대상: 탈퇴한 사람을 포함해 구직자나 기업 담당자로 구인 사이트 MyBRANDS에 등록한 모든 사람. 이 글은 회사의 공식 공지를 바탕으로 작성했으며, 공격 기법은 다루지 않는다.
진행 중: 조직이 추가 정보를 발표하면 이 글을 갱신한다
- 대상
탈퇴한 사람을 포함해 구직자나 기업 담당자로 구인 사이트 MyBRANDS에 등록한 모든 사람.
- 확인된 영향 범위표 보기 ↓
- 데이터 전송
가능성이 있다고 한 항목
- 이름, 이메일, 전화번호, 프로필(경력 등)
- 로그인 비밀번호
- 복호화 키
- 아직 확인되지 않은 사항
- 전송된 데이터에 실제로 무엇이 들어 있었는지(무엇이 탈취됐는지)
- 악용된 키가 어떻게 사용되기에 이르렀는지 등 원인의 세부 내용
- 모든 대상자에게 이메일 안내가 도달하는 시기
2개 더 보기
- 서비스 재개 시기
- 악용(2차 피해)이 발생하는지 여부
- 지금 할 일절차 보기 ↓
- MyBRANDS와 같은 비밀번호를 다른 곳에서 썼는지 확인하라
- 구직자: 채용 담당자와 스카우트 연락은 공식 경로로 확인하라
- 기업 담당자: 동료에게 알리고 같은 사람의 계정을 점검하라
2개 더 보기
- 회사를 자칭하는 연락은 메시지 속 링크를 열지 말고 확인하라
- 문의는 MyBRANDS 사무국에 이메일로 보내라
- 확인처(출처)출처 전체 ↓
- iDA 주식회사, 'MyBRANDS에 대한 부정 접근에 따른 개인정보 유출 가능성에 관한 사과와 안내'(2026년 10월 30일, 11월 2일 확인, 일본어)
- 마지막 확인
- 2026년 11월 2일 기준
후속 발표 예정과 확인 기록
회사는 새로 알려야 할 내용과 재개 시기를 공지 페이지에 발표한다고 밝혔다. 11월 2일에 10월 30일 공지의 본문을 확인했다(회사 사이트가 자동 접근을 거부해 브라우저로 읽었다). 확인한 본문에는 후속 내용이 없었다. 서비스는 중단 중이며 안전이 확인될 때까지 재개하지 않는다고 한다.
구직자와 기업 담당자가 오늘 해야 할 일
MyBRANDS와 같은 비밀번호를 다른 곳에서 썼는지 확인하라
회사는 MyBRANDS와 같은 비밀번호를 다른 서비스에서 쓰는 사람은 그곳의 비밀번호를 바꿔 달라고 요청한다. 기업 담당자에게는 사내 시스템도 포함된다. MyBRANDS 자체에서 해야 할 조치는 없다고 한다.
- 비밀번호를 재사용한 서비스마다 서로 다른 비밀번호를 설정하라(비밀번호 유출 여부 확인 방법)
- 가능한 곳에는 다중 인증을 켜라
- 모두 기억할 수 없다면 비밀번호 관리자를 활용하라
구직자: 채용 담당자와 스카우트 연락은 공식 경로로 확인하라
이름, 전화번호, 이메일 주소, 경력이 함께 있으면 '경력을 보고 연락드렸다'는 그럴듯한 메시지를 쓸 수 있다. 면접 일정, 서류 확인, 스카우트에 관한 메시지가 오면 그 안의 링크나 전화번호는 쓰지 말라. 직접 연 채용 기업의 공식 사이트나 구인 공고의 연락처에서 확인하라.
회사는 이번 사고와 관련한 연락에서 로그인 코드, 비밀번호, 금전에 관한 요구는 하지 않는다고 밝혔다. 그런 요구를 하는 연락에는 응하지 말라.
기업 담당자: 동료에게 알리고 같은 사람의 계정을 점검하라
기업 담당자의 이름, 이메일 주소, 전화번호는 거래처나 지원자를 사칭하는 메시지의 표적이 될 수 있다. MyBRANDS 비밀번호를 사내 시스템에서도 썼는지 확인하고, 썼다면 바꾸라. 또한 구인 공고나 지원자를 사칭한 수상한 메시지에 주의하라고 동료에게도 알려라(이 사이트의 조언).
회사를 자칭하는 연락은 메시지 속 링크를 열지 말고 확인하라
회사는 이번 사고에 관한 이메일에 링크를 넣지 않는다고 밝혔다. 링크가 있거나 로그인을 요구하는 이메일, 문자는 이번 사고의 안내가 아니라고 보라(이 사이트의 조언). 회사는 이번 사고에 관한 이메일을 공지 6항에 적힌 주소에서 보낸다고 하며, 10월 30일부터 대상자에게 이메일로 차례로 알린다고 한다.
문의는 MyBRANDS 사무국에 이메일로 보내라
회사는 이번 사고에 관한 문의를 지원한 기업이나 스카우트를 보낸 기업이 아니라 MyBRANDS 사무국에 이메일로 보내 달라고 요청한다. 24시간 접수하며 구직자용과 기업용 연락처가 따로 있고, 등록한 이메일 주소에서 보내 달라고 한다. 공식 공지 페이지에 있는 주소를 사용하라.
1. 채용 담당자, 스카우트, MyBRANDS를 자칭하는 전화, 이메일, 문자
이름, 경력, 전화번호가 정확해도 → 여기서 판단하지 말라
↓
2. 링크와 번호는 쓰지 말고, 채용 기업의 공식 사이트나 공식 공지의 연락처에서 확인하라
↓
3-A 공식 쪽에 아무것도 없다
로그인 코드, 비밀번호, 금전을 요구 → 응하지 말라
3-B 공식 쪽에 같은 안내가 있다
공식 안내에 따르라
무슨 일이 있었나(iDA 주식회사 공지 기준)
이 부분은 2026년 10월 30일 회사 공지 'MyBRANDS에 대한 부정 접근에 따른 개인정보 유출 가능성에 관한 사과와 안내'(일본어)를 바탕으로 한다.
2026년 10월 21일부터 22일 사이
위탁업체가 사용하던 클라우드 접근 키가 제3자에게 악용되었다(회사 설명). 회사는 이를 '서비스를 중단하고 취약점에 대응하는 작업 중'에 일어난 일이라고 표현한다(우리 번역)10월 26일
데이터베이스 사본에서 데이터가 외부로 전송된 기록이 있음을 알게 되었다(회사 설명)10월 30일
공지를 게시했다. 공지 시점에 개인정보보호위원회에 보고하고 경찰에 상담했다고 한다(날짜는 명시되지 않음). 이날부터 대상자에게 이메일로 차례로 알리기 시작한다11월 2일
이 사이트가 공지 본문을 확인했다. 후속 내용은 적혀 있지 않았다
- 해당 정보
- 탈퇴한 사람을 포함해 MyBRANDS에 등록한 사람의 이름, 이메일 주소, 전화번호, 프로필(경력 등), 로그인 비밀번호(변환된 값) 등. 등록 내용에 따라 다르다. 구직자와 기업 담당자의 정보가 대상이다
- 포함되지 않음
- 신용카드와 은행 계좌 정보는 보유하지 않아 포함되지 않았다. iDA(ida-mode.com), MyBRANDS 신졸 등 MyBRANDS 이외의 서비스는 대상이 아니다
- 암호화와 키
- 이름, 이메일 주소, 전화번호, 주소는 암호화해 보관했다. 복호화 키도 함께 탈취됐을 가능성이 있다
- 회사의 대응
- 서비스를 중단했으며 안전이 확인될 때까지 재개하지 않는다. 개인정보보호위원회에 보고하고 경찰에 상담했다. 위탁업체와 함께 원인을 조사하고 재발 방지를 추진하고 있다
- 2차 피해
- 지금까지 정보의 악용(2차 피해)은 확인되지 않았다
알려진 것과 알려지지 않은 것
2026년 11월 2일 기준 상황이다. 새 정보가 나오면 이 표를 다시 작성한다.
| 항목 | 회사 발표 | 상태 |
|---|---|---|
| 키 악용 | 위탁업체가 사용하던 클라우드 접근 키가 10월 21일부터 22일 사이에 제3자에게 악용됨 | 회사 설명 |
| 데이터 전송 | 데이터베이스 사본에서 데이터가 외부로 전송된 기록이 있음 | 확인됨(회사) |
| 전송된 데이터의 내용 | 확인할 수 없어 보유한 모든 정보를 대상으로 봄 | 조사 중 |
| 이름, 이메일, 전화번호, 프로필(경력 등) | 외부로 유출됐을 가능성이 있음 | 가능성 있음(회사) |
| 로그인 비밀번호 | 변환된 값이 유출됐을 가능성이 있는 정보에 포함됨 | 가능성 있음(회사) |
| 주소 | 목록에는 명시되지 않음(목록은 '등'으로 끝남). 회사는 보유한 모든 정보를 대상으로 보며, 암호화해 보관한 항목에 주소를 꼽음 | 명시되지 않음 |
| 복호화 키 | 탈취됐을 가능성이 있음 | 가능성 있음(회사) |
| 신용카드 / 은행 계좌 | 보유하지 않아 포함되지 않음 | 포함되지 않음(회사) |
| MyBRANDS 이외의 서비스 | 대상 아님 | 포함되지 않음(회사) |
| 규모 | 10월 30일 기준 탈퇴한 사람을 포함해 최대 약 13만 5천(계정) | 최대치(10월 30일 기준 회사가 밝힌 상한) |
| 키가 사용되기에 이른 경위 | 공개되지 않음 | 조사 중 |
| 악용 / 2차 피해 | 지금까지 확인되지 않음 | 확인되지 않음(회사) |
| 대상자 연락 | 10월 30일부터 이메일로 차례로 발송(모든 대상자에게 도달하는 시기는 공개되지 않음) | 회사 설명 |
| 규제 당국 | 회사는 개인정보보호위원회에 보고하고 경찰에 상담했다고 밝혔다. 당국의 발표는 확인하지 못했다 | 명시되지 않음(당국) |
| 서비스 재개 | 중단 중이며 안전이 확인될 때까지 재개하지 않음 | 조사 중(시기 미공개) |
읽는 법: '유출됐을 가능성'과 '암호화'
회사는 정보가 '외부로 유출됐을 가능성이 있다'(우리 번역)고 쓰고 있다. 전송된 내용을 확인할 수 없어, 보유한 모든 정보가 대상이라는 전제로 알리고 있다. 이 사이트는 회사의 표현을 그대로 쓴다. 또한 암호화해 보관한 항목도 복호화 키가 함께 탈취됐을 가능성이 있으므로 읽히지 않았다고 볼 수 없다. 읽혔다고 가정하고 대비하는 것이 가장 안전하다(이 사이트의 조언).
이름, 연락처, 경력이 어떻게 악용될 수 있나
다음은 이런 조합이 일반적으로 어떤 일로 이어질 수 있는지를 설명한 것이다. 이번 사고에서 이런 일이 일어났다고 회사가 밝힌 것은 아니다.
- 이름 + 이메일 주소 + 전화번호: 채용 담당자나 스카우트를 사칭한 그럴듯한 전화, 이메일, 문자의 표적이 된다
- 경력 등의 프로필: '경력을 보고 연락드렸다'를 구체적으로 쓸 수 있어 의심하기 어려워진다. 지원한 회사나 희망 직종을 이용한 가짜 메시지에도 주의하라
- 기업 담당자의 이름, 이메일, 전화번호: 거래처나 지원자를 사칭한 업무 메일처럼 보이는 메시지의 표적이 된다
- 비밀번호(변환된 값): 일반적으로 짧거나 흔한 비밀번호는 변환된 값에서 역으로 알아낼 수 있는 경우가 있다. 같은 비밀번호를 쓰는 다른 서비스에 로그인하는 데 쓰일 수 있다(비밀번호 해싱이란?)
회사는 카드와 은행 계좌 정보는 포함되지 않았다고 밝혔다. 그래도 면접이나 채용 절차를 구실로 이메일이나 채팅으로 카드 번호, 계좌 비밀번호, 신분증 사본을 요구하는 연락은 가짜일 가능성이 높다고 보라.
운영자가 점검할 점
키가 어떻게 사용되기에 이르렀는지는 공개되지 않았다. 공개된 경위(위탁업체가 사용하던 키, 데이터베이스 사본, 함께 탈취됐을 가능성이 있는 복호화 키)에서 이끌어 낼 수 있는 일반적인 점만 정리한다.
- 위탁업체에 준 클라우드 키: 업체마다 별도의 키를 쓰고, 필요한 작업과 기간으로 한정하고(최소 권한), 정기적으로 다시 만들고(로테이션), 필요 없어지면 비활성화하라. 쓰지 않는 키를 파악해 두라
- 암호화된 데이터와 복호화 키의 위치: 하나의 권한으로 둘 다 닿는다면 암호화는 데이터를 지켜 주지 못한다. 키는 별도의 키 관리 서비스나 별도의 권한에 두어, 데이터를 읽을 수 있는 사람과 키를 쓸 수 있는 사람을 나누라
- 데이터베이스 사본: 테스트나 이전을 위해 만든 사본도 운영 환경과 같은 수준으로 보호하고, 끝나면 삭제하라. 사본을 만들 수 있는 사람과 데이터가 밖으로 나갈 수 있는 경로를 제한하라
- 대량 외부 전송 탐지: 회사는 데이터가 외부로 전송된 기록이 있음을 알게 되었다고 밝혔다. 외부 전송량을 기록하고 경보를 설정해 두면 알아차리는 시간이 짧아진다
이는 일반적인 점이며, 회사가 이를 하지 않았다는 뜻은 아니다.
출처(공개 기록)
여기 적힌 사실은 아래의 공개 정보에 근거한다. 공개되지 않은 세부 내용이나 전송된 데이터의 내용은 추측하지 않았다. 회사 사이트가 자동 접근을 거부해 본문은 브라우저로 읽었다.
- iDA 주식회사, 'MyBRANDS에 대한 부정 접근에 따른 개인정보 유출 가능성에 관한 사과와 안내'(2026년 10월 30일, 11월 2일 확인, 일본어) — ida-mode.com
갱신 이력
2026-11-02: 첫 번째 버전. 회사의 10월 30일 공지를 바탕으로 했다(11월 2일 확인, 후속 내용 없음).
다음으로 읽을 글
- 같은 구인 사이트 유형: 바이토루 부정 접근(이메일 주소만 유출, 가짜 면접 연락 대비)
- 자격 증명에서 시작되는 사고: 탈취된 자격 증명에서 시작된 2026년 유출 사고
- 사기 메시지: 피싱이란?
- 운영자용(키와 비밀 정보 관리): 유출됐는데도 유효한 자격 증명
- 계정 보호: 다중 인증 선택하기 / 비밀번호 관리자 선택하기
- 2026년의 다른 사고: 2026년 정보 유출·사이버 공격(일본 및 해외)