대상: 일본에서 名鉄協商의 카셰어링 서비스 Cariteco의 현재 및 과거 이용자, 그리고 Cariteco 법인 계약이 있는 회사의 직원. 이 글은 名鉄協商 주식회사의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
회원이 오늘 해야 할 일
영향을 받았는지 확인하세요 — 과거 회원도 해당되며, 편지가 도달하지 않았을 수 있습니다
영향을 받는 대상은 현재 및 과거 Cariteco 회원입니다. 회사는 7월 10일과 23일에는 개인 회원에게, 8월 20일에는 법인 회원에게 우편 등의 방법으로 개별 통지를 보냈습니다. 하지만 주소 오류 등으로 일부는 전달되지 않아 온라인에도 공지를 게시했습니다.
가입 후 이사했거나 수년 전에 탈퇴했다면 통지를 받지 못했을 수 있습니다. 확실하지 않다면 名鉄協商 고객 창구(개인정보 상담 전화) 0120-353-276(평일 9:00–17:00, 일본)으로 문의하세요.
회사나 카드 발급사를 사칭하는 전화, 이메일, 편지에 응하지 마세요
대상 데이터에는 이름, 주소, 전화번호, 이메일 주소가 포함되어 있어 가짜 메시지를 진짜처럼 보이게 만드는 데 쓰일 수 있습니다. 종이 편지도 마찬가지입니다.
회사는 회원들에게 의심스러운 전화, 이메일, 우편을 경계하고, 개인정보, 인증 정보, 카드 정보를 입력하거나 제공하라는 요구에 쉽게 응하지 말 것을 당부하고 있습니다. 확인이 필요하다면 직접 찾은 공식 번호로 연락하세요(피싱이란? 참조).
카드를 등록했다면 명세서를 확인하세요
회사는 일부 회원의 카드 정보가 포함되었을 수 있다고 말하지만, 어떤 회원인지, 어떤 항목인지는 밝히지 않았습니다. Cariteco에 카드를 등록했거나 등록했을 수도 있다면, 명세서에서 인식하지 못하는 청구 내역이 있는지 확인하고, 있다면 카드 뒷면의 번호로 연락하세요. 계속 걱정된다면 카드 발급사에 상황을 설명하고 카드 번호 교체를 문의할 수 있습니다.
일본의 신용정보기관 3곳에 사기 방지 경보(자기 신고)를 등록하세요
신분증이 분실, 도난 또는 유출되어 이름이 악용될 수 있을 때 이용할 수 있습니다. 등록하면 대출 기관이나 카드 발급사가 신용정보를 조회할 때 이 내용을 확인하고 신청을 더 신중하게 검토합니다.
CIC, JICC, 전국은행개인신용정보센터는 회원사가 서로 다르므로 세 곳 모두에 등록하세요. 신용정보기관 간 차이와 경보 유효 기간은 Times Car 기사에서 다룹니다.
신용정보를 조회하고 직접 개설하지 않은 계좌가 있는지 확인하세요
사기 방지 경보가 신청을 차단하지는 않습니다. 각 신용정보기관에서 본인의 신용정보를 조회하세요. 지금 한 번, 그리고 몇 달 뒤에 다시 조회하고, 신청한 적 없는 카드나 대출이 있는지 확인하세요. 낯선 계약이나 채권 추심 통지가 오면 해당 업체와 관할 경찰서에 연락하세요.
과거 회원이라면 데이터 삭제를 요청하세요
일본 개인정보보호법은 다음 경우 사업자에게 데이터 사용 중지 또는 삭제를 요청할 수 있도록 규정하고 있습니다(제35조 제5항):
- 보고 대상 유출이 발생한 경우
- 사업자가 더 이상 데이터를 필요로 하지 않는 경우
과거 회원은 창구에 신청서 데이터가 아직 보관되어 있는지, 삭제가 가능한지 문의할 수 있습니다. 법령상 보관해야 하는 기록도 있을 수 있지만, 남아 있는 정보와 보관 기간에 대한 답변을 받는 것만으로도 의미가 있습니다.
법인 계좌 담당자: 결제 계좌가 변경되었다는 메시지에 대해 동료에게 주의를 주세요
9월 3일 공지에 따르면 법인 고객의 회사명, 주소, 연락처, 대표자 정보, 은행 계좌 정보와 Cariteco를 이용하도록 등록된 직원의 면허 정보가 대상에 포함됩니다.
"결제 계좌가 변경되었다"는 이메일이나 편지는 전화 등 다른 경로로 확인한다는 규칙을 공유하세요. 등록된 직원에게도 사기 방지 경보 옵션을 알려주세요.
무슨 일이 있었나 (名鉄協商 공지 기준)
아래 내용은 회사와 Cariteco의 공식 공지에 나온 그대로입니다.
2026년 6월 23일
회사가 서버에 대한 의심스러운 접근을 감지했습니다. 일부 서버가 중단되자 즉시 시스템을 격리하고 네트워크 연결을 차단했습니다.6월 29일
Cariteco는 장애로 인해 신규 가입, 기존 회원의 이름, 주소, 전화번호 변경, 그리고 신규 법인 가입이 중단되었다고 발표했습니다.7월 2일
회사는 부정 접근으로 인한 장애를 공개했습니다. 회사는 외부 조사에서 "6월 19일 랜섬웨어에 의한 부정 접근의 흔적을 확인했다"고 밝혔습니다. 당시 회사 외부로의 정보 유출은 확인되지 않았으며, 경찰 및 관계 기관과 협의하고 알렸습니다.7월 6일
고객 콜센터가 개설되었습니다.7월 10일 및 23일
가능한 유출과 관련한 개별 통지가 개별 Cariteco 회원에게 발송되었습니다.7월 22일
Cariteco가 신규 가입과 계약 변경 절차를 재개했습니다.7월 28일
회사는 여러 서버에 대한 공격이 확인되었고, 고객 정보의 유출 가능성을 배제할 수 없다고 말했습니다.8월 4일
Cariteco는 회원 정보의 유출 가능성에 관한 공지를 사이트에 게시하면서, 일부 개별 통지가 전달되지 않았으며 이 게시물은 이를 보완하기 위한 것이라고 설명했습니다.8월 20일
Cariteco 법인 고객에게 개별 통지가 발송되었습니다(9월 3일 온라인에도 게시).
- 개인 회원
- 신청서에 기재된 내용: 이름, 주소, 생년월일, 전화번호, 이메일 주소, 운전면허 정보
- 카드 정보
- 일부 회원의 경우 포함되었을 수 있음(어떤 회원, 어떤 항목인지는 공개되지 않음)
- 법인 고객
- 회사명, 주소, 연락처, 대표자 정보, 거래 개시 시 제공된 은행 계좌 정보, Cariteco를 이용하도록 등록된 직원의 면허 정보
- 범위
- 현재 및 과거 회원. 인원 수는 공개되지 않음
- 밝힌 원인
- 랜섬웨어에 의한 부정 접근, 여러 서버에 대한 공격 확인. 침입 경로 및 기타 세부 사항은 공개되지 않음
- 2차 피해
- 회사는 개인정보의 유출이나 오용이 확인되지 않았다고 말함
- 기타 서비스
- Cariteco 외에도 회사는 월정액 주차 고객, 포인트 카드 회원 등 여러 다른 서비스 이용자에게 개별 통지를 보냈음
- 연락처
- 名鉄協商 고객 창구(개인정보 상담 전화) 0120-353-276(평일 9:00–17:00, 일본)
해석: '운전면허 정보'가 무엇을 의미하는지는 명시되지 않았습니다
Times Car 사례에서는 운영사가 운전면허증 이미지가 포함되었다고 명확히 밝혔습니다. Cariteco 공지는 "운전면허 정보"라고만 말하고 있어, 면허증에 인쇄된 번호나 만료일 같은 내용을 가리키는지, 이미지까지 포함하는지는 불분명합니다.
어느 쪽이든 이름, 주소, 생년월일과 결합된 면허 번호는 변경할 수 없으므로, 이 글의 대응 방법은 같습니다. 새로운 내용이 공개되면 업데이트하겠습니다.
이번 사건의 특징: 랜섬웨어의 경우 서비스 복구와 유출 가능성 발견은 서로 다른 시점에 발생합니다
6월 23일 장애
서버 중단 및 격리; 신규 가입 중단
↓→
7월 2일 공개
랜섬웨어 흔적; 유출은 "확인되지 않음"
↓→
7월 22일 재개
Cariteco 가입 및 변경 재개
7월 28일부터: "유출을 배제할 수 없음" / 개별 통지(일부 전달 불가)
→ 서비스가 복구되었다고 해서 데이터가 안전한 것은 아닙니다. 회원의 예방 조치는 이 단계부터 시작됩니다
랜섬웨어 공격은 먼저 서비스가 작동을 멈추는 형태로 나타납니다. 예약이 안 되고, 가입이 중단되고, 사이트가 다운됩니다. 이용자가 가장 먼저 알게 되는 것이 이것입니다. 데이터가 빠져나갔는지는 중단된 서버를 하나씩 조사한 뒤에야 분명해집니다.
名鉄協商의 경우 7월 2일 회사는 "회사 외부로의 정보 유출은 확인되지 않았다"고 말했고, Cariteco가 가입을 재개한 뒤인 7월 28일에야 유출 가능성을 배제할 수 없다고 밝혔습니다.
이용자에게 주는 교훈은 다음과 같습니다. 서비스 장애 공지가 나오면, 그 서비스에 무엇을 맡겼는지 떠올려 보세요. 이미 탈퇴한 서비스는 특히 위험합니다. 그곳의 연락처 정보가 오래되었을 수 있고, 나중의 유출 공지가 아예 도달하지 않을 수 있기 때문입니다. 랜섬웨어의 작동 방식과 조직의 대비 방법은 랜섬웨어란?에서 다룹니다.
두 카셰어링 사례 비교
2026년 일본에서는 운전면허 데이터가 관련된 카셰어링 사례 두 건이 공개되었습니다. 나란히 놓고 보면 회원이 해야 할 일은 같고, 차이는 유출이 얼마나 확인되었는지와 사람들에게 어떻게 통지되었는지에 있습니다.
| 항목 | Times Car | Cariteco (名鉄協商) |
|---|---|---|
| 출발점 | 웹사이트에 대한 부정 접근 | 랜섬웨어로 인한 시스템 장애 |
| 유출 상태 | 제3자에게 획득된 것이 확인됨 | 유출을 배제할 수 없음 |
| 규모 | 약 660만 계정(신분증 이미지 포함 약 160만) | 공개되지 않음 |
| 면허 | 이미지 포함 | "운전면허 정보"(이미지 여부 명시 안 됨) |
| 카드 정보 | 유출되지 않은 것으로 확인 | 일부 회원에게 포함되었을 수 있음 |
| 과거 회원 | 포함 | 포함 |
| 개별 통지 | 이메일 | 우편 등(일부 전달 불가) |
카셰어링 운영사를 위한 안내: 가입 확인에 필요한 데이터를 영구 보관할 필요는 없습니다
회사는 과거 회원의 신청서 데이터를 왜 보관했는지 밝히지 않았습니다. 카셰어링 서비스는 매번 대여 시 유효한 면허를 확인하는 등 자체 사업상 이유가 있을 수 있습니다. 그럼에도 두 사례의 공통점을 바탕으로 운영사가 검토할 수 있는 사항은 다음과 같습니다.
과거 회원의 신청서 데이터에 삭제 기한을 설정하세요
가입 시 면허를 확인하는 것은 필요합니다. 하지만 과거 회원의 신청서 데이터는 사업에 사용되지 않는데도 유출이 발생하면 대상에 포함됩니다. 일본 개인정보보호법은 개인정보가 더 이상 필요하지 않게 되면 사업자가 지체 없이 삭제하도록 노력할 것을 요구합니다(제22조, 노력 의무).
법령상 보관 기간이 정해진 경우에는 그 기간 동안 보관하고, 없다면 짧은 기한을 정해 기한이 지나면 자동으로 삭제되도록 하세요.
데이터를 삭제할 수 없다면 본인에게 연락할 수 있는지 확인하세요 — 연락처가 최신인지 점검하세요
회사는 일부 개별 통지가 전달되지 않았다고 말합니다. 회원 데이터를 수년간 보관하는 서비스라면, 나머지 기록은 그대로인데 연락처만 오래되는 경우가 흔합니다.
이 사이트의 일반적인 견해로, 더 이상 연락할 수 없고 보관할 의무도 없는 사람의 신원 데이터는 보관 여부를 재검토해야 할 데이터입니다. 계속 보관해야 하는 데이터는 사람들에게 연락처를 업데이트하도록 안내하고, 연락이 닿지 않으며 보관 의무도 없는 데이터는 삭제하세요. 두 가지를 같은 목록에서 함께 결정하세요.
시스템이 멈추더라도 복구할 수 있어야 하며, 데이터가 탈취되더라도 피해를 제한해야 합니다
랜섬웨어 대비에는 두 부분이 있습니다.
- 백업에서 복구할 수 있는 능력
- 고객 데이터를 보관하는 서버와 일반 업무 네트워크를 분리하는 것
첫 번째는 백업 필수 지식(3-2-1 원칙)에서, 조직 차원의 최소 기준은 조직을 위한 최소 보안 기준에서 다룹니다.
출처(공개 기록)
이 글의 사실은 아래 공개 자료에 근거합니다. 공개되지 않은 침입 경로나 방법은 추측하지 않았습니다.
- 名鉄協商 주식회사, 부정 접근으로 인한 시스템 장애 공지(2026년 7월 2일, 일본어) — mkyosho.co.jp
- 名鉄協商 주식회사, 장애 관련 고객 콜센터 개설 공지(2026년 7월 6일, 일본어) — mkyosho.co.jp
- 名鉄協商 주식회사, 부정 접근으로 인한 고객 데이터 유출 가능성 공지(2026년 7월 28일, 일본어) — mkyosho.co.jp
- 名鉄協商 주식회사, 유출 가능성에 관한 개별 통지 현황(2026년 8월 6일, 8월 12일, 9월 3일 기준, 일본어) — 8월 6일 / 8월 12일 / 9월 3일
- Cariteco, 부정 접근으로 인한 개인정보 유출 가능성에 관한 사과 및 공지(2026년 8월 4일: 개인 회원, 일본어) — cariteco.com / 동일 내용(2026년 9월 3일: 법인 고객) — cariteco.com
- Cariteco, 시스템 장애 공지(6월 29일) 및 복구 후 가입·신청 재개 공지(7월 22일, 일본어) — 6월 29일 / 7월 22일
- 신용정보기관 자기 신고(일본어): CIC / JICC / 전국은행개인신용정보센터
- 개인정보보호법 제22조 및 제35조(일본어) — e-Gov 법령 검색
- Times Car 수치는 Times Mobility 주식회사의 2026년 9월 28일 및 29일 공지에서 가져왔습니다(세부 내용과 출처는 Times Car 기사 참조)
업데이트 기록
2026-09-30: 최초 버전. 7월 2일부터 9월 3일까지의 名鉄協商 공지와 8월 4일 및 9월 3일의 Cariteco 공지를 바탕으로 작성했습니다. 회사는 유출 여부를 포함한 새로운 사실을 발표할 예정이며, 발표되면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 면허 데이터가 유출되었다면: 운전면허 데이터가 유출되었을 때 할 일
- 같은 유형: Times Car 침해 사건(운전면허 이미지 유출)
- 이번 시즌 다른 일본 사례: APORITO Online Store: 카드 정보 유출 가능성
- 자동차 관련 다른 서비스: Carsensor.net 및 C-MATCH 침해(딜러에게 문의한 사람들의 이름과 주소)
- 후속 사기: 피싱이란?
- 랜섬웨어: 랜섬웨어란? / 백업 필수 지식
- 2026년 기타 사건: 침해 및 사이버 공격 목록(일본 및 전 세계)
- 운영사를 위해: 조직을 위한 최소 보안 기준
정정
2026-10-16: 타임즈카 관련 부분에서 약 160만은 이미지 수가 아니라 신분증 이미지가 포함된 계정 수임을 명확히 했습니다.