대상: FANCL 및 Attenir 온라인 스토어(일본의 화장품·건강식품 브랜드) 회원, 그리고 회원제 온라인 스토어를 운영하는 모든 분. 이 기사는 두 회사의 공식 발표를 바탕으로 작성했으며, 공격 또는 사기 기법은 다루지 않습니다.
진행 중: 회사가 추가 내용을 발표하는 대로 이 기사를 업데이트합니다
2026년 10월 25일 기준아직 알려지지 않음
- 원인(회사는 공격 세부 내용을 공개하지 않겠다고 밝힘)
- 중단된 기능
- 두 회사 간 중복을 제거한 실제 인원 수
- Attenir 회원에 대한 개별 안내가 완료되었는지 여부
10월 16일 발표문에서 두 회사는 공개가 필요한 새로운 사실이 확인되면 신속히 알리겠다고 밝혔습니다. 이 사이트가 10월 25일 두 회사의 뉴스 페이지를 확인했을 때는 후속 발표가 없었습니다.
FANCL과 Attenir 회원이 오늘 해야 할 일
피해 여부 확인: 등록된 이메일에서 안내문을 찾아보세요
피해 데이터는 각 회사 회원 데이터의 일부입니다. FANCL의 FAQ에 따르면 토요일인 10월 17일에 피해 가능성이 있는 고객에게 등록된 이메일 주소로 연락했습니다(10월 25일 확인).
안내를 받았는지, 또는 이메일이 진짜인지 확신이 없다면 공용 FANCL/Attenir 상담 전화 0120-333-600(주말·공휴일 포함 9:00–17:00)으로 문의하세요. 이메일에 적힌 번호가 아니라 공식 안내문의 번호를 사용하세요.
두 회사를 사칭하는 이메일이나 문자의 링크를 열지 마세요
회사는 유출된 데이터가 위조 이메일, 피싱 사기 및 유사한 사기에 악용될 수 있다고 경고합니다. 포인트 소멸, 회원 등급 변경, 사과나 보상에 관한 메시지는 회원에게 낯설지 않아 가짜를 알아차리기 어렵습니다.
확인이 필요하면 직접 여는 공식 사이트나 앱을 이용하세요(피싱이란? 참고).
전화나 우편으로도 비밀번호나 카드 번호를 주지 마세요
주소와 전화번호도 유출됐기 때문에, 가짜 연락은 이메일로만 오지 않을 수 있습니다. 회사는 비밀번호나 신용카드 정보를 요청하지 않는다고 밝혔습니다.
전화로 요청이 오면 전화를 끊고, 공식 안내문에 적힌 번호로 다시 거세요. 받은 우편물에 인쇄된 전화번호나 QR 코드는 사용하지 마세요.
보조 비밀번호를 다른 곳에서도 썼다면 그곳에서 변경하세요
유출 항목에는 보조 이메일 주소와 그 비밀번호가 포함됩니다. 회사에 따르면 이는 일부 회원이 설정한 해시 처리된 보조 비밀번호로, 그대로 읽을 수 없습니다. 주 비밀번호는 포함되지 않았습니다.
해시 처리되어 있어도 짧거나 흔한 비밀번호는 충분한 시간이 주어지면 알아낼 수 있는 경우가 있습니다(비밀번호 해싱이란? 참고). 보조 비밀번호를 설정한 기억이 있고 같은 문자열을 다른 서비스에서도 쓴다면 그곳에서 변경하세요. 회사는 또한 고객이 비밀번호를 정기적으로 변경하도록 권장하고 있습니다.
보안 질문의 답변은 누구에게도 알려주지 마세요
보안 질문은 질문 항목만 유출됐고, 답변은 포함되지 않았습니다. 일반적으로 어떤 질문을 선택했는지 아는 사람은 전화나 이메일로 답변을 캐내려 할 수 있습니다. 이런 요청에는 응하지 말고, 같은 질문과 답변을 다른 서비스에서도 사용했다면 점검하세요.
생년월일과 성별이 유출된 것이 중요한 이유
이름, 주소, 전화번호에 더해 생년월일, 성별, 고객번호, 회원 등급도 유출 데이터에 포함됩니다. 이는 전화로 신원을 확인할 때 보통 쓰이는 정보의 상당 부분에 해당합니다. 고객번호와 생년월일을 알고 있는 발신자가 반드시 진짜인 것은 아닙니다. 의심스러우면 공식 채널로 직접 문의하세요.
무슨 일이 있었나 (FANCL과 Attenir 발표 내용)
2026년 10월 16일, FANCL Corporation과 Attenir Corporation은 두 회사 사이트에 "제3자의 권한 없는 접근으로 인한 개인정보 유출에 대한 사과 및 안내"라는 제목의 공동 안내문을 게시했습니다. 아래 내용은 모두 두 회사의 발표에 따른 것입니다.
2026년 10월 3일(토) – 10월 10일(토)
FANCL과 Attenir의 온라인 스토어가 권한 없이 접근당했습니다(10월 15일 내부 조사에서 발견).10월 15일(목)
내부 조사에서 발견됨. 같은 날 긴급대응본부가 설치되었습니다.이후
조사 결과 회원 데이터의 일부가 유출된 것이 확인되었고, 회사는 원인이 된 기능을 확인해 중단했습니다(날짜는 공개되지 않음).10월 16일(금)
일본 개인정보보호위원회 및 경찰에 보고하고 협의했습니다. 두 회사 사이트에 발표했습니다.10월 17일(토)
공용 상담 전화가 9:00에 개설되었습니다. FANCL의 FAQ에 따르면 같은 날 피해 가능성이 있는 고객에게 등록된 이메일 주소로 연락했습니다.
- 범위
- FANCL과 Attenir 온라인 스토어. 두 회사가 보유한 회원 데이터의 일부
- FANCL 회원
- 393,785건, 368,184명
- Attenir 회원
- 441,162건, 417,312명(FANCL과 동일한 항목)
- 항목
- 이메일 주소, 이름, 주소, 전화번호, 생년월일, 성별, 고객번호
- 비밀번호
- 보조 이메일 주소와 그 비밀번호(일부 회원이 설정한 해시 처리된 보조 비밀번호). 주 비밀번호는 포함되지 않음
- 본인 확인 정보
- 보안 질문 항목. 답변은 포함되지 않음
- 기타 등록 정보
- 포인트, 회원 등급, 뉴스레터 수신 설정, 매장 구매 여부
- 미포함
- 신용카드 등 결제 정보
- 피해
- (10월 16일 기준) 데이터의 공개 게시, 악용 및 고객 신고는 확인되지 않음
- 원인
- 공개되지 않음. 회사는 공격 세부 내용을 공개하지 않겠다고 밝힘
- 문의
- 공용 FANCL/Attenir 상담 전화 0120-333-600(주말·공휴일 포함 9:00–17:00), 이메일 center@fancl.co.jp
연락처 정보
이메일 주소, 우편 주소, 전화번호
개인 속성
이름, 생년월일, 성별, 고객번호
회원 데이터
포인트, 회원 등급, 보안 질문 항목
↓ 일반적으로 발생할 수 있는 일
내 정보를 알고 있는 가짜 이메일, 문자, 전화 또는 우편
포인트 소멸, 등급 변경, 사과나 보상을 가장
↓ 지시를 따르지 마세요
공식 사이트나 앱에서 확인하거나 공용 상담 전화로 문의
확인된 사실과 확인되지 않은 사실
2026년 10월 16일 두 회사의 발표와 FANCL의 FAQ를 기준으로 하며, 기준일은 2026년 10월 25일입니다. 후속 발표가 나오면 상태 항목을 업데이트합니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 이메일 주소, 이름, 주소, 전화번호, 생년월일, 성별, 고객번호 | 각 회사 회원 데이터의 일부에서 유출 | 유출 확인(회사) |
| 보조 이메일 주소와 보조 비밀번호 | 일부 회원이 설정. 비밀번호는 해시 처리됨 | 유출 확인(회사) |
| 보안 질문 | 질문 항목만 해당. 답변은 미포함 | 유출 확인(회사) |
| 포인트, 회원 등급 및 기타 등록 정보 | 뉴스레터 수신 설정 및 매장 구매 여부 표시 포함 | 유출 확인(회사) |
| 주 비밀번호 | 미포함 | 미포함(회사) |
| 신용카드 등 결제 정보 | 피해 데이터에 해당하지 않음 | 미포함(회사) |
| 건수 및 인원 | FANCL 393,785건/368,184명, Attenir 441,162건/417,312명 | 확인(회사) |
| 두 회사 간 중복 | 합산 인원은 제시되지 않음 | 명시되지 않음 |
| 무단 접근 기간 | 10월 3일–10일 | 확인(회사) |
| 원인 | 원인이 된 기능은 중단됨. 어떤 기능인지와 공격 세부 내용은 공개되지 않음 | 명시되지 않음 |
| 기타 무단 접근 또는 악성코드 | 이번 사고 외 다른 사례는 발견되지 않음 | 미확인(회사) |
| 악용 또는 2차 피해 | 확인되지 않음(10월 16일 기준) | 미확인(회사) |
| 개별 안내 | 등록된 이메일 주소로 발송. FANCL의 FAQ에 따르면 10월 17일 발송 | 확인(FANCL) |
이 기사가 두 수치를 합산하지 않는 이유
회사는 FANCL 회원과 Attenir 회원의 건수와 인원을 각각 발표했습니다. 두 회사의 회원이 겹치는지, 전체 피해 인원이 몇 명인지는 밝히지 않았습니다. 이 기사는 두 수치를 따로 보여주며 합산하지 않습니다.
이름, 주소, 전화번호, 생년월일이 함께 유출되면 생길 수 있는 일
일반적으로 연락처와 개인 속성이 함께 유출되면, 수신자가 쉽게 진짜라고 믿을 수 있는 메시지를 만들 수 있게 됩니다(회사는 이번 사고에서 이런 일이 있었다고 발표하지 않았습니다).
일반적으로 일어날 수 있는 일
- 이름, 고객번호, 등급을 언급하는 가짜 포인트 소멸 또는 회원 혜택 안내
- 사과나 보상을 가장해 카드 정보나 결제를 요구하는 메시지
- 생년월일을 언급해 신뢰를 얻은 뒤 비밀번호나 보안 답변을 요구하는 전화
당신이 할 수 있는 것
- 모든 안내는 공식 사이트나 앱에서 확인하기
- 전화를 끊고 공식 안내문의 번호로 다시 걸기
- 비밀번호, 카드 번호, 보안 답변은 누구에게도 주지 않기
이름, 주소, 전화번호가 유출된 뒤 가짜 전화와 우편에 대비하는 방법은 Murauchi.com 개인정보 유출 기사를 참고하세요. 재사용한 비밀번호가 유출됐는지 확인하려면 비밀번호 유출 여부 확인 방법을 참고하세요.
회원제 온라인 스토어를 운영하는 분들을 위해
원인이 공개되지 않았으므로, 이 섹션은 공개된 사실에서 말할 수 있는 내용만 다룹니다. 공격 유형을 추측하거나, 특정 조치가 이를 막을 수 있었다고 주장하지 않습니다.
개별 기능을 중단할 수 있도록 만드세요
회사는 유출을 일으킨 기능을 확인해 중단했고, 이번 사고가 사업 활동이나 서비스에 영향을 주지 않았다고 밝혔습니다. 전체 스토어를 중단하지 않고 문제가 된 기능만 차단할 수 있도록 사이트를 구성하면, 조사하는 동안 피해 확산을 제한할 수 있습니다. 자사 스토어라면 회원 데이터를 반환하는 기능마다 어떻게 중단할지, 누가 중단할지 미리 정하세요.
사용 빈도가 낮은 데이터는 유출 시 영향을 기준으로 점검하세요
유출 항목에는 일부 회원만 설정한 보조 이메일 주소와 보조 비밀번호, 보안 질문 항목이 포함되었습니다. 이용자가 적은 기능의 데이터도 회원 기록과 함께 저장되어 있으면 노출될 수 있습니다. 사용하지 않는 기능의 데이터를 삭제할 수 있는지, 주 회원 데이터와 함께 보관할 필요가 있는지 정기적으로 확인하세요.
유출되어도 읽을 수 없도록 비밀번호를 저장하세요
회사는 보조 비밀번호를 해시 처리해 저장했다고 밝혔습니다. 기본 원칙은 회원 비밀번호를 평문이나 복호화 가능한 형태로 저장하지 않고, bcrypt나 Argon2 같은 느리고 솔트(salt)를 사용하는 해시를 쓰는 것입니다. 해시와 솔트를 이용한 비밀번호 저장을 참고하세요.
발표 다음 날까지 안내문과 상담 창구를 준비하세요
두 회사는 발표 다음 날 공용 상담 전화를 열었고, FANCL의 FAQ에 따르면 같은 날 피해 가능성이 있는 고객에게 이메일을 보냈습니다. 가짜 안내가 퍼지기 전에 정식 안내가 도착하면 회원이 둘을 더 쉽게 구별할 수 있습니다. 링크를 통해 개인정보를 입력하라고 요구하는 안내는 피하고, 공식 사이트에서 확인하라고 안내해 가짜와의 차이를 분명히 하세요.
출처 (공개 자료)
이 기사의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 세부 내용과 원인은 추측하지 않았습니다.
- FANCL Corporation 및 Attenir Corporation, "제3자의 권한 없는 접근으로 인한 개인정보 유출에 대한 사과 및 안내"(2026년 10월 16일, 일본어) — fancl.jp (PDF) / attenir.co.jp (PDF, 동일 내용)
- FANCL FAQ, "FANCL의 권한 없는 접근 및 개인정보 유출에 대한 사과 및 안내에 관하여"(일본어, 10월 25일 확인) — faq.fancl.co.jp
업데이트 기록
2026-10-25: 2026년 10월 16일 FANCL 및 Attenir 발표와 FANCL의 FAQ를 바탕으로 한 첫 번째 버전입니다. 원인이나 범위에 대한 후속 발표가 나오면 업데이트합니다.
다음으로 읽을 글
- 유출된 주소와 전화번호: Murauchi.com 개인정보 유출
- 가짜 이메일 대비: 피싱이란?
- 비밀번호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 선택 가이드
- 같은 시기의 다른 일본 사례: Abahouse 개인정보 유출 / Treasure Factory 유출 사고
- 2026년 다른 사고: 개인정보 유출 및 사이버 공격 목록(일본 및 세계)