대상: Lindt 일본 온라인 숍 및 공식 앱 회원, 그리고 외부 전자상거래 플랫폼에서 회원 사이트를 운영하는 모든 사람. 이 글은 Lindt & Sprüngli Japan의 공식 안내와 업체의 자체 안내를 바탕으로 작성되었으며, 공격 또는 사기 수법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 26일 기준아직 알려지지 않음
- 공격 방법의 세부 사항(회사는 공개하지 않겠다고 밝힘)
- 외부 보안 업체 조사 결과
- 비밀번호에 사용된 해시 방식
- 온라인 숍 재개 시점 및 비밀번호 변경 방법
- 재발 방지를 위한 구체적 조치
회사는 10월 23일 안내에서 새로운 사실이 확인되면 신속하게 안내 페이지에 게시하겠다고 밝혔습니다. 이 사이트가 10월 26일 페이지를 확인했을 때 추가된 내용과 후속 발표는 없었습니다.
Lindt 재팬 회원이 오늘 해야 할 일
영향을 받았는지 확인하세요: 10월 26일 이후 발송된 이메일을 찾아보세요
영향을 받은 데이터는 온라인 숍과 공식 앱에 등록된 회원의 데이터입니다. 데이터가 빠져나간 10월 18일 0:16 이전에 이미 회원 탈퇴를 한 사람은 포함되지 않습니다.
회사는 10월 26일(월)부터 등록된 주소로 영향을 받은 회원에게 이메일을 보내며, 이메일을 받지 못한 사람에게는 안내 페이지가 통지 역할을 한다고 밝혔습니다. 이메일이 진짜인지 확실하지 않다면 메일의 링크를 사용하지 말고, 공식 사이트의 안내를 직접 여세요.
다른 곳에서 Lindt 비밀번호를 사용했다면 지금 변경하세요
유출된 항목에는 로그인 비밀번호가 포함됩니다. 회사는 비밀번호를 해시 처리(그대로 읽을 수 없는 형태로 변환)하여 저장했다고 밝혔지만, 해시 방식은 공개하지 않았습니다. 짧거나 흔한 비밀번호는 시간이 지나면 알아낼 수 있는 경우가 있습니다(비밀번호 해싱이란? 참고).
회사는 또한 다른 서비스에서 같은 비밀번호를 사용하는 회원에게 그곳에서도 변경할 것을 요청합니다. 서비스마다 다른 비밀번호를 사용하고, 가능한 곳에서는 2단계 인증을 켜세요(2단계 인증 시작하기 참고).
재개 안내가 나오면 Lindt 비밀번호 자체를 변경하세요
온라인 숍이 중단된 동안에는 Lindt 비밀번호를 변경할 수 없습니다. 회사는 숍이 재개되면 회원에게 비밀번호 변경을 요청할 계획이며, 방법은 안내 페이지에서 설명하겠다고 밝혔습니다.
이메일이나 문자가 링크를 통해 지금 바로 비밀번호를 변경하라고 요구하더라도 해당 링크를 사용하지 마세요. 직접 여는 공식 사이트에서 절차를 확인하세요.
Lindt를 사칭한 이메일, 문자, 전화 또는 우편의 안내를 따르지 마세요
회사는 유출된 데이터가 회사 또는 온라인 숍을 사칭한 의심스러운 이메일, 문자, 전화 또는 우편에 악용될 수 있다고 경고합니다. 회사는 이메일이나 전화로 비밀번호나 신용카드 정보를 요구하는 일은 결코 없다고 밝혔습니다.
주소와 전화번호도 유출되었으므로, 가짜 연락은 이메일로만 오지 않을 수 있습니다. 전화로 요청을 받으면 끊고, 공식 안내에 나온 번호로 다시 거세요(피싱이란? 참고). 회사는 의심스러운 연락을 안내 페이지의 문의처로 신고할 것을 요청합니다.
생년월일, 등록 매장, 마지막 로그인이 중요한 이유
이름, 주소, 전화번호에 더해 생년월일, 회원이 주로 이용하는 매장으로 등록한 매장, 등록일, 마지막 로그인 날짜까지 유출되었습니다. 이런 정보가 함께 있으면 가입 시기나 이용 매장을 정확히 언급한 메시지를 만들 수 있습니다. 세부 정보가 정확하다고 해서 그 메시지가 진짜라는 증거가 되지는 않습니다.
무슨 일이 있었나요(Lindt 재팬 안내 기준)
2026년 10월 23일, Lindt & Sprüngli Japan K.K.는 공식 사이트에 "업체에 대한 무단 접근으로 인한 개인 정보 유출에 대한 사과 및 안내"를 게시했습니다. 별도 언급이 없는 한 아래 내용은 모두 이 안내를 바탕으로 합니다. 회사는 이 사실들이 업체의 보고를 근거로 하며, 조사가 계속되면서 바뀔 수 있다고 밝혔습니다.
2026년 10월 17일 23:02 ~ 10월 18일 0:16(일본 시간)
업체 서버에서 사용되던 소프트웨어의 취약점이 악용되어 외부에서 접근이 이루어졌고, 온라인 숍과 공식 앱이 공유하는 회원 계정 데이터가 빠져나갔습니다(업체 보고).10월 19일(월)
업체가 회사에 사고를 보고했습니다. 업체는 침입 경로를 확인하여 차단했고, 악용된 취약점에 대한 조치를 적용했습니다(업체 보고). 업체의 자체 안내에 따르면, 시스템 모니터링 중 약 15:30에 의심스러운 접근을 발견했습니다.10월 21일(수) 16:00
추가 피해를 막기 위해 온라인 숍이 중단되었습니다.10월 23일(금)
회사는 공식 사이트에서 이번 사고를 발표했습니다. 전용 회원 상담 전화는 11:00에 개설되었습니다. 발표 당시 회사는 업체와 공동으로 일본 개인정보보호위원회에 보고했으며, 업체가 경찰과 상담 중이라고 밝혔습니다.10월 26일(월)
등록된 주소로 영향을 받은 회원에게 이메일 발송이 예정되어 있습니다(회사).
- 범위
- 온라인 숍과 공식 앱에 등록된 회원 데이터(하나의 공유 회원 계정). 10월 18일 0:16 이전에 탈퇴한 회원은 포함되지 않음
- 건수
- 3,147,469
- 항목
- 회원 ID, 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일, 성별, 뉴스레터 설정, 등록 매장
- 비밀번호
- 로그인 비밀번호(해시 처리하여 저장)
- 기타 회원 데이터
- 이름 읽기(후리가나), 등록 날짜 및 시간, 마지막 로그인 날짜 및 시간 등
- 포함되지 않음
- 신용카드 정보 등 결제 데이터. 온라인 숍은 카드 정보를 저장하지 않음
- 악용
- 유출된 데이터의 악용은 확인되지 않음(10월 23일 11:00 기준)
- 원인
- 업체 서버에서 사용되던 소프트웨어 취약점의 악용. 공격 세부 사항은 공개되지 않음
- 문의
- 회원 전용 상담 전화 0120-713-065(주말 및 공휴일 포함 9:00–21:00), 이메일 privacy-incident-jp@lindt.jp. 공식 사이트의 문의 양식도 이용할 수 있음. 회사는 문의에 대한 답변이 안내문에 기재된, lindt.jp가 아닌 발신 주소에서 올 수 있다고 밝힘
업체 안내와의 관계
온라인 숍 시스템을 제공하는 업체(전자상거래 플랫폼 제공사)도 10월 23일 자사 사이트에서, 고객사 중 한 곳(매장 이름은 밝히지 않음)의 회원 데이터 3,147,469건이 유출되었다고 발표했습니다. 업체는 같은 방식이 다른 매장의 데이터 접근에 사용된 흔적은 발견하지 못했다고 밝혔습니다. 10월 25일 안내에서는 10월 21일에 감지된 별도의 무단 접근과 10월 21–22일의 장시간 플랫폼 전체 유지보수는 이번 사고와 관련이 없다고 설명했습니다.
연락처 정보
이메일, 우편 주소, 전화번호
개인 속성
이름, 이름 읽기, 생년월일, 성별, 회원 ID
로그인 및 이용 데이터
해시 처리된 비밀번호, 등록 매장, 가입일, 마지막 로그인
↓ 일반적으로 발생할 수 있는 일
개인 정보를 아는 가짜 메시지
비밀번호 재설정, 사과 또는 포인트를 사칭
재사용된 비밀번호로 다른 서비스에 로그인 시도
비밀번호가 해독되는 경우
↓ 예방을 위해
안내를 무시하고 공식 사이트를 확인하며, 재사용한 비밀번호를 변경하세요
확인된 내용과 확인되지 않은 내용
2026년 10월 26일 기준, 회사의 10월 23일 안내와 업체의 안내를 바탕으로 합니다. 후속 발표가 나오면 상태 열을 업데이트할 예정입니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 회원 ID, 이름, 이메일, 주소, 전화번호, 생년월일, 성별 | 회원 데이터로 유출 | 유출 확인됨(회사) |
| 뉴스레터 설정, 등록 매장 | 회원 데이터로 유출 | 유출 확인됨(회사) |
| 이름 읽기, 등록일, 마지막 로그인 등 | "회원 데이터로 관리되는 기타 정보"로 유출 | 유출 확인됨(회사) |
| 로그인 비밀번호 | 유출; 해시 처리하여 저장 | 유출 확인됨(회사) |
| 해시 방식 | 명시되지 않음 | 명시되지 않음 |
| 신용카드 등 결제 데이터 | 포함되지 않음; 카드 정보 미저장 | 포함되지 않음(회사) |
| 건수 | 3,147,469건; 10월 18일 0:16 이전 탈퇴 회원 제외 | 확인됨(회사) |
| 무단 접근 시간 | 10월 17일 23:02 ~ 10월 18일 0:16 | 확인됨(회사, 업체 보고 기준) |
| 원인 | 업체 서버에서 사용되던 소프트웨어 취약점 악용에 의한 무단 접근 | 확인됨(회사, 업체 보고 기준) |
| 공격 방법 등 세부 사항 | 재발 및 추가 피해 방지를 위해 공개하지 않음 | 공개되지 않음(회사) |
| 악용된 소프트웨어 이름 | 안내에 제시되지 않음 | 명시되지 않음 |
| 악용 또는 2차 피해 | 확인되지 않음(10월 23일 11:00 기준) | 확인되지 않음(회사) |
| 다른 매장에 대한 영향 | 다른 매장 데이터에 같은 방식이 사용된 흔적 없음 | 확인되지 않음(업체) |
| 외부 보안 조사 | 업체가 계획 | 조사 중 |
| 회원 개별 안내 | 10월 26일부터 등록된 주소로 이메일 발송 | 확인됨(회사) |
| 숍 재개 및 비밀번호 변경 | 날짜는 안내 페이지에 발표 예정; 재개 시 비밀번호 변경 요청 예정 | 명시되지 않음(날짜 미정) |
이름, 주소, 생년월일, 해시 처리된 비밀번호가 함께 유출되면 무슨 일이 생길 수 있나요
일반적으로 연락처와 개인 속성이 함께 유출되면, 수신자가 진짜라고 믿을 만한 메시지를 만들기 쉬워집니다. 해시 처리된 비밀번호는 그대로 로그인에 쓸 수 없지만, 짧거나 흔한 비밀번호는 알아낼 수 있는 경우가 있습니다(이번 사고에서 그런 일이 있었다는 발표는 없습니다).
일반적으로 발생할 수 있는 일
- "비밀번호를 변경해야 합니다"라는 이메일이나 문자가 가짜 로그인 페이지로 연결되는 경우
- 사과 또는 포인트 보상을 사칭해 카드 정보를 요구하는 메시지
- 같은 비밀번호를 재사용한 경우, 알아낸 비밀번호로 다른 서비스 로그인을 시도하는 경우
할 수 있는 일
- 안내는 직접 연 공식 사이트에서 확인하세요
- 재사용한 다른 서비스의 비밀번호를 지금 변경하세요
- 비밀번호나 카드 번호를 요구하는 사람에게는 절대 제공하지 마세요
같은 시기에 이름, 주소, 해시 처리된 비밀번호가 유출된 또 다른 사고는 Furusato Choice 유출 사고입니다. 재사용한 비밀번호가 유출되었는지 확인하려면 비밀번호 유출 여부 확인 방법을 참고하세요.
외부 전자상거래 플랫폼에서 회원 사이트를 운영하는 사람들을 위해
관련 소프트웨어와 방법은 공개되지 않았으므로, 이 섹션은 공개된 사건 경과에서 드러나는 내용으로만 한정합니다. 업체의 대응 수준을 평가하는 내용이 아닙니다.
숍이 중단된 동안에도 회원이 비밀번호를 변경할 방법을 마련하세요
여기서 온라인 숍과 공식 앱은 하나의 회원 계정을 공유하며, 숍 중단은 비밀번호 변경도 막았습니다. 회사는 재개 시 비밀번호 변경을 요청할 계획입니다. 판매를 중단하더라도 비밀번호 재설정이나 기존 세션 로그아웃을 별도로 유지할 수 있는지 미리 확인하세요. 그래야 유출 직후 회원을 보호할 수 있습니다.
계약 단계에서 업체가 사고를 보고한 뒤의 절차를 정해 두세요
이번 사례에서 업체는 접근을 발견한 날(10월 19일) 보고했고, 회사는 이후 숍을 중단하고(10월 21일), 발표하며 전용 회선을 열었고(10월 23일), 회원에게 이메일을 보내기 시작했습니다(10월 26일부터). 업체 사고의 경우, 계약서나 운영 매뉴얼에 누가 숍 중단을 결정하고, 누가 발표문을 작성하며, 누가 규제 기관에 보고할지(이번에는 공동으로 보고함)를 정해 두면 결정에 걸리는 시간을 줄일 수 있습니다.
탈퇴한 회원의 데이터는 보관하지 마세요
회사에 따르면, 데이터가 빠져나갈 때 이미 탈퇴한 회원은 포함되지 않았습니다. 탈퇴자의 데이터를 삭제하면 유출 규모를 그만큼 줄일 수 있습니다. 탈퇴 또는 장기간 미이용 회원의 데이터를 언제 삭제할지 정하고, 업체 시스템에서도 실제로 삭제되는지 확인하세요.
유출되더라도 알아내기 어렵도록 비밀번호를 저장하세요
회사는 비밀번호를 해시 처리하여 저장했다고 밝혔습니다. 기본 원칙은 회원 비밀번호를 평문이나 복호화 가능한 형태로 저장하지 않는 것이며, bcrypt 또는 Argon2와 같이 느리고 솔트(salt)를 사용하는 해시를 쓰는 것입니다. 외부 플랫폼을 이용한다면 어떤 방식을 쓰는지 확인하세요. 해시와 솔트를 이용한 비밀번호 저장을 참고하세요.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 세부 사항이나 원인은 추측하지 않았습니다.
- Lindt & Sprüngli Japan K.K., "업체에 대한 무단 접근으로 인한 개인 정보 유출에 대한 사과 및 안내"(2026년 10월 23일, 일본어, 10월 26일 확인) — lindt.jp
- 업체(전자상거래 플랫폼 제공사), "중요: 무단 접근으로 인한 개인 정보 유출에 대한 사과 및 안내(첫 보고)"(2026년 10월 23일, 일본어) — 업체 안내
- 같은 업체, "PHP 취약점 대응을 위한 장시간 유지보수 및 무단 접근 사고에 대한 사과 및 설명"(2026년 10월 25일, 일본어) — 업체 안내
업데이트 기록
2026-10-26: 최초 버전. Lindt & Sprüngli Japan의 10월 23일 안내와 업체의 10월 23일 및 25일 안내를 바탕으로 작성. 조사 또는 숍 재개에 대한 후속 발표가 나오면 업데이트합니다.
다음으로 읽기
- 같은 시기의 회원 데이터 유출: FANCL 및 Attenir 온라인 스토어 유출 / Furusato Choice 유출 사고
- 같은 주의 식품 브랜드 사고: Fujicco 캠페인 응모 데이터 유출 가능성
- 가짜 이메일 대비: 피싱이란?
- 비밀번호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 선택하기
- 2026년 기타 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)