)에도 상담할 수 있습니다(모두 일본).
무슨 일이 있었나요 (에디온 공지 기준)
에디온은 2026년 11월 6일에 제1보, 11월 9일에 제2보를 웹사이트의 뉴스 릴리스로 게시했습니다. 11월 10일에는 제2보의 긴급 서비스 중단 일시를 정정했습니다(잘못: 11월 8일 일요일, 올바름: 11월 7일 토요일 22시). 아래 내용은 모두 회사 공지에 따른 것입니다.
11월 4일 19시 직후
나중에 발견된 악성 프로그램이 결제 관련 처리에서 작동하기 시작했습니다(제2보).11월 5일 18시 30분경
온라인 스토어를 운영하는 서버에 외부로부터의 무단 접근이 있었고 일부 개인정보가 유출됐을 수 있음을 회사가 확인했습니다(제1보).11월 6일
제1보 게시. 제1보 시점에 이미 개인정보보호위원회에 보고했습니다. 이 시점에는 온라인 스토어를 평소처럼 이용할 수 있다고 밝혔습니다.11월 7일 22시
온라인 스토어, 에디온 공식 앱, 에디온 스마트 앱을 긴급 중단했습니다(시각은 11월 10일 정정).11월 8일 21시 10분
공식 앱과 스마트 앱을 디지털 회원증, 쿠폰 표시 등으로 기능을 제한해 재개했습니다.11월 9일
제2보 게시. 제1보를 정정하고 새로 확인한 사실을 보고했습니다. 온라인 스토어는 중단 중이며 재개일은 정해지지 않았습니다.
- 원인
- 제1보: 시스템의 취약점을 노린 외부로부터의 무단 접근이 로그 파일을 보관하는 서버 영역 일부에 있었음. 제2보: 외부 제3자가 결제 관련 처리에 악성 프로그램을 심음(경로와 방법은 비공개)
- 로그 정보 (제1보)
- 이름(한자와 가나), 이메일 주소, 전화번호, 생년월일, 성별, 주소, 고객 번호(최대 4,131명). 기록된 항목은 고객마다 다소 다름
- 주문 정보 (제1보)
- 기록: 이름, 고객 번호, 주문 번호, 주문 금액. 여러 로그를 대조했을 때의 최대치에는 이메일 주소, 전화번호, 우편번호, 주소 코드(도도부현과 시구정촌까지), 신용카드 유효기간, 에디온 기프트 카드 번호도 추가됨(최대 9,554명)
- 제2보에서 추가된 내용
- 주문 시 오류 로그의 카드 정보(번호, 유효기간, 카드 명의, 보안 코드. 최대 5건) / 에디온 기프트 카드 5,360장(번호, PIN, 이용 이력) / 로그인 ID와 비밀번호(최대 1,141명) / PC에서 새로 입력된 카드 정보(같은 네 항목. 최대 556건)
- 포함되지 않음
- 제1보: 고객 데이터베이스 자체에 대한 무단 접근과 유출은 확인되지 않음. 제2보: 스마트폰에서의 조작과 결제 입력은 악성 프로그램의 영향을 받지 않음
- 발표 주체와 연락처
- Edion Corporation / 고객 상담 센터 0120-77-0095(일본 시간 9시부터 18시)
확인된 것과 확인되지 않은 것
이 표는 2026년 11월 12일 기준 회사의 제1보와 제2보를 바탕으로 합니다. 회사는 건수의 상당수를 최대치로 밝혔습니다(에디온 기프트 카드는 5,360장). 후속 공지가 나오면 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 무단 접근 | 온라인 스토어를 운영하는 서버에 외부로부터의 무단 접근. 11월 5일 18시 30분경 확인 | 확인됨(회사) |
| 결제 관련 처리의 악성 프로그램 | 제3자가 심음(변조). 11월 4일 19시 직후부터 작동 | 확인됨(회사) |
| 이름, 이메일 주소, 전화번호, 생년월일, 성별, 주소, 고객 번호 | 로그 파일에 기록된 정보. 최대 4,131명(기록 항목은 고객마다 다름) | 가능성 있음(회사) |
| 주문 번호, 주문 금액, 우편번호, 주소 코드 | 여러 로그를 대조했을 때의 최대치. 최대 9,554명. 모든 고객에게서 조합되는 것은 아님 | 가능성 있음(회사) |
| 신용카드 유효기간 | 주문 정보와 대조했을 때의 항목. 이름과 연결되지 않은 형태로도 기록됨 | 가능성 있음(회사) |
| 카드 번호, 카드 명의, 보안 코드 (주문 시 오류 로그) | 주문 화면에서 오류가 났을 때 입력 내용이 예외적으로 시스템 로그에 임시 기록된 최대 5건. 카드 번호가 포함되지 않았다는 제1보를 정정 | 가능성 있음(회사) |
| 카드 번호, 유효기간, 카드 명의, 보안 코드 (PC에서의 신규 입력) | 11월 4일 19시부터. 제3자에게 직접 유출됐을 가능성을 회사가 부정하지 못함. 최대 556건 | 가능성 있음(회사) |
| 스마트폰에서의 조작과 입력 | 악성 프로그램의 영향을 받지 않았음을 확인 | 포함되지 않음(회사) |
| 에디온 기프트 카드 번호 | 주문 정보와 대조했을 때의 항목 | 가능성 있음(회사) |
| 에디온 기프트 카드 번호, PIN, 이용 이력 | 5,360장. 제2보에서 추가. 온라인 스토어 중단 중에는 유출된 정보만으로 사용할 수 없음 | 가능성 있음(회사) |
| 로그인 ID와 비밀번호 | 최대 1,141명. 로그인 비밀번호는 포함되지 않았다는 제1보를 정정. 신규 로그인에 2단계 인증 필요 | 가능성 있음(회사) |
| 이름과 연결되지 않은 이메일, 전화번호 등의 건수 | 제1보: 「현재 확인 중」. 제2보에는 언급 없음 | 조사 중 |
| 고객 데이터베이스 자체에 대한 무단 접근 | 제1보: 확인되지 않음. 제2보에는 언급 없음 | 확인되지 않음(회사, 제1보) |
| 침입 경로와 방법 | 제1보는 「시스템의 취약점」이 악용됐다고만 하며 자세한 내용은 없음 | 밝히지 않음 |
| 악용 | 공지에서 확인된 악용은 찾지 못함. 회사는 수상한 연락에 주의하라고 경고 | 밝히지 않음 |
| 개별 통지 | 비밀번호 대상 1,141명에게는 이메일로 안내. 다른 항목은 밝히지 않음 | 일부 공개(회사) |
| 온라인 스토어 상태 | 11월 7일 22시부터 중단. 재개일 미정 | 확인됨(회사) |
제1보와 제2보 사이에 달라진 점
회사의 설명은 제1보(11월 6일)와 제2보(11월 9일) 사이에 다음과 같이 바뀌었습니다.
제1보 (11월 6일)
- 유출됐을 수 있는 정보는 로그 파일에 있던 데이터의 일부
- 신용카드 번호와 로그인 비밀번호는 포함되지 않음
- 온라인 스토어는 평소처럼 이용 가능(외부 보안 전문가가 운영을 계속해도 안전하다고 판단했다고 회사는 밝힘)
제2보 (11월 9일)
- 새로운 무단 접근 흔적이 발견됐고, 결제 관련 처리에 악성 프로그램이 심어진 것이 확인됨
- 정정: 일부 카드 정보, 기프트 카드 PIN, 로그인 비밀번호가 포함돼 있었음
- 11월 7일 22시에 온라인 스토어 등을 긴급 중단. 온라인 스토어 재개일은 미정
항목과 건수는 후속 공지에서 다시 바뀔 수 있습니다. 회사는 범위를 아직 조사 중이라고 설명하므로, 이 글의 수치는 최신 공지에서 확인하세요.
카드, 기프트 카드, 로그인 정보로 할 수 있는 일
아래 표는 이런 조합으로 일반적으로 일어날 수 있는 일을 설명합니다. 이번 사건에서 이런 일이 일어났다는 뜻은 아닙니다.
| 유출됐을 수 있는 정보 | 일반적으로 일어날 수 있는 일 | 이용자가 할 일 |
|---|---|---|
| 카드 번호 + 유효기간 + 카드 명의 + 보안 코드 | 번호가 바뀔 때까지 온라인 쇼핑몰에서의 부정 이용 | 명세서를 확인하고 번호 변경을 문의 |
| 기프트 카드 번호 + PIN | 번호와 PIN만으로 충분한 곳에서의 악용. 잔액 확인을 가장한 가짜 연락 | 번호와 PIN을 알려 주지 않기. 회사의 공지를 기다리기 |
| 로그인 ID + 비밀번호 | 같은 조합으로 다른 사이트에 로그인 시도 | 재사용을 고치고 2단계 인증 사용 |
| 이름 + 전화번호 + 이메일 + 주소 코드 + 주문 번호와 금액 | 주문 내용을 아는 듯한 그럴듯한 가짜 연락 | 링크를 열지 말고 공식 사이트나 앱에서 확인 |
운영자가 점검할 것: 카드 데이터를 보관하지 않아도 입력 화면이 변조되면 소용없다
원인이 자세히 공개되지 않았으므로, 여기서는 공개된 사실에서 따라 나오는 내용만 다룹니다.
- 「서버에 카드 데이터가 없다」와 「입력 화면이 안전하다」는 별개입니다. 회사는 카드 결제가 토큰화에 대응해 서버에 정보를 남기지 않는다고 적었지만, 이번에는 PC용 결제 정보 입력 처리에 악성 프로그램이 심어졌습니다. 일반적으로는 결제 페이지에서 실행되는 스크립트를 목록으로 관리하고 승인된 것만 허용하며 변조를 감지하는 통제가 필요합니다(PCI DSS 4.0의 요구 사항 6.4.3과 11.6.1이 여기에 해당합니다).
- 입력 내용을 오류 로그에 남기지 마세요. 회사는 주문 화면에서 오류가 났을 때 입력 내용이 시스템 로그에 예외적으로 임시 기록됐다고 적었습니다(카드 번호와 보안 코드를 포함해 최대 5건). 일반적으로는 카드 번호와 보안 코드가 로그에 아예 기록되지 않도록 설계하고, 로그를 정기적으로 검색해 남아 있지 않은지 확인하세요.
- 조사 중의 중간 공지에서는 확인된 것과 아직 조사하지 않은 것을 구분하세요. 이번에는 제1보에서 포함되지 않았다고 한 항목이 상세 분석 후 정정됐습니다. 일반적으로 조사 중에는 범위 추정이 바뀔 수 있으며, 둘을 구분해 두면 정정의 충격이 줄어듭니다.
출처 (공개 기록)
이 글의 사실은 아래 공식 공지를 바탕으로 합니다. 공개되지 않은 원인의 세부 사항은 추측하지 않습니다.
- Edion, 「당사 온라인 스토어에 대한 무단 접근에 따른 개인정보 유출 가능성에 관한 사과와 안내」(2026년 11월 6일, 일본어) — edion.co.jp (PDF)
- Edion, 「당사 온라인 스토어의 새로 발견된 사안, 개인정보 유출 가능성, 서비스 중단에 관한 사과와 안내(제2보)」(2026년 11월 9일, 11월 10일 정정, 일본어) — edion.co.jp (PDF)
- Edion 뉴스 릴리스 목록 — edion.co.jp
업데이트 기록
2026-11-12: 첫 버전. 에디온의 제1보(11월 6일)와 제2보(11월 9일, 중단 시각은 11월 10일 정정)를 바탕으로 합니다. 같은 날 회사의 뉴스 릴리스 목록을 확인했으며 제2보 이후의 후속 공지는 없었습니다.
다음으로 읽을 글
- 다른 가전 소매업체 사고: Yamada Denki 리폼 관리 시스템 무단 접근
- 결제 화면에서 카드 정보를 도난당했을 때: PhotoGoods 카드 정보 도난 / APORITO 온라인 스토어 카드 정보 유출 가능성
- 비밀번호가 유출됐을 때: 내 비밀번호가 유출되었는지 확인하는 방법 / 비밀번호 관리자 고르기
- 가짜 연락을 알아보는 방법: 피싱이란?
- 2026년의 다른 사건: 데이터 유출 및 사이버 공격 목록(일본과 해외)