대상: 이와이 코스모증권의 온라인 거래를 이용하는 사람, 그리고 거래 시스템 운영을 외부에 맡긴 금융회사와 기업. 이 글은 이와이 코스모증권 주식회사와 이와이 코스모홀딩스 주식회사의 공식 공지를 바탕으로 작성했으며, 공격 기법은 다루지 않습니다.
진행 중: 회사가 새로운 내용을 발표하면 이 글을 업데이트합니다
2026년 10월 23일 기준아직 확인되지 않음
- 권한 없는 접근과 거래 관리 시스템 공격의 구체적인 방법
- 유출 데이터의 '기타 정보'의 내용
- 의도하지 않은 주문의 금액과 관련 증권 종목
2026년 10월 20일의 2차 공지에서 대상 인원이 4,975명으로 늘어났고, 계좌 7건의 의도하지 않은 주문이 공개되었습니다. 회사는 새롭게 확인된 사실을 신속하게 발표하겠다고 밝혔습니다. 2026년 10월 23일 현재 3차 공지는 확인되지 않았습니다. 회사 웹사이트(www.iwaicosmo.co.jp)는 10월 23일 긴급 점검 페이지를 표시하고 있어, 2차 공지는 인터넷 아카이브(Wayback Machine)에 저장된 사본을 통해 확인했습니다.
이와이 코스모증권 고객이 오늘 해야 할 일
회사가 고객에게 요청한 사항과 이 사이트의 일반적인 조언은 구분해서 제시합니다. 각 단계 제목에 어느 쪽에 해당하는지 표시했습니다.
회사를 사칭하는 전화나 이메일의 링크와 번호는 사용하지 마십시오 (회사 경고)
회사는 자사를 사칭하는 전화와 이메일이 발생할 수 있다고 경고합니다. 이름과 이메일 주소가 유출되었으므로, 고객이라는 사실을 아는 사람이 내 정확한 이름으로 보낸 가짜 메시지가 올 수 있습니다.
메시지가 부정 거래 확인, 보상, 보안 점검을 말하더라도 링크를 열지 마시고, 메시지에 적힌 전화번호로 전화하지 마십시오(가짜 메시지 구별법: 피싱이란?).
즐겨찾기한 로그인 페이지에서 접속해 공지를 확인하십시오 (회사의 개별 연락)
회사는 1차 공지 대상 4,611명에게는 10월 16일까지 개별적으로 알렸고, 2차 공지에서 추가된 364명에게는 로그인 후 공지 화면을 통해, 그리고 이메일로 연락했다고 밝혔습니다. 이메일 링크가 아니라 직접 저장해 둔 즐겨찾기나 평소 사용하는 접속 경로에서 로그인해 확인하십시오.
10월 23일 회사 웹사이트에는 긴급 점검 페이지가 표시되었고, 온라인 거래 로그인 페이지를 즐겨찾기에 직접 저장하라고 요청했습니다. 회사의 온라인 거래 사이트에 따르면 이번 점검은 10월 21일 공개된 PHP 취약점에 대응하기 위한 것이며, 권한 없는 접근이나 사이버 공격 때문이 아니라고 합니다(PHP 취약점에 대해서: PHP 치명적 취약점 설명).
주문 및 체결 내역을 확인하십시오 (이 사이트의 조언)
회사는 의도하지 않은 주문이 들어간 계좌 7건의 고객에게 10월 14일 개별적으로 연락했고, 이후 계좌를 거래 전 상태로 복구했다고 밝혔습니다. 연락을 받지 않았더라도 최근 주문 및 체결 내역과, 본인이 모르는 사이에 등록 정보가 바뀌지 않았는지 확인해 볼 가치가 있습니다.
본인이 하지 않은 주문이나 변경을 발견하면, 회사가 요청한 대로 고객상담센터에 문의하십시오.
비밀번호와 거래 비밀번호는 누구에게도 알려주지 마십시오 (이 사이트의 조언)
회사는 유출된 정보에 거래 비밀번호가 포함되지 않았고, 이 정보로 로그인하거나 거래할 수 없다고 밝혔습니다. 따라서 가짜 메시지가 다음으로 노리는 것은 로그인 비밀번호와 거래 비밀번호입니다.
“본인 확인을 위한 것”이라고 말하는 상대라도 알려주지 마십시오. 다른 서비스에서 같은 비밀번호를 쓰고 있다면 서로 다르게 바꾸십시오(확인 방법: 비밀번호 유출 여부 확인 방법, 추가 보호: MFA를 올바르게 선택하는 법).
공식 공지에 나온 문의처를 이용하십시오 (회사 안내)
공지에 나온 문의처는 이와이 코스모증권 고객상담센터이며, 전화번호는 0120-405-546(평일 일본 시간 오전 9시–오후 5시)입니다. 회사는 궁금한 점이나 우려 사항이 있으면 연락해 달라고 요청하고 있습니다.
이 글의 출처에 나온 공식 공지의 번호를 사용하십시오. 받은 이메일이나 문자 메시지에 적힌 번호는 사용하지 마십시오.
무슨 일이 있었나 (이와이 코스모증권 공지 기준)
아래 내용은 2026년 10월 16일 회사 공지(이와이 코스모홀딩스의 적시공시)와 10월 20일 2차 공지를 바탕으로 합니다. 위탁사는 회사가 "온라인 거래 시스템의 운영과 관리"를 맡긴 사업자로 설명하고 있습니다.
2026년 10월 14일
회사는 제3자의 권한 없는 접근을 감지했고, 즉시 위탁사에 연락하여 접근 제한 등 긴급 조치를 취했습니다. 같은 날 거래 관리 시스템도 공격을 받았고, 계좌 7건에 고객이 의도하지 않은 주문이 들어갔습니다(5건 체결). 회사는 같은 날 해당 고객들에게 개별 연락했습니다.10월 16일
1차 공지 발표(모회사의 적시공시). 4,611명의 이름, 이메일 주소 등 기타 정보가 유출되었다고 밝히고, 해당 인원에게 개별 통지했다고 발표했으며, 문의 창구를 열었습니다.10월 20일
2차 공지 발표. 접근 및 통신 기록을 재점검한 결과 364명이 추가되어 총 4,975명이 되었습니다. 이날 의도하지 않은 주문도 함께 공개되었습니다.2026년 10월 23일 기준
회사 웹사이트에 긴급 점검 페이지가 표시되고 있습니다. 회사의 온라인 거래 사이트는 PHP 취약점에 대응하기 위한 것이며 권한 없는 접근이나 사이버 공격 때문이 아니라고 밝혔습니다(2026년 10월 23일 확인).
- 유출 경로
- 회사가 온라인 거래 시스템의 운영과 관리를 맡긴 위탁사의 시스템
- 대상
- 온라인 거래 고객 4,975명(1차 공지 4,611명 + 재점검으로 확인된 364명)
- 항목
- 이름, 이메일 주소 등 기타 정보. 회사는 364명의 정보도 1차 공지의 범위에 포함된다고 밝힘
- 미포함
- 거래 비밀번호. 회사는 이 정보로 계좌에 로그인하거나 거래할 수 없다고 밝힘
- 추가된 364명
- 10월 14일 접근에 대한 재점검으로 확인됨. 회사는 이후 새로운 권한 없는 접근이나 유출이 없었다고 밝힘
- 의도하지 않은 주문
- 10월 14일 거래 관리 시스템이 공격을 받았고, 계좌 7건에 의도하지 않은 주문이 들어감(5건 체결). 회사는 계좌가 복구되었으며 고객에게 비용이 발생하지 않는다고 밝힘
- 유출과의 연관성
- 회사는 유출된 개인정보가 이 거래에 사용되지 않았다고 밝힘
- 공개 시점
- 회사는 10월 16일 당시 유사한 피해를 막기 위한 조치를 아직 시행 중이었기 때문에 방법을 짐작하게 할 수 있는 정보를 보류했다고 설명함
- 원인과 조치
- 회사는 접근을 허용한 지점을 확인하여 수정했다고 밝힘. 위탁사가 관리 기능의 보안 강화(접근 제한), 권한 없는 트래픽 차단 강화와 로그인 이상 징후의 즉시 탐지, 모니터링 강화를 추가했다고 확인했다고 함
- 다른 금융회사
- 위탁사에 따르면, 위탁사가 다른 금융기관에 제공하는 시스템도 점검했으며 유사한 권한 없는 접근은 발견되지 않았음
- 문의
- 고객상담센터 0120-405-546(평일 일본 시간 오전 9시–오후 5시)
확인된 내용과 확인되지 않은 내용
2026년 10월 23일 기준 상태입니다. 회사가 추가로 발표하면 상태 열을 업데이트하겠습니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 대상 인원 | 4,975명(1차 공지 4,611명 + 재점검 364명) | 유출 확인(회사) |
| 유출 항목 | 이름, 이메일 주소 등 기타 정보 | 유출 확인(회사) |
| '기타 정보'의 내용 | 공개되지 않음 | 명시되지 않음 |
| 거래 비밀번호 | 유출 정보에 포함되지 않음 | 미포함(회사) |
| 로그인 비밀번호 | 별도 언급 없음(회사는 이 정보로 로그인이나 거래를 할 수 없다고 밝힘) | 명시되지 않음 |
| 의도하지 않은 주문 | 계좌 7건에 들어갔으며 5건 체결됨. 거래 전 상태로의 계좌 복구가 완료되었다고 함(2차 공지, 10월 20일) | 확인(회사) |
| 고객 비용 | 없음 | 확인(회사) |
| 거래와 유출의 연관성 | 유출된 개인정보는 사용되지 않음 | 확인(회사) |
| 주문의 금액과 종목 | 공개되지 않음 | 명시되지 않음 |
| 접근을 허용한 원인 | 확인되어 수정됨. 구체적인 방법은 공개되지 않음 | 명시되지 않음 |
| 다른 금융회사 | 위탁사의 점검에서 유사한 권한 없는 접근이 발견되지 않음 | 발견되지 않음(위탁사) |
| 2차 피해 | 10월 16일 1차 공지: 발견되지 않음 | 발견되지 않음(회사) |
위탁사 시스템에 대한 권한 없는 접근
↓→
이름, 이메일 주소 등 유출(4,975명)
→ 전화나 이메일의 링크와 번호는 사용하지 않기
거래 관리 시스템에 대한 공격(같은 날, 10월 14일)
↓→
계좌 7건에 의도하지 않은 주문(5건 체결)
→ 거래 전 상태로 복구됨(회사); 그래도 주문 및 체결 내역 확인
회사는 유출된 개인정보가 의도하지 않은 주문에 사용되지 않았다고 밝혔습니다
회사는 의도하지 않은 주문이 거래 관리 시스템에 대한 공격에서 비롯되었고, 유출된 개인정보는 사용되지 않았다고 설명합니다. 즉, 이름과 이메일 주소가 유출되었기 때문에 주문이 들어간 것은 아니라는 설명입니다.
그렇더라도 유출된 이름과 이메일 주소는 앞으로 가짜 메시지에 이용될 수 있습니다. 주문 문제가 처리되었더라도 메시지에는 계속 주의하십시오.
유출된 정보의 조합으로 가능한 악용
일반적으로 다음과 같은 정보 조합은 다음 유형의 악용을 가능하게 합니다. 이번 사건에서 실제로 이런 일이 일어났다는 뜻은 아닙니다.
- 이름 + 이메일 주소: 정확한 이름이 들어간 가짜 이메일이 가능합니다. 발신자는 내가 이와이 코스모 고객이라는 사실도 알고 있으므로, 사고나 보상과 관련된 제목의 메일이 올 가능성이 높아집니다
- 사고 보도 사실: 실제 공지와 비슷한 “부정 주문 확인”이나 “환불 절차” 같은 전화와 이메일을 쓰기 쉬워집니다
- 가짜 사이트에 입력된 로그인 ID, 비밀번호, 거래 비밀번호: 이 세 가지가 모두 있으면 누군가 계좌에 들어가 거래할 수 있습니다. 이번에 유출된 정보는 아니지만, 가짜 메시지가 노리는 정보입니다
일본 금융청(FSA)은 증권사를 사칭한 가짜 사이트를 통해 탈취한 로그인 정보로 이루어지는 부정 거래에 대해 일반적인 경고를 발표했습니다(금융청 경고(일본어)). 이는 증권 계좌 전반에 대한 일반적인 경고이며, 이번 사고에 대한 것이 아닙니다.
과거 사례인 다이와증권 위탁사 침해사고에서는 위탁사의 공지로 같은 서버를 사용하던 다른 기업들도 영향을 받았던 것으로 나중에 드러났습니다. 이번 사례에서 위탁사는 다른 금융기관에 제공하는 시스템을 점검했고 유사한 권한 없는 접근을 발견하지 못했다고 밝혔습니다.
거래 시스템 운영을 외부에 맡긴 금융회사를 위한 안내
구체적인 방법이 공개되지 않았으므로 침입을 막는 방법은 다루지 않습니다. 공개된 내용에서 확인되는 것은, 회사가 의도하지 않은 주문이 거래 관리 시스템에 대한 공격에서 비롯되었고 유출된 개인정보는 사용되지 않았다고 밝혔다는 점입니다. 위탁사가 추가한 조치 중에는 "관리 기능의 보안 강화(접근 제한)"가 가장 먼저 나와 있습니다. 아래 항목은 공개된 내용을 바탕으로 한 일반적인 점검 사항이며, 이번 사고의 원인을 밝힌 것이 아닙니다.
위탁사 시스템의 관리 기능과 사용 가능한 위치를 목록으로 정리하십시오
일반적으로 거래 시스템에는 고객 화면과 별도로, 운영 및 관리 담당자가 사용하는 관리 기능이 있습니다. 고객 로그인에 다단계 인증을 추가하는 것만으로는 관리 기능을 보호할 수 없으며, 관리 기능은 별도로 점검해야 합니다.
첫 단계로 위탁사에 관리 기능 목록, 이를 사용할 수 있는 계정, 접속 가능한 위치(예: IP 주소) 제한을 요청하고, 어떤 관리 기능이 인터넷에서 직접 접근 가능한지 확인하십시오.
고객 본인의 세션에서 나오지 않은 주문을 발생 즉시 탐지하십시오
회사는 권한 없는 접근을 같은 날 감지했고, 해당 고객에게도 같은 날 연락했습니다. 일반적으로 고객 로그인 없이 주문이 들어가거나, 비정상적인 경로, 시간, 물량으로 주문이 들어갈 때 즉시 경보를 울리면 주문 취소와 고객 연락을 더 빨리 할 수 있습니다.
위탁사가 추가한 조치에도 로그인 이상 징후의 즉시 탐지와 모니터링 강화(정기 점검과 이상 징후에 대한 즉각 대응)가 포함되어 있습니다. 귀사에서는 이런 경보를 누가 받고, 몇 분 안에 누가 무엇을 결정할지 정하십시오.
귀사 환경에 대한 위탁사의 점검 결과를 받으십시오
하나의 사업자가 여러 금융회사의 거래 시스템을 운영하고 관리할 수 있습니다. 이번 사례에서 위탁사는 다른 금융기관에 제공하는 시스템도 점검했다고 밝혔습니다.
같은 위탁사를 사용하고 있다면, 귀사 환경에 대한 점검의 결과와 범위를 서면으로 받으십시오(검토한 로그 기간, 적용한 기준 포함). 접근 통제 측면은 인증과 권한 부여의 차이를 참고하십시오.
출처(공개 기록)
이 글의 사실 관계는 아래 공개 정보에 근거합니다. 공개되지 않은 방법이나 원인에 대해서는 추측하지 않았습니다.
- 이와이 코스모홀딩스 주식회사, 「외부 위탁처 불법 접근에 따른 고객 정보 유출에 대하여」(일본어 원제: 岩井コスモ証券 外部委託先への不正アクセスに伴うお客様情報の漏洩について, 2026년 10월 16일, 적시공시. 첨부 문서는 이와이 코스모증권의 공지) — iwaicosmo-hd.jp(PDF, 일본어)
- 이와이 코스모홀딩스 보도자료, 「외부 위탁처 불법 접근에 따른 고객 정보 유출에 대하여」(2026년 10월 16일) — iwaicosmo-hd.jp
- 이와이 코스모증권 주식회사, 「외부 위탁처 불법 접근에 따른 고객 정보 유출에 대하여(제2보)」(2차 공지, 2026년 10월 20일) — iwaicosmo.co.jp(10월 23일에는 웹사이트 점검으로 표시되지 않음. 10월 21일 저장된 인터넷 아카이브 사본으로 확인)
- 이와이 코스모증권 온라인 거래 사이트, 점검 공지(2026년 10월 23일 확인) — iwaicosmo.net
- 일본 금융청, 「인터넷 거래 서비스에 대한 불법 접근·부정 거래에 주의하십시오」 — fsa.go.jp
업데이트 기록
2026-10-23: 첫 번째 버전. 이와이 코스모증권의 10월 16일 공지(모회사의 적시공시)와 10월 20일 2차 공지를 바탕으로 작성. 회사 웹사이트가 점검 중이어서 2차 공지는 인터넷 아카이브 사본으로 확인함. 새로운 사실이 발표되면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 후속 사기로부터 보호하기: 피싱이란? / 패스키란?
- 로그인 보안 강화: MFA를 올바르게 선택하는 법 / 비밀번호 유출 여부 확인 방법
- 이번 달 다른 증권사 사고: 다이와증권 위탁사 침해사고(고객 약 110,000명)
- 2026년 다른 사고: 2026년 데이터 유출 및 사이버 공격