IDARE 데이터 유출(129,659명): 잔액, 거래 내역 및 일부 신분증 번호 유출 — 이용자가 해야 할 일

2026년 9월 27일까지 IDARE에 가입한 모든 사람이 대상이며, 계정을 해지한 사람도 포함됩니다. 어떤 항목이 유출되었는지는 개인의 서비스 이용 방식에 따라 다르며, 회사는 각 사람에게 이메일로 알릴 예정이라고 밝혔습니다.

그 이메일의 링크로는 움직이지 마십시오. 직접 IDARE 앱을 열거나 즐겨찾기 또는 검색으로 공식 웹사이트에 접속하십시오. 문의는 앱 내 문의 또는 웹사이트의 문의 양식을 이용하십시오.

회사는 회사나 IDARE를 사칭하는 의심스러운 이메일, 문자 메시지, 전화가 올 수 있다고 경고합니다. 회사는 이메일, 문자 메시지 또는 전화로 비밀번호, PIN, 보안 코드 또는 다요소 인증 코드를 요구하지 않는다고 밝혔습니다.

잔액과 거래 내역이 유출되었으므로, 가짜 메시지가 실제 잔액이나 최근 구매 내역을 말할 수 있습니다. 정확한 세부 정보가 있다고 해서 메시지가 진짜라는 증거는 아닙니다. 예상하지 못한 메시지의 링크나 첨부 파일을 열지 말고, 개인정보를 입력하지 마십시오(가짜를 구별하는 방법: 피싱이란?).

회사에 따르면 로그인에는 등록한 방식의 다요소 인증(비밀번호 외에 추가로 확인하는 절차)이 필요합니다. 이 코드를 타인에게 알려주면 이 보호 기능이 무력화됩니다.

일부 사람에게는 충전용으로 등록된 신용카드의 앞 6자리와 뒤 4자리, 등록된 은행 계좌의 끝 3자리도 유출되었습니다. 카드 번호 앞 6자리는 일반적으로 카드를 발급한 회사와 카드 브랜드를 알려줍니다.

이 때문에 "귀하의 카드 끝 ××××에서 의심스러운 사용이 감지되었습니다" 같은 그럴듯한 메시지가 가능합니다. 메시지 속 전화번호나 링크를 사용하지 마십시오. 카드 뒷면의 번호, 통장, 또는 은행이나 카드사의 공식 앱을 통해 연락하십시오. 회사는 카드 전체 번호, 유효기간, 보안 코드 또는 PIN을 보유하지 않으므로 이들은 취득될 수 없었다고 밝혔습니다.

회사는 10월 13일 기준 부정 거래가 확인되지 않았고 잔액은 보호되었다고 밝혔으며, 10월 21일의 두 번째 보고도 그 시점까지 같은 내용을 밝혔습니다. 잔액의 무단 사용 등 피해는 보상 정책에 따라 보상하겠다고 하며, 충전과 결제는 평소와 같이 작동한다고 합니다. 그래도 앱의 거래 내역에서 인식하지 못하는 결제가 있는지 한 번 살펴볼 가치가 있습니다.

IDARE 고객센터의 보상 정책 안내 페이지는, 부정 사용을 발견하면 먼저 앱에서 카드를 잠그고, 앱 내 문의에서 "인식하지 못하는 거래"를 선택한 뒤 날짜와 시간, 금액, 가맹점을 적으라고 안내합니다. 보상은 피해 발생일로부터 30일 이내에 회사와 경찰서에 신고된 손실에만 적용됩니다.

같은 페이지에 따르면, 제3자의 강요를 받아 이루어진 거래를 포함해 이용자가 직접 한 거래는 보상 대상이 아닙니다. 전화나 메시지의 지시로 직접 송금하거나 결제하지 마십시오.

일부 사람에게는 본인확인 시 제출한 이름, 주소, 성별, 이용 목적과 신분증 번호가 유출되었습니다. 회사는 번호가 어떤 신분증(예: 운전면허증)에서 나온 것인지는 밝히지 않았습니다. 회사는 신분증과 얼굴 이미지 및 마이넘버(일본의 개인번호)는 유출되지 않았다고 밝혔습니다.

이미지가 없더라도 신분증 번호에 이름, 주소, 생년월일이 결합되면 타인 명의의 신청에 악용될 수 있습니다. 예방 차원에서 일본 신용정보기관(CIC, JICC, 전국은행개인신용정보센터)에 본인 신고 등록을 하는 것을 고려하십시오. 비용, 알림의 유효 기간, 본인 신용정보를 확인하는 방법은 일본 운전면허증 데이터가 유출되었다면: 대처 방법에서 다룹니다.

또한 2027년 4월부터 은행 계좌 개설 등을 위한 온라인 본인확인은 원칙적으로 신분증 사진 제출을 받지 않고, 실물 카드와 PIN이 필요한 IC칩 판독 방식으로 바뀔 예정입니다(일본 온라인 신원 확인, IC칩 판독 방식으로 전환).

2021년 10월 이전에 가입한 사람 중, 2021년 10월에 서비스를 종료한 대출 서비스 LADDER를 이용하려고 연간 소득, 근무처 등을 입력한 사람은 그 정보도 유출되었습니다.

소득이나 근무처를 알고 있다는 점을 이용하는 대출이나 금융 지원 제안에는 응하지 마십시오. 이번 사고와 별개로, Fivot는 2026년 4월 7일 공지에서 회사 직원이나 서비스 명의를 도용한 가짜 대출 권유에 대해 경고했습니다. 이 공지에서 회사는 고객에게 기기를 보내 개인정보나 은행 정보를 입력해 반송하도록 요청하지 않는다고 밝히며, 공식 웹사이트로 fivot.co.jp, idare.jp, flex-capital.jp를 나열했습니다.

의심스러운 메시지에 응해 돈을 보냈거나, 인증 코드나 PIN을 공유했거나, 카드 정보를 입력했다면 IDARE 앱에서 카드를 잠그고 카드사 또는 은행에도 연락하십시오.

일본에서는 경찰 상담 전화(#9110) 또는 소비자 상담 전화(188)를 이용할 수도 있습니다. 가짜 페이지에 비밀번호를 입력했다면 즉시 비밀번호를 변경하고, 같은 비밀번호를 사용한 다른 서비스도 함께 변경하십시오(비밀번호 관리자 선택 방법).

티켓 관리나 채팅 시스템 같은 고객 지원 도구는 직원이 고객의 상황을 볼 수 있도록 회원 및 거래 화면과 연결되는 경우가 많습니다. 먼저 외부 도구마다 어떤 필드를 읽을 수 있고 어떤 자격 증명(API 키 또는 데이터베이스 계정)을 사용하는지 목록으로 작성하십시오.

신분증 번호나 거래 내역처럼 일상적인 지원 업무에서 대량으로 읽을 필요가 없는 데이터는 도구가 읽지 못하도록 차단하거나, 한 번에 한 건씩 조회하도록 접근을 제한하십시오.

회사는 신분증과 얼굴 이미지, 로그인 비밀번호 등은 침해된 시스템이 읽을 수 없도록 관리되었거나 아예 보유하지 않았기 때문에 취득될 수 없었다고 밝혔습니다.

민감한 데이터를 별도의 권한을 가진 별도의 저장소에 보관하면 한 시스템이 침해되었을 때 빼앗길 수 있는 범위가 제한됩니다. 카드 전체 번호처럼 필요하지 않은 데이터를 보유하지 않는 것이 가장 확실한 보호 방법입니다.

이번 사고에는 2021년 10월에 종료된 대출 서비스에 입력된 연간 소득 및 근무처 정보가 포함되었습니다. 공지는 해당 데이터가 왜 계속 보관되고 있었는지 설명하지 않으며, 대출 기록은 법적 보관 의무의 대상일 수 있습니다. 회사는 10월 21일의 두 번째 보고에서 11월 30일까지 이메일 주소, 전화번호 등 법령상 보관 의무가 없는 항목의 보존 기간을 정하고, 계정 해지 후 정기적으로 삭제하겠다고 밝혔습니다.

일반적으로 종료된 서비스의 데이터는 법이 보관을 요구하는 것과 그렇지 않은 것으로 나누고, 필요 없는 것은 삭제하며, 보관하는 것은 일상 시스템이 읽을 수 없는 곳으로 옮기십시오.

공지는 무단 접근이 2026년 8월 10일부터 9월 27일 사이에 여러 차례 있었다고 밝혔습니다. 회사의 재발 방지 조치에는 소프트웨어 취약점 정보의 지속적인 모니터링과 접근 로그에 대한 모니터링 및 경고가 포함되며, 10월 21일의 두 번째 보고는 10월 30일까지 고객 데이터에 대한 대량 또는 비정상 접근을 탐지하여 즉시 경고하는 모니터링을 갖추겠다고 밝혔습니다.

쉬운 첫걸음은 외부 도구가 사용하는 데이터베이스 계정이나 API 키마다 시간당 읽기 건수 제한을 설정하고, 읽기가 평소 수준의 여러 배를 넘으면 직원에게 경고하도록 하는 것입니다. 사용하는 외부 도구의 제공사 공지와 보안 안내를 구독하여 취약점 정보를 따라가십시오.