대상: 2019년 이후 @nifty 히카리, @nifty MAX 히카리 또는 @nifty au 히카리 플러스를 신청한 모든 분과 고객 데이터를 보관하는 내부 관리 시스템을 운영하는 분. 이 글은 일본 인터넷 서비스 제공업체 NIFTY Corporation의 공식 발표(첫 번째 보고)를 바탕으로 하며, 공격 기법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 20일 기준아직 알려지지 않음
- 실제 유출 여부(조사 중)
- 원인 및 무단 접근 시작 시점
- 영향을 받은 고객에 대한 개별 연락 여부와 방법
- 포함되는 신청 경로(발표문에는 "회사 웹사이트 제외"라고만 되어 있음)
- 기록 건수가 나타내는 실제 인원수
회사는 외부 전문가와 함께 상세한 조사를 진행 중이며, 조사가 진행되는 대로 새로운 사실과 향후 대응을 신속히 발표하겠다고 밝혔습니다. 후속 발표 시기는 제시되지 않았습니다. 2026년 10월 20일 현재 회사 뉴스 목록에 후속 발표는 없습니다.
광섬유 회선 신청자가 오늘 해야 할 일
2019년 이후 세 가지 서비스 중 하나를 신청했는지 확인하십시오
발표문에 따르면 대상은 2019년 이후 회선을 신청한 고객(회사 웹사이트 제외)이며, @nifty 히카리, @nifty MAX 히카리, @nifty au 히카리 플러스가 해당합니다.
회사 웹사이트를 통한 신청은 제외된 것으로 보이지만, 발표문은 어떤 신청 경로가 포함되는지 자세히 설명하지 않습니다. 개별 연락 여부도 밝히지 않았습니다. 대상인지 확실하지 않다면 아래 연락처로 확인하십시오.
NIFTY를 사칭한 이메일이나 문자의 링크를 열지 마십시오
유출 가능 항목에는 이름, 주소, 전화번호, 이메일 주소가 포함됩니다. 이 정보들을 합치면 이름과 주소가 맞는 설득력 있는 이메일과 문자를 만들 수 있습니다.
회사는 회사 또는 관련 기관을 사칭한 의심스러운 이메일, 전화, 문자에 주의하고, 그 안의 URL을 열거나 개인정보를 입력하지 말라고 요청했습니다. "사과", "회선 계약 점검", "환불"(이 사이트의 예시) 같은 내용이라도 링크를 열지 말고, 즐겨찾기나 검색으로 직접 연 공식 웹사이트에서 확인하십시오(식별 방법: 피싱이란).
발신자가 이름과 주소를 알고 있어도 전화로 질문에 답하지 마십시오
회사는 이번 사고와 관련해 이메일, 전화 등으로 고객에게 개별 연락하여 PIN, 비밀번호, 신용카드 정보 등을 요구하지 않겠다고 밝혔습니다. 회사를 사칭하더라도 이를 요구하는 연락은 가짜로 간주하십시오.
유출 가능 항목에는 회원 ID, 생년월일, 주소도 포함됩니다. 회원 ID나 생년월일을 안다고 해서 진짜라는 증거가 되지 않습니다. 답하지 말고 전화를 끊은 뒤 직접 찾은 번호로 다시 거십시오. 집을 방문하거나 우편물이 온 경우에도 같은 방식으로 대응하십시오.
생년월일을 PIN으로 쓰고 있다면 바꾸십시오
이메일 주소나 전화번호와 달리 생년월일은 바꿀 수 없습니다. 이번에는 이름, 주소와 함께 유출 가능 항목에 포함되었습니다.
생년월일(예: "0815")을 은행이나 신용카드 PIN, 휴대폰 잠금 화면 암호로 쓰고 있다면 지금 바꾸십시오. 이는 이 사이트의 일반적인 조언이며 회사의 안내가 아닙니다.
비밀번호를 재사용하고 있다면 서로 다르게 바꾸십시오
비밀번호는 유출 가능 항목에 없으며 발표문에도 언급되지 않았습니다. 회사는 고객에게 비밀번호를 변경하라고 요청하지 않았습니다.
다만 언급되지 않았다고 해서 비밀번호가 안전했다는 것이 확인된 것은 아닙니다. @nifty와 다른 서비스에서 같은 비밀번호를 쓰고 있다면 지금 서로 다르게 바꾸는 것이 좋습니다. 관리에는 비밀번호 관리자가 실용적입니다.
문의는 발표문에 실린 전용 @nifty 회선을 이용하십시오
발표문에는 전용 @nifty 회선(전화 0120-924-719, 일본 내 무료, 매일 10:00–18:00)이 실려 있습니다. 받은 연락에 적힌 번호가 아니라, 직접 연 회사 발표 페이지에서 번호를 확인하십시오.
의심스러운 연락 이후 이미 개인정보를 제공하거나 입력했다면 이 회선에 먼저 문의하십시오. 돈을 보냈거나 은행 또는 카드 정보를 제공했다면 거래 은행이나 카드사, 그리고 경찰 상담 전화(일본 #9110)에도 연락하십시오.
무슨 일이 있었나요(NIFTY 발표 기준)
NIFTY Corporation은 2026년 10월 19일 회선 신청 및 접수 관리 시스템에 대한 무단 접근에 관한 첫 번째 보고를 발표했습니다. 아래 내용은 모두 회사 발표를 바탕으로 합니다.
2026년 10월 19일(월) 약 10:20
회사의 회선 신청 및 접수 관리 시스템에 대한 외부로부터의 무단 접근이 확인되었습니다. 접근 출처는 즉시 차단되었습니다.10월 19일(월)
첫 번째 보고가 발표되었고 전용 @nifty 회선이 개설되었습니다(당일 20:00까지 운영).2026년 10월 20일 현재
후속 발표는 없습니다.
발표문은 무단 접근이 언제 시작되었는지 밝히지 않았습니다. 위의 10:20은 회사가 이를 확인한 시각입니다.
- 영향 시스템
- 회사가 관리하는 회선 신청 및 접수 관리 시스템. 회사가 정보를 등록하기 위해 사용하는 내부 관리 도구이며, 고객이 직접 신청할 때 쓰는 웹사이트(신청 양식 등)와는 별개입니다
- 건수
- 최대 542,513건
- 대상 고객
- 2019년 이후 회선을 신청한 고객(회사 웹사이트 제외)
- 대상 서비스
- @nifty 히카리, @nifty MAX 히카리, @nifty au 히카리 플러스
- 항목
- 회원 ID, 이름, 성별, 생년월일, 주소, 전화번호, 이메일 주소. 유출되었을 수 있는 항목의 전체 목록이며, 실제 유출 여부는 조사 중입니다
- 포함되지 않음
- 은행 계좌 및 신용카드 정보(시스템에 보관되지 않으며 포함되지 않음)
- 조치 사항
- 무단 접근 출처로부터의 통신을 차단했고, 추가 피해를 막기 위한 임시 조치를 시행했습니다
- 진행 중인 조치
- 외부 전문가와 함께 상세 조사 진행, 개인정보보호위원회 보고 진행
- 재발 방지
- 조사 결과를 바탕으로 외부 전문가의 조언을 받아 시스템 보안과 모니터링을 강화하겠다고 밝혔습니다. 구체적인 내용은 제시되지 않았습니다
- 문의
- 전용 @nifty 회선(전화 0120-924-719, 매일 10:00–18:00)
확인된 사실과 확인되지 않은 사실
2026년 10월 20일 기준 상태입니다. 후속 발표가 나오면 상태 열을 업데이트하겠습니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 무단 접근 | 10월 19일 약 10:20에 확인, 출처 차단 | 확인됨(회사) |
| 건수 | 최대 542,513건(인원수 미공개) | 가능성 있음(회사) |
| 대상 | 2019년 이후 회선 신청자(회사 웹사이트 제외), 세 가지 서비스 | 대상임(회사) |
| 회원 ID, 이름, 성별, 생년월일 | 유출되었을 수 있는 항목 | 가능성 있음(회사) |
| 주소, 전화번호, 이메일 | 유출되었을 수 있는 항목 | 가능성 있음(회사) |
| 실제 유출 여부 | 조사 중 | 조사 중 |
| 은행 계좌 및 신용카드 정보 | 시스템에 보관되지 않음, 포함되지 않음 | 포함되지 않음(회사) |
| 비밀번호 | 목록에 없고 언급되지 않음 | 언급되지 않음 |
| 원인 및 경로 | 외부 전문가와 상세 조사 중 | 조사 중 |
| 접근 시작 시점 | 미공개(10:20은 확인된 시각) | 언급되지 않음 |
| 데이터 악용 여부 | 미공개 | 언급되지 않음 |
| 피해 고객 개별 연락 | 미공개 | 언급되지 않음 |
| 개인정보보호위원회 보고 | 진행 중 | 진행 중(회사) |
이 내용의 읽는 법: 가능성과 언급되지 않음
7개 항목은 "유출되었을 수 있는 항목의 전체 목록"입니다. 54만 2,513건 모두에서 실제로 유출되었다는 확인은 없습니다. 유출되지 않았다는 확인도 없습니다.
은행 계좌와 신용카드 정보만 포함되지 않는다고 명시되어 있습니다. 비밀번호는 목록에 없고 언급되지 않았을 뿐입니다. 목록에 없다는 이유로 "유출되지 않았다"고 읽지 마십시오.
항목 조합이 악용될 수 있는 방식
각 항목은 단독으로는 흔한 정보일 수 있지만, 함께 쓰이면 사기 연락을 진짜처럼 보이게 할 수 있습니다. 아래는 일반적으로 일어날 수 있는 일이며, 이번 사건에서 실제로 일어났다는 뜻은 아닙니다.
이름 + 주소 + 전화번호 + 생년월일
↓→
본인 확인을 가장해 주소나 생년월일을 인용하여 신뢰를 얻는 가짜 전화
→ 정보를 안다고 진짜인 것은 아닙니다 / 그 자리에서 답하지 마십시오
회원 ID + 이름 + 이용 중인 서비스
↓→
"계약 점검"이나 "요금 변경"을 이유로 사업자를 사칭하는 연락
→ 연락에 적힌 번호나 URL을 쓰지 말고 공식 연락처로 확인하십시오
이름 + 이메일 + 전화번호
↓→
이름으로 나를 지목하는 가짜 이메일이나 문자(사과, 환불)
→ 링크를 열지 말고, 비밀번호나 카드 번호를 입력하지 마십시오
발표문에서 포함되지 않는다고 명시된 항목
- 은행 계좌 정보(시스템에 보관되지 않음)
- 신용카드 정보(시스템에 보관되지 않음)
영향을 받았을 수 있는 항목(회사 발표 기준)
- 이름, 성별, 생년월일(생년월일은 바꿀 수 없음)
- 주소와 전화번호(바꾸기 쉽지 않음)
- 이메일 주소
- 회원 ID
주소와 생년월일은 오랫동안 바뀌지 않으므로, 일반적으로 이후 다른 명분으로 연락하는 데 오랫동안 쓰일 수 있습니다. 한동안 이번 사고를 언급하는 연락에 주의하십시오.
과거 사례로, 2026년 10월의 북오프 회원 데이터 유출에서는 첫 번째 보고의 "최대 약 643만 건(회원 번호)"이 두 번째 보고에서 인원수 6,383,279명으로 확인되었습니다. 이번에는 그렇게 되지 않을 수도 있습니다.
회사가 2026년 6월에 발표한 별개 사고
NIFTY는 2026년 6월 23일 @nifty 이메일 서비스에 대한 무단 접근을 별도로 발표했습니다(2026년 7월 6일 두 번째 보고). 이 발표는 이메일 서비스를 뒷받침하는 인프라 시스템에 관한 것으로, 이번 사고의 회선 신청 및 접수 관리 시스템과는 다른 시스템입니다. 현재 발표문은 두 사고의 관련성에 대해 아무 언급이 없습니다.
고객 데이터를 보관하는 내부 관리 도구를 운영하는 분들을 위해
회사가 원인을 공개하지 않았으므로, 이 글은 예방 방법을 설명하지 않습니다. 이 섹션은 회사의 대응을 평가하지도 않습니다. 발표문이 말하는 것은 접근된 시스템이 고객이 사용하는 신청 양식이 아니라 정보를 등록하기 위한 내부 도구였으며, 2019년 이후 신청자의 데이터를 보관하고 있었다는 점입니다. 아래 내용은 그 전제에서 미리 점검할 수 있는 항목으로 한정합니다.
내부 관리 도구도 고객용 사이트와 같은 목록에 올리십시오
일반적으로 취약점 점검과 모니터링은 고객이 사용하는 웹사이트부터 시작하는 경우가 많습니다. 그러나 신청을 관리하고 처리하는 내부 도구에는 고객용 양식만큼, 또는 그보다 많은 개인정보가 한곳에 모여 있는 경우가 많습니다.
고객 개인정보를 보관하는 모든 시스템을 고객용이든 내부용이든 하나의 목록에 올리고, 각 시스템에 어디에서 접근할 수 있는지, 누구의 계정이 사용하는지, 활동 로그를 어디에 보관하는지를 기록하십시오. 고객용과 내부용으로 점검 범위를 나누지 말고, 목록의 모든 시스템에 같은 점검을 적용하십시오.
일상 업무 화면에 몇 년치 신청을 둘지 정하십시오
이번 사고는 2019년 이후 신청자를 대상으로 합니다. 일반적으로 완료된 신청 기록은 일상 업무에서 거의 필요하지 않습니다.
처리 화면에서 얼마나 과거까지 조회할 수 있을지 정하고, 오래된 기록은 별도 저장소로 옮기거나 항목을 줄이십시오. 관리 도구가 침해되었을 때 영향을 받는 인원과 항목 수를 줄이는 방법입니다. 법적 또는 계약상 보관해야 하는 기록은 업무 화면과 분리해 보관하십시오.
침해 후에도 절대 요청하지 않을 항목을 미리 정하고 공개하십시오
회사는 발표문에서 이번 사고와 관련해 PIN, 비밀번호, 신용카드 정보 등을 요청하지 않겠다고 분명히 밝혔습니다. 이는 고객이 가짜 연락을 즉시 가려낼 수 있는 정보입니다.
사고가 나기 전에 조직이 전화나 이메일로 절대 요청하지 않을 항목과, 중요한 안내에 사용하는 발신 주소를 정하고 공식 웹사이트에 공개하십시오. 그러면 사고 당일에도 같은 안내를 바로 낼 수 있습니다. 발신자 위조 방지는 위조 이메일에 대한 SPF, DKIM, DMARC를 참고하십시오.
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 원인과 접근 경로는 추측하지 않았습니다.
- NIFTY Corporation, "[첫 번째 보고] 회선 신청 및 접수 관리 시스템에 대한 무단 접근"(일본어, 2026년 10월 19일) — nifty.co.jp
- NIFTY Corporation 뉴스 목록(2026년 10월 20일 확인, 이번 사고의 후속 발표 없음) — nifty.co.jp
- NIFTY Corporation, "[두 번째 보고] 이메일 서비스에 대한 무단 접근"(일본어, 2026년 7월 6일, 별개 사고의 출처) — support.nifty.com
업데이트 기록
2026-10-20: NIFTY의 2026년 10월 19일 발표(첫 번째 보고)와 회사 뉴스 목록(10월 20일 확인)을 바탕으로 한 첫 버전입니다. 실제 유출 여부와 원인은 조사 중이며, 후속 발표가 나오면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 다른 회원 데이터 공개 사례: H2O ID 무단 접근과 회원 안내
- 후속 사기로부터 자신을 보호하기: 피싱이란 / 스마트폰 보안 기초
- 비밀번호: 비밀번호 관리자 선택과 사용 / 비밀번호 유출 여부 확인 방법
- 같은 시기의 사고: 버거킹 재팬 앱 침해 / SourceNext 회원 데이터 유출 / Carsensor.net 및 C-MATCH 침해
- 2026년 기타 사고: 데이터 침해 및 사이버 공격 목록