대상: 후루사토 노제이(고향납세)를 위한 일본 사이트 후루사토 초이스의 회원으로 등록된 분과 회원제 사이트를 운영하는 분. 이 글은 트러스트뱅크(Trustbank, Inc.)의 공식 공지를 바탕으로 작성되었으며, 공격이나 사기 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 25일 기준아직 알려지지 않음
- 원인
- 건수에 해당하는 실제 인원수
- 서비스 재개 시점
- 기부 관련 절차(원스톱 특례, 세금 신고)에 영향이 있는지 여부
- 외부 전문가 조사 결과
회사는 10월 20일 공지에서 유출 항목과 건수, 재발 방지 조치 및 기타 조사 결과가 확인되는 대로 신속히 발표하겠다고 밝혔습니다. 10월 23일에는 2차 보고를 발표했습니다. 재개 날짜는 현재 정해지지 않았으며, 안전이 확인되면 발표될 예정입니다.
후루사토 초이스 회원이 오늘 해야 할 일
다른 서비스에서 재사용하는 비밀번호를 변경하십시오
유출 항목에는 해시 처리된 비밀번호가 포함되어 있습니다. 해싱은 비밀번호를 그대로 저장하지 않도록 변환하는 방식입니다. 다만 짧거나 추측하기 쉬운 비밀번호는 충분한 시간이 주어지면 일반적으로 복원될 수 있습니다(What is password hashing? 참고).
회사는 후루사토 초이스와 같은 이메일과 비밀번호 조합을 다른 서비스에서도 사용하는 경우 해당 서비스의 비밀번호를 변경하라고 요청합니다. 온라인 쇼핑, 포인트 적립 프로그램, 이메일처럼 금전이나 개인정보와 연결된 서비스부터 시작하고, 가능한 곳에서는 2단계 인증을 설정하십시오(Which 2FA method is safest? 참고).
후루사토 초이스나 지방자치단체를 사칭한 이메일이나 문자의 링크를 열지 마십시오
이름, 주소, 전화번호, 이메일 주소가 함께 노출되면 누군가 이름을 부르며 그럴듯한 가짜 메시지를 보낼 수 있습니다. 기부자는 답례품 배송이나 기부 관련 서류에 대한 안내에 익숙하기 때문에, 이런 주제의 가짜 메시지는 알아채기 더 어렵습니다.
회사는 자사 또는 관련 기관을 사칭하는 의심스러운 이메일, 문자 메시지, 전화, 우편에 주의하고, 처음 보는 URL이나 첨부 파일을 열지 말라고 요청합니다. 무언가를 확인하려면 직접 여는 공식 사이트나 해당 지방자치단체의 공식 페이지를 이용하십시오(What is phishing? 참고).
전화나 우편으로 개인정보, 카드 정보, 비밀번호를 제공하지 마십시오
회사는 의심스러운 웹사이트에 개인정보나 비밀번호를 입력하지 말라고 요청합니다. 공지 어디에도 이번 사고로 인해 카드 번호, 은행 정보, 비밀번호를 요구할 것이라는 내용은 없습니다.
사과, 환불, 답례품 재발송 등을 명목으로 이런 정보를 요구하는 전화나 우편이 온다면 응답하지 말고 전화를 끊은 뒤 공식 문의처를 통해 확인하십시오.
회사가 보낸 개별 이메일은 공식 공지와 비교해 확인하십시오
회사는 10월 21일부터 순차적으로 회원에게 개별 이메일을 보내 개인정보 유출 여부와 확인된 항목을 안내하고 있다고 밝혔습니다.
진짜 안내와 이를 흉내 낸 가짜 메시지가 동시에 도착할 수 있습니다. 이런 이메일을 받았다면 링크를 통해 로그인하거나 조치하지 말고, 트러스트뱅크 뉴스룸의 공지와 비교해 확인하십시오. 공지에 나온 문의처는 이메일 주소(toiawase@trustbank.co.jp)입니다.
기부 관련 절차는 공식 안내를 기다리십시오
2026년 10월 25일 현재 회사 공지에는 원스톱 특례 신청, 세금 신고 또는 기부금 영수증에 미치는 영향에 대해 아무 내용이 없습니다. 서비스는 10월 19일부터 중단되었으며, 후루사토 초이스를 통한 기부도 받지 않고 있습니다(이즈미오쓰시 등 일부 지방자치단체 안내 기준). 회사와 기부한 지방자치단체의 공식 페이지에서 안내를 확인하십시오.
2차 보고에 추가 항목이 포함된 기부자 5명에 대해
회사의 2차 보고(10월 23일)에 따르면, 1차 공지의 항목에 더해 기부자 5명에 대해 추가 항목이 유출되었습니다. 포인트 이력(5명), 기부 이력(2명), 생년월일(2명), 배송지 주소(1명) 등이며 그 밖의 항목도 있습니다. 이 중 2명은 외부인이 마이페이지의 저장된 카드 정보가 표시되는 화면(카드 끝 4자리, 카드 명의인, 유효기간)에 접근했습니다. 회사는 이 5명에게 개별적으로 연락했다고 밝혔습니다.
회사는 카드 정보가 해당 화면이 표시될 때마다 결제 대행사에서 조회되며 회사 시스템에는 저장되지 않고, 카드 정보만으로는 카드 결제를 할 수 없다고 설명합니다. 연락을 받았다면 카드 명세서를 확인하고, 인식하지 못하는 결제가 있으면 카드 뒷면에 적힌 번호로 카드사에 문의하십시오.
무슨 일이 있었나(트러스트뱅크 공지 기준)
트러스트뱅크(Trustbank, Inc.)는 일본의 고향납세 제도를 위한 사이트인 후루사토 초이스를 운영합니다. 회사는 10월 19일 서비스 중단 공지, 10월 20일 1차 보고, 10월 23일 2차 보고를 공식 웹사이트 뉴스룸에 게시했습니다. 아래 내용은 모두 회사의 공지에 따른 것입니다.
2026년 10월 17일(토)
외부인이 무단 접근을 했습니다(10월 19일 점검 중 확인됨).10월 19일(월)
비정상적인 접근 패턴을 확인한 뒤 회사가 점검하여 무단 접근과 회원 개인정보 유출을 확인했습니다.10월 19일 15:50
추가 피해를 막기 위해 회사는 후루사토 초이스 관련 서비스를 중단했습니다. 같은 날 무단 접근이 의심된다는 이유로 일시 중단 공지를 게시했습니다.10월 20일(화)
1차 보고를 발표했습니다. 회사는 개인정보보호위원회에 보고를 마쳤으며 10월 21일 관할 경찰에 피해 신고를 할 계획이라고 밝혔습니다.10월 21일부터
회원에게 데이터 유출 여부와 확인된 항목을 순차적으로 개별 이메일로 안내하기 시작했습니다.10월 23일
2차 보고를 발표했습니다. 기부자 5명에 대해 추가 항목이 유출되었습니다.
- 범위
- 후루사토 초이스 회원 데이터
- 건수
- 4,454,097건. 조사가 진행되면서 바뀔 수 있음(회사)
- 항목
- 이름, 이메일 주소, 우편 주소, 전화번호, 해시 처리된 비밀번호, 예상 기부금 세액공제액
- 추가 항목(5명)
- 포인트 이력(5명), 기부 이력(2명), 카드 정보(카드 끝 4자리, 명의인, 유효기간)(2명), 생년월일(2명), 배송지 주소(1명). 목록에는 “주소의 일부(도도부현명) 삭제: 1명”도 포함(중복 가능, 총 5명)
- 카드 정보
- 회사 시스템에 저장되지 않으며, 화면이 표시될 때마다 결제 대행사에서 조회됨. 해당 화면에 대한 외부 접근은 2명에 대해 확인됨. 카드 정보만으로는 카드 결제를 할 수 없음(회사)
- 원인
- 공개되지 않음. 외부 전문가와 함께 발견된 취약점을 상세 조사 중
- 신고
- 2026년 10월 20일 개인정보보호위원회에 보고. 10월 21일 관할 경찰에 피해 신고 예정(10월 20일 공지 기준)
- 서비스
- 관련 서비스는 10월 19일 15:50부터 중단. 재개 날짜는 정해지지 않음
- 문의(기부자)
- 이메일: toiawase@trustbank.co.jp
회원 정보: 4,454,097건
이름, 이메일, 주소, 전화번호, 해시 처리된 비밀번호, 예상 세액공제액
5명의 추가 항목
포인트 및 기부 이력, 생년월일, 배송지 주소 등. 2명은 카드 정보 표시 화면(카드 끝 4자리 등)
↓ 일반적으로 발생할 수 있는 일
재사용한 비밀번호로 로그인 시도
→ 다른 서비스의 비밀번호 변경
후루사토 초이스나 지방자치단체를 사칭한 메시지
→ 링크 대신 공식 페이지에서 확인
확인된 것과 확인되지 않은 것
2026년 10월 25일 기준 회사 공지(10월 19일 공지, 10월 20일 1차 보고, 10월 23일 2차 보고)를 바탕으로 합니다. 후속 발표가 나오면 상태 열을 업데이트하겠습니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 이름, 이메일, 주소, 전화번호 | 회원 정보 4,454,097건의 유출 확인 | 유출 확인됨(회사) |
| 비밀번호 | 해시 처리된 형태로 유출 확인 | 유출 확인됨(회사) |
| 예상 세액공제액 | 유출 확인. 항목의 구체적 내용은 설명되지 않음 | 유출 확인됨(회사) |
| 포인트 이력, 기부 이력, 생년월일, 배송지 주소 | 기부자 5명에 대해 추가 유출 확인(항목별 1–5명) | 유출 확인됨(회사) |
| “주소의 일부(도도부현명) 삭제” | 2차 보고에서 1명에 대해 기재. 설명되지 않음 | 유출 확인됨(회사) |
| 카드 정보(카드 끝 4자리, 명의인, 유효기간) | 기부자 2명에 대해 표시 화면에 대한 외부 접근 확인 | 유출 확인됨(회사) |
| 카드 전체 번호, 보안 코드 | 이번 공지에서 언급되지 않음(10월 5일 별도 공지에서는 카드 번호와 보안 코드를 회사 시스템에 저장하지 않는다고 밝힘) | 명시되지 않음 |
| 건수에 해당하는 실제 인원수 | 건수로만 발표되었으며 인원수는 제시되지 않음 | 명시되지 않음 |
| 접근 날짜 및 중단 시각 | 10월 17일 접근, 10월 19일 15:50 관련 서비스 중단 | 확인됨(회사) |
| 원인 | 외부 전문가와 함께 조사 중 | 조사 중 |
| 개별 안내 | 10월 21일부터 회원에게 순차 이메일 발송 | 확인됨(회사) |
| 경찰 신고 | 10월 21일 신고 예정(10월 20일 기준). 이후 공지 없음 | 예정(회사) |
| 서비스 재개 | 미정 | 조사 중 |
| 원스톱 특례 또는 세금 신고에 대한 영향 | 공지에 언급 없음 | 명시되지 않음 |
10월 5일 발표된 별도 사안과의 구분
2026년 10월 5일 회사는 아마존 페이(Amazon Pay)를 통한 기부에서 시스템 버그로 인해 한 사용자의 신청 데이터가 다른 사용자의 화면에 표시될 수 있었던 별도 사안(254건)을 발표했습니다. 이는 회사 자체 시스템의 결함이었으며, 이번 무단 접근과는 별도로 발표된 사안입니다. 회사는 두 사안 사이의 연관성을 설명하지 않았습니다.
후루사토 초이스를 통해 기부금을 받는 지방자치단체들도 경고문을 게시했습니다. 예를 들어 오사카부의 이즈미오쓰시(Izumiotsu City)는 10월 20일 회사 발표를 요약한 공지를 게시했습니다. 해당 공지는 운영사가 시의 기부자에 대한 영향을 조사 중이며, 서비스가 중단된 동안 후루사토 초이스를 통한 기부를 받지 않고 있다고 밝혔습니다.
이름, 주소, 전화번호, 비밀번호가 함께 유출되면 일어날 수 있는 일
일반적으로 다음과 같은 일이 일어날 수 있습니다(이번 사고에서 이 중 어떤 일이든 발생했다는 발표는 없습니다).
일반적으로 일어날 수 있는 일
- 같은 이메일과 비밀번호 조합을 사용하는 다른 서비스에 대한 로그인 시도(비밀번호가 복원된 경우)
- 이름과 주소를 사용해 후루사토 초이스나 지방자치단체 명의로 보내는 가짜 이메일, 문자, 우편
- “답례품 배송 확인”, “기부 서류 문제”, “사과의 의미로 환불” 등을 내세워 다른 사이트로 유도하는 메시지
- 운영사나 지방자치단체를 사칭한 전화
할 수 있는 일
- 재사용한 비밀번호를 변경하고 2단계 인증을 설정하기
- 기부 및 배송 내역을 공식 사이트나 지방자치단체의 공식 페이지에서 확인하기
- 사과나 환불을 명목으로 카드 정보나 은행 정보를 요구하는 연락은 무시하기
- 전화를 끊고 공식 웹사이트에 나온 번호로 다시 걸기
회사는 예상 세액공제액 항목에 무엇이 들어 있는지 설명하지 않았습니다. 일반적으로 고향납세 사이트의 예상 공제액은 사용자가 입력한 소득 및 가족 정보를 바탕으로 계산됩니다. 가짜 메시지가 세금이나 공제 주제를 이용할 수 있다는 점을 염두에 두십시오.
해시 처리된 비밀번호가 포함된 다른 유출 사고는 Comic Cmoa member data breach에서 다루고 있습니다. 비밀번호가 유출되었는지 확인하려면 How to check whether your password leaked를 참고하십시오.
회원제 사이트를 운영하는 분들을 위해
상세한 원인은 공개되지 않았으므로, 이 섹션은 공개된 사실에서 도출할 수 있는 내용만 다룹니다. 취약점의 유형을 추측하거나, 한 가지를 고쳤다면 이를 막을 수 있었다고 주장하지 않습니다.
카드 데이터를 직접 보관하지 않으면 유출 범위가 줄어듭니다
회사에 따르면 저장된 카드 정보는 마이페이지 화면이 표시될 때마다 결제 대행사에서 조회되었으며, 회사 시스템에는 저장되지 않았습니다. 화면에는 카드 끝 4자리, 카드 명의인, 유효기간만 표시되었습니다. 카드를 다루는 회원제 사이트라면, 카드 번호를 직접 보관하지 않고 결제 대행사의 보관 기능을 이용하는 구조가 침입을 완전히 막지 못하더라도 피해를 줄이는 데 도움이 됩니다.
비밀번호는 해시 처리하고, 재사용된 비밀번호는 빨리 변경하도록 안내하십시오
유출된 비밀번호는 해시 처리되어 있었습니다. 해싱이 얼마나 강력했는지(솔트 적용 여부, 느린 알고리즘 사용 여부)는 공개되지 않았습니다. 일반적으로 솔트를 적용한 느린 알고리즘(bcrypt, scrypt, Argon2 등)은 원래 비밀번호를 복원하는 데 필요한 시간을 크게 늘립니다(How to store passwords safely 참고). 회사는 1차 보고에서 다른 곳에서도 사용한 비밀번호를 변경하라고 요청했습니다.
비정상적인 접근을 감지하고, 서비스 중단 권한자를 미리 정하십시오
회사는 무단 접근 이후 이틀이 지난 10월 19일, 비정상적인 접근 패턴을 확인하고 점검한 뒤 서비스를 중단했습니다. 회원 정보에 대한 일별 접근량과 빈도를 추적하고, 평소와 다르면 경고가 울리도록 설정하며, 서비스 중단을 결정할 담당자를 미리 정해 두면 발견부터 차단까지의 시간이 줄어듭니다.
계산 결과처럼 보관할 필요가 없는 항목은 점검하십시오
유출된 항목에는 예상 세액공제액이 포함되어 있었습니다. 일반적으로 사용자 편의를 위해 저장한 계산 결과나 이력을 계속 보관해야 하는지, 얼마나 오래 보관해야 하는지 판단하고 필요 없는 항목은 보관하지 않으면 유출될 수 있는 범위가 줄어듭니다(회사가 이 항목을 어떻게 저장했는지는 공개되지 않았습니다).
출처(공개 기록)
이 글의 사실은 아래의 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 세부 사항과 피해 인원수는 추측하지 않았습니다.
- 트러스트뱅크(Trustbank, Inc.), 무단 접근 의심에 따른 서비스 일시 중단 공지(2026년 10월 19일, 일본어) — trustbank.co.jp
- 트러스트뱅크(Trustbank, Inc.), 무단 접근으로 인한 기부자 정보 유출에 대한 사과 및 공지(2026년 10월 20일, 일본어) — trustbank.co.jp
- 트러스트뱅크(Trustbank, Inc.), 무단 접근으로 인한 기부자 정보 유출에 대한 사과 및 공지, 2차 보고(2026년 10월 23일, 일본어) — trustbank.co.jp
- 트러스트뱅크(Trustbank, Inc.), 후루사토 초이스 개인정보 유출에 대한 사과 및 공지(2026년 10월 5일, 별도 사안, 일본어) — trustbank.co.jp
- 이즈미오쓰시(Izumiotsu City), 후루사토 초이스 무단 접근에 따른 개인정보 유출 및 경고 공지(2026년 10월 20일, 일본어) — city.izumiotsu.lg.jp
업데이트 기록
2026-10-25: 트러스트뱅크의 10월 19일 공지, 10월 20일 1차 보고, 10월 23일 2차 보고를 바탕으로 한 첫 번째 버전. 원인, 서비스 재개 또는 기부 절차에 대한 영향에 관한 후속 발표가 나오면 업데이트하겠습니다.
다음으로 읽을 글
- 재사용 비밀번호 확인: How to check whether your password leaked
- 해시 처리된 비밀번호가 포함된 다른 유출 사고: Comic Cmoa member data breach
- 가짜 메시지에 대비하기: What is phishing?
- 2026년 다른 사고: Data breaches and cyberattacks list