대상 독자: 서비스 또는 내부 시스템을 보호하는 책임을 맡은 사람, 그리고 뉴스에서 이 기관들의 이름을 보고 정확한 사실을 알고 싶은 모든 분. 이 글은 각 기관의 공식 발표를 1차 자료로 비교하며, 공격 기법은 다루지 않습니다.
먼저 확인하십시오: 나도 영향을 받았습니까?
뉴스에서 이 기관들의 이름을 보고 여기까지 왔다면, 핵심은 내가 대상에 포함되는지, 그리고 무엇을 해야 하는지입니다. 이 섹션은 그 질문에 답하며, 나머지 부분은 시스템을 방어하는 사람을 위한 내용입니다. 대상 규모는 각 기관이 발표한 수치이며, 조치 사항은 고객이나 직원이 오늘 바로 할 수 있는 일입니다.
- KDDI(ISP에 판매된 메일 플랫폼)
- 대상: 영향을 받은 ISP의 메일을 사용한 모든 분(ISP가 직접 연락합니다). 오늘 할 일: ISP가 비밀번호를 강제로 재설정했으므로, 실제로 해야 할 일은 같은 비밀번호를 재사용한 다른 모든 서비스의 비밀번호를 변경하는 것입니다. 일본 총무성은 약 762만 명 사용자의 메일 내용이 열람 가능한 상태였을 수 있다고 밝혔으므로, 메일함에 남아 있는 비밀번호 안내나 일회용 인증번호는 노출된 것으로 간주하고 다시 발급받으십시오.
- Aflac 생명보험 재팬
- 대상: 보험계약자와 대리점. 오늘 할 일: 약 22만 명의 은행 이체 정보가 대상에 포함되어 있습니다. 계좌 거래 내역을 확인하고, 이상이 있으면 은행과 회사 모두에 문의하십시오. 회사를 자칭하는 메시지는 메시지 안의 링크나 번호를 쓰지 말고 공식 사이트에 직접 접속하십시오.
- 디지털청(GSS)
- 대상: 정부 직원 및 해당 시스템에서 일한 계약 직원. 청은 일반 대중의 데이터는 포함되지 않았다고 밝혔습니다. 오늘 할 일: 이름, 주소, 전화번호를 이용한 사칭 시도가 있을 수 있습니다(VPN 기사 참고).
- Sakura Internet
- 대상: 호스팅 고객 여부와 관계없이 회원 가입을 한 모든 분. 오늘 할 일: 재사용한 비밀번호는 모두 변경하고, 가입 시 발급받은 초기 비밀번호를 아직 쓰고 있다면 오늘 변경하십시오(절차는 호스팅 업체 침해 기사에 있습니다).
서비스를 방어하는 입장이라면 다음이 더 중요합니다. 네 가지 침입 경로는 공통점이 없지만, 복구 계획은 같은 방향을 가리킵니다.
네 가지 사례 비교(각 기관 발표 기준)
| 기관(발표) | 규모(발표 기준) | 침입 경로(발표 기준) | 시작부터 발견까지 |
|---|---|---|---|
| KDDI(6월 23일부터) | 확인된 노출: 12,231,954명의 이메일 주소, 7,616,173명의 비밀번호 | 시스템에 내장된 제3자 소프트웨어의 취약점 — 발견 당시 공급업체도 인지하지 못함 | 5월 16일 시작 → 6월 17일 확인(약 한 달) |
| Aflac 생명보험 재팬(6월 30일부터) | 고객 약 440만 명(이 중 은행 정보 약 22만 명), 대리점 약 4만 곳 | "온라인 상담"과 "요리소우넷"의 접근 및 데이터 조회 방식에 대한 통제 부족 | 첫 유출 6월 10일 → 6월 25일 발견(15일) |
| 디지털청(9월 11일) | 직원 등의 기록 약 24만 6,000건이 노출되었을 가능성 | VPN 장비 취약점(장관 발언에 따르면 이미 알려진 취약점, 청 Q&A에 따르면 CVSS "Medium") | 발표문에 시작 시점 없음. 보도에 따르면 5월 말부터 대량 접근 → 6월 25일 탐지 |
| Sakura Internet(8월 17일부터) | 회원 계정 1,360,563개가 대상일 가능성, 호스팅 계정 951개 | 모방 공격을 막기 위해 비공개 | 판매 시스템: 2023년 4월 – 2026년 3월 → 2026년 8월 9일 다른 이상 징후로 탐지(약 3년) |
이 표를 피해 규모의 순위로 읽지 마십시오
이 표의 수치는 확실성의 정도가 같지 않습니다. KDDI와 Aflac은 데이터 노출이 확인된 사람 수를 보고했고, 디지털청은 노출 가능성이 있는 데이터를 보고했으며, Sakura Internet은 대상으로 추정되는 총계를 보고했습니다. 시스템도 다르고 보유한 데이터의 종류도 다릅니다.
인원수로 순위를 매기는 것은 의미가 없으며, 이 사이트는 그렇게 하지 않습니다. 비교할 가치가 있는 것은 각 기관이 무엇을 배웠다고 밝혔는지, 즉 복구 계획입니다.
각 기관이 발표한 내용
- 무엇
- KDDI가 ISP를 위해 개발한 메일 플랫폼(계정 관리, 송수신, 웹메일, 메일 저장을 하나의 시스템에서 처리)에 대한 무단 접근. KDDI는 자사의 au 메일 및 관련 서비스는 별도 장비에서 운영되어 영향을 받지 않았다고 밝혔습니다
- 원인
- "이 시스템에 설치된 제3자 소프트웨어의 취약점 악용". 확인 시점인 6월 17일 기준으로 "소프트웨어 공급업체가 인지하지 못한 취약점"이었습니다
- 규모
- 최초 공지(6월 23일)에서 최대 1,422만 명이 가능성으로 제시되었습니다. 7월 6일 보고서(7월 21일 정정)에서는 12,231,954명의 이메일 주소와 7,616,173명의 비밀번호 노출이 확인되었습니다
- 행정 조치
- 2026년 7월 29일 일본 총무성은 이 사고와 관련해 통신의 비밀 보호에 관한 지도를 발표했습니다. 발표문에 따르면 "약 762만 명 사용자의 메일함 내용이 열람 가능한 상태였던 것으로 확인되었다"고 합니다
- 대응
- ISP와 협력한 비밀번호 변경, 사용 빈도가 낮은 계정에 대한 ISP의 강제 재설정 포함. 6월 21일까지 외부 통신을 제어하는 모든 서버에 EDR 도입. 향후 더 안전한 통신 표준으로 전환할 예정
- 무엇
- 대리점이 원격으로 보험 설계와 신청에 사용하는 "온라인 상담" 및 계약자용 웹 서비스 "아플락 요리소우넷"에 대한 무단 접근. Aflac은 다른 시스템에서는 유사한 유출을 확인하지 못했다고 밝혔습니다
- 원인(7월 31일 조사 결과)
- "이번 공격에 사용된 접근 및 데이터 조회 방식에 대한 통제가 부족했다". 탐지 및 차단 기능은 있었지만 "접근 형태가 정상 이용 때와 같아 무단 접근으로 즉시 탐지되지 못했다". 또한 "짧은 시간 내 대량의 데이터 조회를 모니터링하고 통제하는 기능이 부족했다"
- 사전 조치
- 설계 단계의 보안 검토와 출시 전 침투 테스트는 수행되었지만, "이번 공격에 사용된 방식의 위험은 예상하지 못했다"
- 규모
- 고객 약 440만 명(보험료 납부용 은행 정보 포함 약 22만 명)과 대리점 약 4만 곳. 마이넘버, 카드 정보, 이메일 주소는 포함되지 않았습니다
- 무엇
- 여러 부처와 기관의 직원이 공유하는 업무 환경에 대한 무단 접근. 청은 일반 국민의 개인 정보는 포함되지 않았다고 확인했다고 밝혔습니다
- 원인
- "제3자가 네트워크 연결 장비(VPN)의 취약점을 악용해 시스템에 침입함". 제품명과 취약점 식별자는 공개되지 않았습니다
- 후속 조치(기자회견 요약)
- 청이 공개한 9월 11일 기자회견 요약에 따르면, 디지털 담당 장관은 "취약점을 인지하고 있었으며 이미 알려진 취약점이었다"고 말했고, "긴급도가 높게 평가되지 않아" 심각도 등급에 따라 처리하고 있었으며, "순서대로 패치를 적용하는 작업이 진행 중이었고, 그 사이에 해킹을 당했다"고 밝혔습니다. 현재 패치는 적용되었습니다. 청 Q&A(9월 12일 갱신)에는 CVSS "Medium"이 명시되어 있습니다. 5월 말 대량 접근이 시작되었다는 내용은 보도에서 나온 것이며, 요약, 발표문, Q&A 어디에도 나오지 않습니다
- 탐지
- 6월 25일 유지보수 업체 담당자의 계정을 사용한 서버 파일에 대한 대량 접근이 탐지되었습니다. 자세한 내용은 VPN 장비는 랜섬웨어의 주요 침입 경로다에서 다룹니다
- 무엇
- 계약 기록을 보관한 판매 관리 시스템과 공유 호스팅 환경 일부에 대한 무단 접근. 회사는 두 가지를 연결하는 명확한 근거는 없다고 밝혔습니다
- 기간
- 판매 관리 시스템에 대한 무단 접근은 "2023년 4월부터 2026년 3월까지" 이루어졌습니다. 2026년 8월 9일 호스팅 유지보수 서버의 이상 징후로 탐지되었습니다
- 원인
- 침입 경로는 모방 공격을 막기 위해 비공개입니다. 회사는 일부 초기 비밀번호가 해시 처리되지 않았다는 사실도 밝혔습니다. 고객이 해야 할 일은 웹 호스트가 침해되었을 때 해야 할 일에서 다룹니다
네 기관이 공통으로 취한 대응: 탐지 강화
침입 방식으로 비교하면 네 사례는 공통점이 없습니다. 그러나 각 기관이 스스로 작성한 복구 계획을 나란히 놓으면 같은 표현이 반복해서 나타납니다.
각 기관이 언급한 탐지 조치
- KDDI: 무단 접근 탐지를 강화하기 위해 외부 통신을 제어하는 모든 서버에 EDR 도입(6월 21일 완료)
- Aflac: 애플리케이션과 보안 장비에서 대량 접근에 대한 모니터링과 통제 강화
- Sakura Internet: 조기 탐지를 위한 모니터링 및 탐지 범위 확대, 보안 로그의 범위, 보관, 분석 검토
디지털청은 탐지가 작동한 사례였습니다
- 탐지의 계기는 유지보수 업체 담당자 계정을 사용한 대량 파일 접근이었습니다
- 침입을 막지는 못했지만, 데이터 양의 이상 징후 덕분에 청은 피해 범위를 파악하고, 계정을 정지하고, 통신을 차단할 수 있었습니다
- 청의 복구 조치 — "취약점 관리 검토"와 "외부 연결 개선" — 는 침입 예방에 관한 것입니다
정상 이용
로그인 → 본인 보험 조회 → 몇 건 열람
정상 이용을 닮은 공격
로그인 → 조회 → 열람 (지금까지는 동일)
데이터 양
사람당 몇 건인가, 아니면 수만 건인가?
속도
사람의 속도인가, 기계의 속도인가?
기간
충분히 거슬러 올라갈 수 있는 로그가 있는가?
자사 조직에서 오늘 해야 할 일
데이터를 반환하는 모든 기능에 양 제한과 경고를 설정하십시오
Aflac이 원인으로 꼽은 것 중 하나는 "짧은 시간 내 대량의 데이터 조회를 모니터링하고 통제하는 기능이 부족했다"는 점입니다. 고객 데이터를 반환하는 모든 API나 화면에 요청당 및 시간당 레코드 수 상한을 두고, 사용량이 상한에 가까워지면 담당자에게 경고가 가도록 하십시오. 유효한 로그인이 있더라도 짧은 시간에 수만 건의 레코드를 가져가는 것은 사람이 시스템을 사용하는 방식으로 보이지 않습니다. 무엇을 셀지, 사용자별로 얼마까지 허용할지는 요청 제한과 남용 통제에서 다룹니다.
측정할 수 있는 계층은 세 곳입니다.
애플리케이션: 검색, 목록, 내보내기 경로에서 계정별 레코드 수를 셉니다. 누가 얼마나 가져갔는지 아는 계층은 이곳뿐입니다.
그 앞단: nginx limit_req 또는 CDN의 요청 제한 규칙으로 엔드포인트별 초당 또는 분당 요청 수를 제한합니다.
플랫폼: Google Workspace의 경고 센터와 Microsoft 365의 감사 로그 및 경고 정책으로 대량 다운로드와 내보내기를 알릴 수 있습니다(사용 가능한 기능은 요금제에 따라 다릅니다).
가장 많은 레코드를 반환하는 엔드포인트 하나부터 시작하십시오. 계정별 시간당 상한을 두고, 상한의 80%에 도달하면 경고를 보내십시오. 실제로 사람에게 알림을 보내는 엔드포인트 하나가, 아직 설계 중인 완벽한 계획보다 낫습니다.
필요한 만큼 되돌아볼 수 있도록 로그를 보관하십시오
Sakura Internet 사례에서 판매 관리 시스템 접근은 드러나기 약 3년 전부터 시작되었습니다. 문제를 알아챘을 때 해당 기간의 로그가 없다면, 무엇이 일어났고 무엇이 일어나지 않았는지 말할 수 없습니다. Sakura도 로그의 범위와 보관 기간을 검토하는 것을 복구 계획에 포함했습니다. 저장 공간이 몇 주밖에 허용하지 않는다면, 현실적인 방법은 최소한 인증 로그와 데이터 조회 로그를 훨씬 더 오래 보관하는 것입니다.
기준으로 삼을 수 있는 숫자가 있습니다. 결제 카드 표준(PCI DSS)은 12개월 보관, 그중 최근 3개월은 즉시 조회 가능을 요구합니다. 결제 분야 밖에서도 쓸 만한 출발점입니다.
최소한 세 가지 유형을 보관하십시오. 인증(성공과 실패), 데이터 조회와 내보내기, 관리자 작업입니다. 웹 서버 접근 로그만으로는 누가 얼마나 많은 레코드를 가져갔는지 알 수 없습니다.
알려지지 않은 취약점이 존재한다고 가정하고, 침입 이후를 알아챌 계획을 세우십시오
KDDI 사례에서 악용된 결함은 발견 당시 공급업체조차 알지 못했던 것입니다. 당시에는 수정 방법이 없었습니다. 완벽한 패치를 하더라도 일부 침입은 막을 수 없으므로, 서버에서 의심스러운 활동과 외부 송신 트래픽을 알아챌 능력이 남습니다. KDDI가 모든 서버에 도입한 EDR이 그 한 예입니다.
그래도 인터넷에 노출된 장비는 계속 패치하십시오
이것이 침입 예방이 덜 중요하다는 뜻은 아닙니다. 디지털청 사례는 VPN 장비의 취약점을 통해 침입당했습니다. 알려진 취약점을 방치하지 않는 것은 여전히 가장 비용 효율적인 방어입니다. VPN 장비에 대해서는 VPN 장비는 랜섬웨어의 주요 침입 경로다를, 작업의 우선순위는 CVSS, EPSS, KEV로 우선순위 정하기를 참고하십시오.
이 사이트의 견해: 침투 테스트는 누군가 생각해 낸 방식만 찾아낼 수 있습니다
이 사이트가 보기에 Aflac 조사 결과에서 가장 중요한 문장은 원인 자체가 아니라 다음 문장입니다. "시스템 설계 단계에서 보안 검토를 하고 출시 전 침투 테스트도 실시했지만, 이번 공격에 사용된 방식의 위험은 예상하지 못했다." 조치를 하지 않은 것이 아니라, 조치를 했음에도 아무도 예상하지 못한 방식의 공격을 받았다는 뜻입니다. 이는 어떤 조직에도 일어날 수 있습니다.
출시 전 점검은 테스트하는 사람이 생각한 방식만 시험할 수 있습니다. 따라서 남는 것은 운영 환경에서 비정상적인 데이터 양, 속도, 시점을 알아채는 것입니다. 네 곳 중 세 곳이 복구 계획에서 탐지를 언급했다는 사실은, 각 기관이 자신의 사고에서 바로 그 한계에 부딪혔다는 뜻으로 읽힙니다.
검토와 테스트는 침입 경로를 줄이고, 탐지는 침입을 알아채기까지의 시간을 줄입니다. 두 가지는 서로 다른 역할을 하며, 어느 것도 다른 것을 대체하지 못합니다.
사례와 관계없이 모든 개인이 해야 할 세 가지
여러분에게 실제로 가장 큰 위험은 유출 자체보다 그 뒤에 이어지는 후속 메시지입니다
(1) 비밀번호를 재사용하지 마십시오. KDDI 사건에서는 비밀번호 노출이 확인되었으며, 재사용한 비밀번호는 다른 계정까지 공격자에게 열어 줍니다(비밀번호 관리자가 실용적인 해결책입니다).
(2) 기관명을 사용하는 메시지의 링크나 전화번호를 사용하지 마십시오. 디지털청과 Sakura Internet은 자신들을 사칭하는 메시지에 대해 명시적으로 경고했으며, Aflac은 의심스러운 연락을 받은 사람에게 회사의 공식 전화번호로 확인하라고 요청했습니다. 공식 웹사이트에 직접 접속해 확인하십시오.
(3) 은행 정보가 관련된 경우 계좌 거래 내역을 확인하십시오. Aflac은 계좌 정보가 노출된 계약자를 위해 관련 은행과 협력하고 있다고 밝혔습니다. 이상이 있으면 거래 은행과 해당 기관 모두에 문의하십시오.
출처
위의 사실은 각 기관의 공식 발표에 근거합니다. 공개되지 않은 제품명이나 침입 경로에 대한 추측은 포함하지 않았습니다.
- KDDI Corporation, ISP용 메일 시스템 무단 접근 안내(2026년 6월 23일, 일본어) — newsroom.kddi.com
- KDDI Corporation, ISP용 메일 시스템 무단 접근에 대한 사과 및 보고(2026년 7월 6일, 7월 21일 갱신, 일본어) — newsroom.kddi.com
- Aflac Life Insurance Japan, 무단 접근 및 정보 유출에 관한 2차 보고(2026년 7월 13일, 일본어) — aflac.co.jp
- Aflac Life Insurance Japan, 조사 결과 및 복구 조치(2026년 7월 31일, 일본어) — aflac.co.jp
- 총무성(일본), KDDI에 대한 통신의 비밀 보호 지도(2026년 7월 29일, 일본어) — soumu.go.jp
- 디지털청(일본), 정부 솔루션 서비스 무단 접근을 통한 개인 정보 유출 가능성에 관하여(2026년 9월 11일, 일본어) — digital.go.jp
- 디지털청(일본), 2026년 9월 11일 디지털 담당 장관 기자회견 요약(일본어) — digital.go.jp
- 디지털청(일본), 정부 솔루션 서비스 무단 접근을 통한 개인 정보 유출 가능성에 관한 Q&A(2026년 9월 12일 갱신, 일본어) — digital.go.jp
- Nikkei xTECH(2026년 9월 11일, 일본어) — 취약점의 심각도와 대량 접근의 시작 시점은 이 보도에서 나온 내용입니다 — xtech.nikkei.com
- Sakura Internet Inc., 조사 결과 및 복구 조치(3차 보고, 2026년 9월 10일, 일본어) — sakura.ad.jp
갱신 기록
2026-10-11: 정정. 악용된 취약점의 CVSS "Medium" 등급은 보도에서만 나온 것이 아닙니다. 청 Q&A(9월 12일 갱신)에 "Medium"(CVSS Medium 수준)으로 명시되어 있습니다. 출처는 이제 청 Q&A입니다. 5월 말 대량 접근의 시작은 여전히 보도에 근거합니다.
2026-09-19: 디지털청 관련 내용을 공개된 기자회견 요약과 대조해 확인했습니다. "이미 알려진 취약점이었으며, 침입 당시 평가된 심각도 순서에 따라 패치를 진행 중이었다"는 내용은 보도가 아니라 공식 요약에서 인용하게 되었습니다. CVSS "Medium"과 "5월 말"은 여전히 보도에 근거합니다. Sakura Internet은 9월 10일 3차 보고 이후 새로 발표한 내용이 없습니다(9월 19일 확인).
2026-09-12: 두 가지를 추가했습니다. (1) KDDI 사례에서 총무성은 2026년 7월 29일 통신의 비밀에 관한 지도를 발표했습니다(약 762만 명 사용자의 메일함 내용이 열람되었을 수 있음). (2) 디지털청 사례에서 악용된 취약점은 이미 알려졌고 "Medium"으로 평가되었다고 보도되었습니다. 이는 청의 발표문에 없으므로 보도에 따른 내용으로 표기했습니다. Sakura Internet은 9월 10일 3차 보고 이후 새로 발표한 내용이 없습니다(FAQ도 여전히 9월 10일 기준으로 표시되어 있음, 2026년 9월 12일 확인).
2026-09-11: 네 기관의 공식 발표를 바탕으로 한 최초 버전.
다음으로 읽기
- 2026년 대형 사례: Yellow Hat(최대 180만 명)
- 2026년 대형 사례: Murauchi.com(770만 건의 기록)
- 2026년 대형 사례: EPARK Relax & Esthe(2,200만 건의 기록)
- 2026년 8–9월 대형 사례: ShopServe(885만 건의 기록)
- 조직 차원의 통제로 옮기기: 일본 2026년 침해 사고에서 도출한 여섯 가지 우선순위
- AI 에이전트 침입: Hugging Face 침입(2026): 자율형 AI 에이전트 공격
- Gyazo 침해(2026년 9월): 유출된 내용과 사용자가 오늘 해야 할 일
- 2026년 전체 사고(일본 및 전 세계): 영향도 등급이 포함된 침해 및 사이버 공격 타임라인
- 2026년 9월–10월 일본 기타 사고: 세이코마트 앱(약 57만 명) / 야마토 운수와 사가와 익스프레스(택배 발송인 및 수령인) / Abahouse(주문 데이터 및 가짜 환불 이메일)
- Times Car 침해(2026년 9월): 운전면허증 이미지 유출 — 회원이 해야 할 일
- 사례별 상세: 디지털청 사례와 VPN 장비 방어 / Sakura Internet 사례와 고객이 해야 할 일
- 탐지와 통제: 요청 제한과 남용 통제 / EDR이란 / 공격 지표(IoA)
- 설계: 인증과 권한 부여 / IDOR이란
- 패턴: 침입 경로별로 본 2026년 8월 공개 사고 교차 분석