대상: e-Tax로 증여세를 신고한 사람, 증여를 한 사람, 해당 신고서를 처리한 세무사, e-Tax MyPage를 이용하는 모든 사람, 그리고 사용자가 로그인해 자신의 데이터를 보는 웹 서비스를 만드는 개발자. 이 글은 일본 국세청(NTA)의 발표를 전한 보도와 국세청 및 e-Tax의 공식 안내를 바탕으로 작성되었습니다. 결함을 재현하는 방법은 설명하지 않습니다.
나도 영향을 받았을까? 간단한 표
| 세부 내용(국세청 발표를 전한 보도 기준) | |
|---|---|
| 기능 | e-Tax MyPage의 "증여세 정보" |
| 다른 사용자가 신고서를 볼 수 있었던 시간 | 2026년 9월 24일 8시 30분부터 자정까지; 9월 25일 4시부터 15시 58분까지 |
| 보였던 신고서 | 신고자 79명의 증여세 신고서와 관련 서류 |
| 정보가 노출되었을 수 있는 사람 | 총 203명(신고자, 신고서에 기재된 증여자, 세무사) |
| 실제로 열람했을 수 있는 사용자 | 19명 |
| 봤을 수 있는 정보 | 이름, 주소, 생년월일, 전화번호, 증여 가액과 증여세액, 증여자의 이름과 생년월일, 세무사의 이름 등 |
| 영향을 받은 사람에 대한 연락 | 지방국과 세무서 직원이 한 명씩 개별적으로 연락해 설명하고 사과 |
| 원인 | 9월 24일 업데이트에서 발생한 결함(공격이 아님); 수정됨 |
영향을 받은 사람은 신고서가 보였던 79명의 신고자와, 그 신고서에 기재된 증여자 및 세무사입니다. 모든 e-Tax 사용자가 영향을 받은 것은 아닙니다.
확인한 보도에서는 보였던 정보에 마이넘버(일본의 개인번호)가 포함되었는지 밝히지 않았습니다. 이 글은 어느 쪽이라고도 단정하지 않습니다.
오늘 e-Tax 사용자가 해야 할 일
세무서를 사칭하는 전화가 오면 전화를 끊고 다시 거십시오
보도에 따르면 지방국과 세무서 직원이 영향을 받은 사람들에게 개별적으로 연락했습니다. 하지만 뉴스에 나온 사건은 사기꾼이 전화할 구실이 되기도 합니다.
국세청은 세무 공무원을 사칭하는 전화가 의심스러우면 그 자리에서 응답하지 말고, 부서명과 이름, 전화번호를 물은 뒤 전화를 끊고, 가까운 세무서의 총무 부서나 지방국세청의 납세자 지원 담당에게 연락하라고 안내합니다. 상대가 알려준 번호가 아니라 국세청 웹사이트의 세무서 안내에서 찾은 번호를 사용하십시오.
국세청을 사칭하는 문자나 이메일의 링크는 열지 마십시오
국세청은 URL이 포함된 문자를 보내지 않으며, 세금 납부를 요구하거나 재산 압류에 관한 문자, 이메일, LINE 메시지를 보내지 않는다고 밝히고 있습니다.
"세금 신고서가 열람된 데 대한 사과"를 전하거나 "개인 정보를 확인하라"고 요구하는 문자를 받았다면 링크를 열지 말고 삭제하십시오(판별 방법: 피싱이란?).
정상적인 e-Tax 이메일의 형태를 알아두십시오
국세청에 따르면 e-Tax는 정해진 형식의 이메일로만 메시지함에 통지가 도착했음을 알립니다. 첨부 파일은 없으며, 원칙적으로 URL도 포함되지 않습니다.
통지 내용은 즐겨찾기나 검색으로 직접 연 e-Tax에 로그인해 그곳의 메시지함에서 확인하십시오.
요청을 받고 ATM을 조작하거나 송금하거나 계좌 정보를 알려주지 마십시오
국세청은 환급을 받거나 세금을 내기 위해 ATM을 조작하라고 요구하지 않으며, 지정된 은행 계좌로 세금을 이체하라고 요구하지 않는다고 밝히고 있습니다.
"보상금이 있다" 또는 "환급 절차를 완료해야 한다"는 전화를 받아도 ATM으로 가거나 계좌번호나 비밀번호를 알려주지 마십시오.
사용자 A가 로그인해 MyPage에서 "내 증여세 정보"를 엽니다
↓
1. 인증: 이 사람은 누구인가?
로그인한 사용자 A → 통과
2. 권한 부여: 이 문서는 A의 것인가?
이 검사가 실패하면 다른 사람의 문서가 표시됨
↓
올바른 동작
A의 문서만 표시
실제로 일어난 일
다른 신고자의 신고서가 보임(79명의 신고자)
수정 방법: A로 로그인한 뒤 B의 문서를 요청하고 거부되는지 확인 — 변경할 때마다
무슨 일이 있었나(국세청 발표를 전한 보도 기준)
국세청은 2026년 10월 2일 이번 사건을 발표했습니다. 10월 6일 현재 국세청이나 e-Tax 웹사이트의 공지 목록에서 관련 안내를 찾지 못했습니다. 아래 경위는 발표를 전한 여러 뉴스 보도와 e-Tax의 공식 공지를 바탕으로 합니다.
2026년 5월 27일
e-Tax가 MyPage의 "증여세 정보" 기능을 확장한다고 발표(공식 공지).9월 24일(목)
업데이트로 MyPage의 증여세 정보에 수정 신고 및 결정 통지, 상속 시 정산과세 선택 현황, 종이로 제출한 신고서 기록이 추가됨. 같은 날 국세청은 국가 세무 시스템을 교체함.9월 24일 8시 30분부터 자정까지
보도에 따르면 다른 사용자가 신고서를 볼 수 있었음(첫 번째 기간).9월 25일 4시부터 15시 58분까지
같은 상태가 다시 발생함(두 번째 기간).10월 2일
국세청은 79명의 신고자 신고서를 다른 사용자가 볼 수 있었다고 발표하고, 결함이 수정되었다고 밝히며 사과함.
- 기능
- e-Tax MyPage의 "증여세 정보"
- 원인
- 이 기능을 확장한 9월 24일 시스템 업데이트에서 발생한 결함. 외부에서의 공격은 아님
- 봤을 수 있는 정보
- 신고자의 이름, 주소, 생년월일, 전화번호, 증여 가액과 증여세액, 증여자의 이름과 생년월일, 세무사의 이름 등(보도마다 항목이 조금씩 다름)
- 영향을 받은 사람에 대한 대응
- 지방국과 세무서 직원이 신고자, 증여자, 세무사에게 개별적으로 연락해 설명하고 사과
- 열람자에 대한 대응
- 19명 모두에게 정보를 비밀로 유지하고 삭제하도록 요청. 저장이나 2차 피해의 징후는 확인되지 않음
- 향후 계획
- 국세청은 재발 방지 대책을 철저히 시행하겠다고 밝힘
- KSK2와의 관계
- 닛케이 xTECH에 따르면 새 핵심 시스템(KSK2)과는 무관
배경: 국세청의 새 핵심 세무 시스템 KSK2
국세청은 2026년 9월 24일 국가 세무 시스템을 교체했다고 공식 밝히고 있습니다. 닛케이 xTECH에 따르면, 새 시스템(KSK2)의 문제로 국세청은 직원들에게 납세증명서를 작성할 때 구 시스템을 사용하고 내용을 확인한 뒤 발급하도록 지시했고, 이로 인해 발급이 지연되고 있습니다.
e-Tax는 인터넷뱅킹으로 증명서 수수료를 낼 수 없다는 문제 등에 대한 공지도 게시했으며, 이후 해결된 것으로 표시되었습니다. 국세청은 이번 증여세 신고서 사건이 KSK2와 무관하다고 말합니다.
개발자를 위한 교훈: "편의" 업데이트에도 권한 테스트를 실행하십시오
이번 사건은 외부에서의 침입이 아니었습니다. 정상적으로 로그인한 사용자의 화면에 다른 사용자의 데이터가 나타난 사례입니다. 보안 관점에서는 누가 어떤 데이터에 접근할 수 있는지를 정하는 규칙, 즉 접근 통제의 실패입니다.
관련성이 높은 유형으로 IDOR(안전하지 않은 직접 객체 참조)가 있습니다. 요청의 번호나 식별자만 바꿔도 다른 사람의 데이터에 접근할 수 있는 문제입니다. 사용자가 누구인지 확인하는 것(인증)과 그 데이터에 접근해도 되는지 확인하는 것(권한 부여)의 차이는 인증과 권한 부여에서 설명합니다.
2026년 3월 영국 Companies House WebFiling 결함도 같은 유형이었습니다. 시스템 업데이트로 생긴 결함 때문에 로그인한 사용자가 다른 회사의 비공개 정보를 볼 수 있었습니다. 이번 사건에서는 두 가지 점이 추가로 드러납니다.
이 사이트의 견해: 기능을 추가하는 업데이트에서 권한 검사가 빠지기 쉽습니다
이번 업데이트로 MyPage가 보여주는 정보의 종류가 늘어났습니다. 새로 가져오는 데이터마다 그 데이터가 로그인한 사람의 것인지 확인하는 검사가 따로 필요합니다. 페이지를 더 편리하게 만드는 업데이트는 보안 변경으로 다뤄지는 경우가 드물어서, 이 검사는 쉽게 빠집니다.
- 권한 테스트를 기능 테스트와 같은 테스트 모음에 넣고, 변경할 때마다 자동으로 실행하십시오. 테스트용 사용자 A와 B를 준비합니다. A로 로그인한 상태에서 B의 목록, 상세 정보, 다운로드와 업데이트로 추가된 모든 화면과 데이터 요청을 보내, 각각 거부되거나 A의 데이터만 반환되는지 확인합니다. 기능 테스트는 되어야 할 것이 되는지 확인하고, 이 테스트는 되어서는 안 될 것이 되지 않는지 확인합니다.
- "문서의 소유자"와 "누가 표시했는지"를 함께 기록하고, 불일치가 생기면 경고를 띄우십시오. 이번에 국세청은 보였던 신고서 수(신고자 79명)와 실제로 열람했을 수 있는 사람 수(19명)를 따로 발표했습니다. 일반적으로 이런 수치를 내려면 누가 누구의 문서를 표시했는지에 대한 기록이 필요합니다. 열람하는 사람과 소유자가 다를 때마다 경고가 울리도록 하면 배포 직후 문제를 빨리 잡는 데 도움이 될 수 있습니다. 세무사가 고객의 문서를 보는 것처럼 정당한 대리 관계는 미리 예외로 설정하십시오.
정부 기관에서 개인정보가 유출된 다른 사례와 시민이 할 수 있는 일은 2026년의 정부 기관 데이터 유출 네 건에서 다룹니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 2026년 10월 6일 현재 국세청이나 e-Tax 웹사이트에서 국세청의 발표문 자체를 찾지 못했으므로, 발표를 전한 뉴스 보도를 인용합니다. 결함의 세부 원리는 공개되지 않았으며, 이에 대해 추측하지 않습니다.
- 닛케이 xTECH, "국세청 e-Tax에서 79명의 신고서가 다른 사람에게 보였을 수 있음; KSK2와는 별개의 결함"(일본어, 2026년 10월 5일) — xtech.nikkei.com
- 닛케이, "증여세 신고서 79건이 표시되었을 수 있음; e-Tax 업데이트 결함"(일본어, 2026년 10월 2일) — nikkei.com
- TV 아사히(ANN), "e-Tax에서 다른 사람의 증여세 정보가 일시적으로 열람 가능"(일본어, 2026년 10월 2일) — news.yahoo.co.jp
- 세금의 길잡이(Zei no Shirube), "국세청, e-Tax MyPage에서 증여세 신고 정보가 타인에게 열람될 수 있었음을 공개"(일본어, 2026년 10월 2일) — shirube.zaikyo.or.jp
- e-Tax, MyPage의 확장된 "증여세 정보"에 대한 공지(일본어, 2026년 5월 27일, 9월 24일 갱신) — e-tax.nta.go.jp
- 국세청, "국가 세무 시스템 교체에 관하여"(일본어) — nta.go.jp
- e-Tax, "[해결됨] 인터넷뱅킹으로 증명서 수수료를 낼 수 없음"(일본어, 2026년 9월 29일, 10월 5일 갱신) — e-tax.nta.go.jp
- 국세청, "의심스러운 이메일과 전화에 주의"(일본어) — nta.go.jp
업데이트 기록
2026-10-06: 첫 번째 버전. 국세청의 10월 2일 발표를 전한 보도(닛케이 xTECH, 닛케이, TV 아사히, 세금의 길잡이)와 국세청 및 e-Tax의 공식 안내를 바탕으로 작성. 국세청이 발표문을 웹사이트에 게시하거나 보였던 항목을 공식적으로 밝히면 이 글을 갱신하겠습니다.
다음으로 읽을 글
- 가짜 메시지로부터 자신을 보호하기: 피싱이란?
- 같은 유형의 사건: Companies House WebFiling 결함(영국)
- 용어와 개념: IDOR란? / 인증과 권한 부여
- 정부 관련 사건: 2026년의 정부 기관 데이터 유출 네 건
- 2026년의 다른 사건: 2026년의 데이터 유출 및 사이버 공격(일본 및 전 세계)