마쓰야 앱 관리 시스템 유출(2,377,127건 및 앱 회원): 이름, 전화번호, 배달 주소 유출, 회원이 해야 할 일

유출 항목에는 이름과 전화번호, 그리고 배달 주소(마쓰벤 넷 등) 또는 생년월일과 이메일 주소(앱 회원)가 포함됩니다. 이 정도면 정확한 이름과 정확한 주소가 적힌 진짜 같은 메시지가 만들어질 수 있습니다.

포인트가 곧 소멸한다, 회원 등급이 초기화된다, 사과 쿠폰이나 보상을 준다는 메시지라면 링크를 열지 말고 공식 사이트나 공식 SNS 계정을 직접 열어 확인하세요(식별 방법: 피싱이란?).

별도 공지에서 회사는 2026년 9월 26일부터 10월 28일 사이에 앱 버전 MATSUYA PASS를 구매한 사람에게 식권기에서 사용할 수 있는 전용 QR 코드를 2026년 11월 1일까지 이메일로 보낼 예정이라고 밝혔습니다. 회사가 실제로 보낼 예정인 이메일이야말로 가짜가 끼어들기 쉬운 곳입니다.

그런 이메일의 링크는 열지 말고, 먼저 회사 공식 사이트의 공지를 확인하세요. 회사는 이메일이나 전화로 비밀번호나 신용카드 정보를 요구하지 않는다고 밝혔습니다.

앱 회원의 경우 암호화된 비밀번호, 이메일 주소, 생년월일이 유출되었습니다. 암호화 방식과 강도는 공개되지 않았으므로, 마쓰야 계정과 같은 비밀번호를 다른 서비스에서 쓰고 있다면 그쪽을 먼저 바꾸세요.

비밀번호 관리자가 현실적인 정리 방법입니다. 재사용한 비밀번호가 과거 유출에 포함되었는지는 비밀번호 유출 여부 확인 방법에서 확인할 수 있습니다. 마쓰야 앱은 중단된 상태이므로, 앱 쪽 비밀번호는 복구된 뒤 회사의 공식 안내에 따라 변경하세요.

마쓰벤 넷, 모바일 오더, 마쓰벤 딜리버리의 데이터에는 배달 주소와 전화번호가 포함됩니다. 택배사를 사칭한 문자("배송하지 못했습니다", "주소를 확인할 수 없습니다")는 이름과 주소가 일치하면 마쓰야와 무관한데도 진짜처럼 보일 수 있습니다.

전화번호와 주소는 바꾸기 어려우므로 이런 메시지가 계속 올 수 있습니다. 휴대폰의 스팸 전화와 스팸 문자 필터를 켜 두면 줄일 수 있습니다(스마트폰 보안 기본).

회사는 이번 사건에 대한 개인정보 문의 창구를 안내하고 있습니다(전화 0422-38-1121, 평일 10:00부터 16:00까지, 주말과 공휴일 휴무, 음성 안내 후 1번을 누름. 이메일 주소도 공지에 있음). 받은 메시지에 적힌 연락처가 아니라 마쓰야 공식 사이트의 연락처를 이용하세요.

이번에 노려진 것은 앱과 주문 서비스 이용자의 데이터를 보유한 관리 시스템이었습니다. 관리 화면과 관리 API는 고객용 화면보다 권한이 크므로, 누가 어디에서 열 수 있는지 파악하세요.

인터넷의 누구에게나 열어 두지 말고, 접속 가능한 주소를 제한하고 다중 인증을 요구하세요(다중 인증 가이드 참조).

이번에는 앱 회원과 모바일 오더, 딜리버리 등 주문 서비스 이용자가 공용으로 보이는 관리 시스템을 통해 영향을 받았습니다. 서비스가 공통 기반을 공유하면, 한 번의 침해가 여러 서비스의 이용자에게 미칠 수 있습니다.

공용 기반에 어떤 데이터가 있는지, 각 서비스가 볼 수 있는 범위가 분리되어 있는지 확인하세요. 조회량 제한과 통지에 대해서는 야키니쿠 킹 앱 사례에서도 다뤘습니다.

회사는 신용카드 정보를 보유하지 않는다고 밝혔습니다. 마찬가지로 주문에 필요하지 않은 항목(생년월일, 과거 주소 등)을 보관하고 있지 않은지 정기적으로 점검하세요.

비밀번호는 절대 평문으로 저장하지 말고, 솔트를 사용하는 강력한 방식으로 저장하세요(비밀번호 저장, 해시, 솔트).