MrMax 앱·온라인 스토어 해킹(최대 약 174만 명): 이름, 이메일, 전화번호 유출 — 회원이 해야 할 일

유출된 데이터에는 회원 ID, 이름, 이메일 주소, 전화번호가 함께 포함되어 있습니다. 이것만으로도 사기범은 정확한 이름과 회원 ID를 넣은 메시지를 보낼 수 있습니다.

"사과 쿠폰", "보너스 포인트", "회원 정보 재등록", "환불 절차"에 관한 메시지를 받으면 링크를 열지 마세요. 직접 앱이나 공식 사이트를 열어 확인하세요. 가짜 문자(스미싱)도 같은 방법으로 대응하세요(피싱이란? 참고).

회사는 비밀번호나 신용카드 번호를 절대 요구하지 않는다고 밝혔습니다. 또한 비밀번호와 신용카드 정보는 유출되지 않은 것으로 확인했다고 밝혔습니다.

내 이름과 회원 ID를 아는 사람이라고 해서 진짜라는 증거는 아닙니다. 바로 그 정보가 유출되었기 때문입니다. 사과나 환불을 명목으로 카드 번호나 비밀번호를 요구하면 가짜로 간주하세요.

회사는 noreply@mrmax.jp에서 영향을 받은 회원에게 개별 이메일을 보낼 예정이라고 밝혔습니다. 이는 회사 웹사이트 도메인(mrmax.co.jp)과 다르지만, 회사가 직접 알린 발신 주소입니다.

다만 발신 주소는 위조될 수 있습니다. 발신자가 맞아 보여도 가장 간단한 원칙은 이메일의 링크로 로그인하거나 무언가를 입력하지 않는 것입니다.

회사는 비밀번호가 유출되지 않았다고 밝혔으므로, 공지에 따르면 지금 당장 바꿀 필요는 없습니다.

다만 MrMax 계정과 같은 비밀번호를 다른 서비스에서도 쓰고 있다면 지금 분리하세요. 어떤 계정이 같은 비밀번호를 쓰는지 정리하는 데는 비밀번호 관리자가 현실적인 방법입니다. 재사용한 비밀번호가 과거 유출 목록에 있는지는 비밀번호 유출 여부 확인 방법에서 확인할 수 있습니다.

이메일 주소는 새로 만들 수 있지만 전화번호는 바꾸기 쉽지 않습니다. 유출된 번호는 MrMax와 전혀 관계없는 내용을 포함해 오랫동안 사기 전화와 문자를 받을 수 있습니다.

휴대폰의 스팸 전화 및 스팸 문자 차단 기능을 켜면 받는 횟수를 줄일 수 있습니다(배경 지식: 스마트폰 보안 기본). 회사는 주소는 유출되지 않았다고 하지만, 의심스러운 우편물에도 주의하라고 요청했습니다.

회사는 이번 사고 문의용 이메일 주소(incident-desk@mrmax.co.jp)를 안내했습니다. 받은 메시지에 적힌 연락처가 아니라 MrMax 공식 웹사이트의 공지에 있는 연락처를 사용하세요.

앱이나 온라인 스토어는 전자상거래 패키지, 관리자 화면, 플러그인, 외부 라이브러리 등 여러 소프트웨어로 구성됩니다. 먼저 어떤 소프트웨어를 어떤 버전으로 운영하는지 목록을 작성하세요. osv-scanner 같은 무료 도구로 알려진 취약점이 있는 의존성을 정기적으로 점검할 수 있습니다.

버전 외에도 서버에서 실행되는 기능, 예를 들어 파일 업로드, 대량 가져오기와 내보내기, 관리자 API, 디버그 출력 등을 함께 정리하세요.

기본으로 켜져 있지만 사용하지 않는 기능은 꺼두는 것이 가장 안전합니다. 관리자 기능을 유지해야 한다면 인터넷의 누구에게나 열어두지 말고, 접근 위치를 제한하고 다단계 인증을 요구하세요.

각 프레임워크의 위험한 기본 설정은 프레임워크별 보안에 정리되어 있습니다.

회사는 토요일 저녁에 수상한 접근을 발견해 즉시 서비스를 중단하고 같은 날 외부 접근을 차단했다고 밝혔습니다. 공휴일에도 같은 대응을 하려면 미리 누가 경보를 받고 누가 서비스 중단을 결정하는지 정해두세요.

첫 단계로 회원 데이터베이스에서 읽히는 행 수와 관리자 기능 사용량을 매시간 기록하고, 평소와 크게 다를 때 당직자에게 경보를 보내세요(배경 지식: 요청 제한과 악용 방지).