대상: Lawson ID(Lawson 앱과 웹 서비스에 사용하는 계정)를 가진 모든 사람, Lawson App Reservation으로 상품을 예약한 모든 사람, 회원용 앱이나 웹 서비스를 운영하는 모든 사람. 이 글은 Lawson, Inc.의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하면 이 글을 업데이트합니다
- 대상
Lawson ID(Lawson 앱과 웹 서비스에 사용하는 계정)를 가진 모든 사람, Lawson App Reservation으로 상품을 예약한 모든 사람, 회원용 앱이나 웹 서비스를 운영하는 모든 사람.
- 확인된 영향 범위표 보기 ↓
- 무단 접근 기간
- Lawson ID 기록 및 항목
- App Reservation 기록 및 항목
1개 더 보기
- App Reservation 재개
- 아직 확인되지 않은 사항
- 악용된 메커니즘의 세부 내용
- 회사가 접근을 알게 된 경위
- 개별 안내 이메일 발송 진행 상황
- 지금 할 일절차 보기 ↓
- Lawson을 사칭한 이메일이나 문자의 링크를 열지 마세요
- 안내 이메일이 와도 공식 앱에서 확인하세요
- 비밀번호는 유출 항목이 아니므로, 비밀번호를 입력하는 곳에 주의하세요
2개 더 보기
- App Reservation 이용자 26명은 카드 명세서를 확인하세요
- 공식 공지에 나온 연락처로 문의하세요
- 확인처(출처)출처 전체 ↓
- Lawson, Inc., 제3자의 무단 접근으로 인한 개인정보 유출에 대한 사과 공지(2026년 10월 8일, 10월 13일 및 19일 추가 공지, 일본어)
- 마지막 확인
- 2026년 10월 20일 기준
후속 발표 예정과 확인 기록
공지에는 추가 조사 결과를 공개한다는 내용이 없습니다. Lawson App Reservation은 10월 19일에 재개되었으며(같은 날 추가 공지), 10월 19일부터 Lawson 앱은 업데이트해야 사용할 수 있습니다. 10월 13일에는 개별 이메일의 두 번째 발신 주소가 추가되었습니다. 10월 20일에 확인한 같은 페이지에는 추가 조사 결과가 없습니다.
Lawson ID 보유자가 오늘 해야 할 일
Lawson을 사칭한 이메일이나 문자의 링크를 열지 마세요
이메일 주소와 이름이 유출되었고, 일부는 전화번호와 주소도 유출되었습니다. 회사는 Lawson ID에 등록된 연락처로 오는 의심스러운 이메일, 문자, 전화를 주의해 달라고 요청합니다.
이번 사건 이전에도 Lawson을 모방한 가짜 메시지가 있었습니다. 2026년 6월 회사는 경품이나 무료 쿠폰 캠페인을 가장해 개인정보를 수집하는 가짜 웹사이트에 대해 경고했습니다. "포인트가 소멸됩니다", "쿠폰을 받으세요", "당첨되었습니다"라는 메시지라도 링크를 열지 말고 ID, 비밀번호, 카드 정보를 입력하지 마세요(구별 방법: 피싱이란?).
안내 이메일이 와도 공식 앱에서 확인하세요
Lawson은 "Lawson ID Mail"이라는 이름으로 영향을 받은 사람들에게 개별 연락을 하고 있다고 밝혔습니다. 공지에는 두 개의 발신 주소가 나와 있습니다: lawson_id@mailservice.lawson.jp와 lawson_id@id.lawson.jp(후자는 10월 13일 추가 공지에서 발신 주소를 추가했다고 밝히며 더해졌습니다). Lawson 앱에도 공지를 게시했습니다.
다만 이메일에 표시된 발신자는 위조될 수 있습니다. 10월 1일에 별도로 발표된 사건(회사 메일 서버의 악용)에서 Lawson은 발신 주소가 제3자처럼 위장된 사례를 직접 공개했습니다. 안내가 진짜처럼 보여도, 이메일 속 링크가 아니라 홈 화면이나 즐겨찾기에 있는 공식 앱에서 확인하세요.
비밀번호는 유출 항목이 아니므로, 비밀번호를 입력하는 곳에 주의하세요
회사가 유출되었다고 밝힌 항목에 비밀번호는 없으며, 회사도 비밀번호 변경을 요청하지 않았습니다.
더 가능성 있는 일은 유출된 이메일 주소로 가짜 로그인 페이지를 보내 사용자가 직접 비밀번호를 입력하게 만드는 것입니다. 공식 앱에서만 로그인하면 이 위험은 대부분 사라집니다. Lawson ID 비밀번호를 다른 서비스에서도 사용하고 있다면, 이번 사건과 관계없이 모두 다르게 설정하세요. 그래야 다른 곳에서 유출되더라도 확산되지 않습니다(비밀번호 관리자를 쓰면 관리가 쉬워집니다).
App Reservation 이용자 26명은 카드 명세서를 확인하세요
Lawson App Reservation에서 유출된 항목은 이름, 전화번호, 신용카드 번호 일부입니다. 회사는 악용이 확인되지 않았다고 밝혔습니다. 일부 번호만으로는 온라인 결제를 하기 어려운 것이 일반적이지만, 명세서를 확인하고 모르는 결제가 있으면 카드사에 문의하세요. "카드사"를 사칭한 사람이 나머지 번호나 PIN을 요구하면 응답하지 마세요.
공식 공지에 나온 연락처로 문의하세요
공지에 나온 연락처는 Lawson 고객센터의 전용 양식(lawson-faq.lawson.co.jp)입니다. 전화번호는 공지에 없습니다. 이미 가짜 메시지에 정보를 입력한 사람은 회사의 6월 경고에 따라 가까운 경찰서나 광역 경찰청 사이버범죄 상담 창구에 상담하세요.
무슨 일이 있었나 (Lawson 발표 기준)
아래 내용은 2026년 10월 8일자 Lawson 공지를 바탕으로 합니다.
2026년 9월 12일–14일
Lawson ID에 무단 접근이 있었습니다(회사 조사 기준).9월 17일
Lawson App Reservation에 무단 접근이 있었습니다(회사 조사 기준).10월 7일
회사의 조사에서 위의 무단 접근이 확인되었습니다.10월 8일
회사는 사과문과 공지를 게시했습니다. 의심스러운 접근 경로를 차단했고, App Reservation을 중단했으며, 앱에 공지를 게시하고, 영향을 받은 사람들에게 개별 연락을 시작했으며, 개인정보보호위원회 등에 보고했다고 밝혔습니다.10월 13일
공지 추가: 개별 이메일의 발신 주소로 "lawson_id@id.lawson.jp"가 추가되었습니다.10월 19일
중단되었던 App Reservation 기능이 재개되었습니다. Lawson 앱을 사용하려면 업데이트가 필요합니다(같은 날 추가 공지).
- Lawson ID
- 2,155,345건. 이메일 주소, 이름
- 입력한 사람에 한함
- 성별, 전화번호, 주소, 뉴스레터 수신 설정(Lawson ID로 경품에 응모하는 등 입력한 경우)
- Lawson App Reservation
- 26건. 이름, 전화번호, 신용카드 번호 일부
- 목록에 없음
- 비밀번호, 전체 카드 번호, 유효기간, 보안 코드는 유출 항목에 나와 있지 않습니다
- 설명된 원인
- Lawson 앱과 관련된 시스템이 악용되었습니다. 앱에서 이용자 본인에게 정보를 보여주기 위한 보안 장치에 제3자가 무단으로 접근했습니다
- 기타 영향
- 회사는 그 밖의 무단 접근과 악성코드 감염은 없었다고 확인했습니다
- 재발 방지 조치
- 영향을 받은 시스템의 보안 강화, 모니터링 강화, 사고 대응 체계 강화
확인된 것과 확인되지 않은 것
2026년 10월 20일에 확인한 공식 공지의 내용입니다. 후속 발표가 나오면 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 무단 접근 기간 | Lawson ID: 9월 12일–14일. App Reservation: 9월 17일 | 확인됨(회사 조사 기준) |
| Lawson ID 기록 및 항목 | 2,155,345건. 이메일 주소, 이름(입력한 경우 성별, 전화번호, 주소, 뉴스레터 수신 설정 추가) | 유출 확인됨 |
| App Reservation 기록 및 항목 | 26건. 이름, 전화번호, 카드 번호 일부 | 유출 확인됨 |
| 비밀번호 | 유출 항목에 없음. 변경 요청 없음 | 목록에 없음 |
| 원인 | 앱 관련 시스템의 악용. 이용자 본인의 정보를 보여주는 보안 장치에 무단 접근 | 설명됨(세부 내용 미공개) |
| 결함의 내용과 악용 방법 | 공지에 없음 | 미공개 |
| 악용 또는 2차 피해 | 10월 8일 기준 확인되지 않음 | 확인된 바 없음 |
| 영향을 받은 사람에 대한 연락 | Lawson ID Mail(lawson_id@mailservice.lawson.jp 또는 lawson_id@id.lawson.jp)에서 순차적으로 개별 이메일 발송 | 진행 중 |
| App Reservation 재개 | 10월 19일 재개. 10월 19일부터 앱 업데이트 필요 | 확인됨(회사) |
'확인되지 않음'이 '일어나지 않을 것'을 뜻하지는 않습니다
악용이나 2차 피해가 확인되지 않았다는 회사의 발표는 10월 8일 기준의 상황입니다. 유출된 이메일 주소와 이름을 이용한 가짜 메시지는 유출 후 한참 뒤에 도착할 수 있습니다. 적어도 앞으로 몇 달 동안은 Lawson 메시지의 링크를 열지 않는 습관을 유지하세요.
이메일 주소, 이름, 전화번호로 무엇을 할 수 있나
일반적으로 다음 조합은 아래와 같은 악용을 가능하게 합니다. 이 사건에서 실제로 일어났다는 뜻은 아닙니다.
- 이메일 주소 + 이름: 정확한 이름이 들어간 "포인트 소멸", "당첨", "사과" 이메일로, 더 진짜처럼 보일 수 있습니다
- 전화번호 + 이름: Lawson이나 택배 회사를 사칭한 문자나 전화
- 주소 + 이름: 가짜 편지나 엽서
- 이름 + 전화번호 + 카드 번호 일부: "끝자리는 …입니다"라고 확인해 진짜처럼 꾸민 뒤 나머지 번호나 PIN을 요구하는 가짜 "카드사" 전화
회원 앱에서 이름과 이메일 주소가 유출된 비슷한 사례로는 2026년 10월 6일에 발표된 MrMax 앱 및 온라인 스토어 사고가 있습니다. 이 조합의 데이터에 대해 독자가 해야 할 일은 이번 사건과 같습니다.
회원 앱을 운영하는 분들을 위한 안내: 이용자 본인의 데이터를 보여주는 기능 점검
Lawson은 앱에서 이용자 본인에게 정보를 보여주기 위한 보안 장치에 무단 접근이 있었다고 밝혔습니다. 결함이 무엇이었는지, 어떻게 악용되었는지는 공개하지 않았습니다. 이 섹션은 Lawson의 시스템이나 대응을 평가하지 않으며, 같은 종류의 기능을 가진 운영자가 자신의 서비스에서 점검할 수 있는 내용을 다룹니다.
많은 앱에는 로그인한 사용자 본인의 데이터를 돌려주는 기능이 있습니다. "마이페이지", 회원 정보, 예약 또는 주문 내역 등입니다. 이런 기능에서 서버는 일반적으로 요청마다 반환하는 데이터의 소유자가 로그인한 본인인지 확인해야 합니다. 서버가 요청에 담긴 회원 번호를 그대로 믿고 해당 회원의 데이터를 돌려주면, 번호만 바꿔도 다른 사람의 데이터가 반환됩니다. 이런 유형의 결함을 IDOR라고 하며, 누구인지 확인하는 일(인증)과 무엇을 볼 수 있는지 확인하는 일(인가)이 혼동될 때 발생합니다. 자세한 내용은 인증 vs. 권한 부여을 참고하세요. Lawson은 이것이 원인이라고 말하지 않았습니다.
앱: "내 회원 정보 보기"
↓→
서버: 누가 로그인했나?
요청의 회원 번호가 아니라 로그인 세션을 기준으로 결정
↓→
그 회원의 데이터만 반환
모니터링: 로그인 또는 출처별로 보여준 서로 다른 회원 수
"본인 데이터" 기능에서는 보통 1입니다. 2 이상이면 경고
사용자 본인의 데이터를 반환하는 모든 기능을 목록화하고, 서버에서 소유권을 확인하는지 점검하세요
로그인한 사용자의 데이터를 반환하는 모든 기능을 적으세요. 마이페이지, 회원 정보, 예약 및 주문 내역, 포인트 잔액, 쿠폰 목록 등입니다. 앱 뒤에서 서버로부터 데이터를 가져오는 API(엔드포인트)도 포함하세요.
각 기능에서 반환되는 데이터의 소유자가 로그인 세션을 기준으로 결정되는지 확인하세요. 앱이 보낸 회원 번호를 사용하고 있다면, 요청마다 로그인한 회원과 대조하도록 바꾸세요. 동시에 화면에 나타나지 않는 필드가 응답에 포함되어 있는지도 확인하세요.
각 로그인에서 몇 명의 서로 다른 회원 데이터가 보였는지 세고, 2명 이상이면 경고하세요
사용자 본인의 데이터를 보여주는 기능은 올바르게 쓰이면 로그인 한 번에 정확히 한 명의 회원만 관련됩니다. 따라서 해당 기능의 접근 기록에서 시간당 로그인(또는 출처)별로 반환된 서로 다른 회원 데이터의 수를 세세요.
정상 이용에서는 1이므로, 2 이상이면 담당자에게 경고하세요. 용량 기준 모니터링은 천천히 적은 양씩 가져가는 조회를 놓칩니다. 이 방식은 맞지 않는 첫 기록을 바로 잡아냅니다. 기록에 누구의 데이터가 반환되었는지 남아 있지 않다면, 우선 그것부터 기록하세요.
기능을 하나씩 끌 수 있도록 만드세요
문제를 찾은 뒤 Lawson은 App Reservation 기능을 중단했습니다. 회원 서비스에서는 다른 기능은 계속 돌아가는 상태에서 한 기능만 끌 수 있는 스위치가 있으면, 발견부터 차단까지 걸리는 시간이 줄어듭니다.
이 사이트의 견해: 한 사용자의 데이터만 보여줘야 하는 기능이 모니터링하기 가장 쉽습니다
용량 기준 모니터링은 악용과 정상 부하를 구분하기 어렵습니다. 사용자 본인의 데이터를 보여주는 기능은 정상 형태가 분명합니다. 로그인 한 번에 회원 한 명이므로, 서로 다른 회원 수를 세는 것만으로도 이상을 찾을 수 있습니다. Lawson ID 사건에서는 무단 접근(9월 12일–14일)과 발견(10월 7일) 사이에 약 3주가 지났습니다. 이런 계산은 운영자가 가장 먼저 알아차릴 수 있는 저비용 방법입니다.
출처 (공개 기록)
이 글의 사실은 아래의 공개 기록에서 가져왔습니다. 공개되지 않은 기법에 대해서는 추측하지 않습니다.
- Lawson, Inc., 제3자의 무단 접근으로 인한 개인정보 유출에 대한 사과 공지(2026년 10월 8일, 10월 13일 및 19일 추가 공지, 일본어) — lawson.co.jp
- Lawson, Inc., 회사 메일 서버 악용으로 발송된 의심스러운 이메일에 대한 공지(2026년 10월 1일, 별도 공지, 일본어) — lawson.co.jp
- Lawson, Inc., Lawson을 사칭한 의심스러운 이메일과 가짜 웹사이트에 대한 경고(2026년 6월 5일, 일본어) — lawson.co.jp
업데이트 기록
2026-10-20: 10월 19일 추가 공지를 반영했습니다. Lawson App Reservation이 재개되었으며, 사용 전에 앱을 업데이트해야 합니다.
2026-10-14: 10월 13일 추가 공지를 반영했습니다. 개별 이메일의 발신 주소로 "lawson_id@id.lawson.jp"가 추가되어 현재 두 개가 되었습니다. 추가 조사 결과는 아직 공개되지 않았습니다.
2026-10-11: 공식 공지와 대조했습니다. 10월 1일 별도 사건(발신 주소가 제3자처럼 위장됨)에 대한 설명과 경찰 상담 안내의 출처(6월 5일 경고)를 수정했습니다.
2026-10-10: 10월 8일 Lawson 공지를 바탕으로 한 첫 버전입니다(10월 10일 기준 후속 발표 없음). App Reservation 재개나 추가 조사 결과가 발표되면 업데이트합니다.
다음으로 읽을 글
- 포인트 교환 서비스 사례: Wills가 운영하는 Netmile 무단 접근(최대 약 549만 명)
- 유사 사례: MrMax 앱 및 온라인 스토어 개인정보 유출 / Capcom CAPCOM ID 침해 사고
- 운영자를 위한 자료: IDOR이란? / 인증 vs. 권한 부여
- 가짜 메시지와 비밀번호: 피싱이란? / 비밀번호가 유출되었는지 확인하는 방법
- 2026년의 다른 사고: 2026년의 데이터 유출과 사이버 공격