대상: Nikkei Inc. 또는 Nikkei National Geographic 서비스에 등록한 모든 분, 그리고 개발용 클라우드 환경을 관리하는 분. 이 글은 일본 신문사 Nikkei Inc.와 그룹사 Nikkei National Geographic의 공식 공지를 바탕으로 하며, 공격 기법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 공개하는 대로 이 글을 갱신합니다
2026년 10월 24일 기준아직 알 수 없음
- 어떤 서비스의 이용자가 해당되는지
- 항목별 건수(주소, 전화번호, 생년월일)와 사람 수
- 인증 정보가 탈취된 경위
- 접근을 어떻게 감지했는지
- 영향을 받은 사람에게 언제 어떻게 연락하는지
- 범위 조사 결과
회사는 침입 범위와 유출된 개인정보를 조사하고 있으며, 피해 파악과 원인 규명을 진행 중이라고 밝혔습니다. 갱신 시기는 밝히지 않았습니다.
10월 24일 시점에 회사 공지 목록에는 이 사건의 후속 공지가 없었으며, 10월 23일에는 문의 양식 변경(예방 조치)을 발표했습니다.
닛케이 서비스 이용자가 오늘 해야 할 일
닛케이나 그룹사를 사칭하는 이메일의 링크는 열지 마세요
약 12만 건에 이메일 주소가 포함돼 있고, 일부에는 이름, 우편 주소, 전화번호, 생년월일도 포함돼 있습니다. 일반적으로 유출된 연락처는 회사 이름과 수신자의 실제 이름을 도용한 가짜 메시지를 부릅니다. 공지에는 가짜 메시지에 대한 경고가 없으며, 이는 예방 차원의 안내입니다.
제목이 "사과 말씀", "보상", "계정을 확인해 주세요"와 같더라도(이 사이트의 예시) 링크로 로그인하지 마세요. 공식 사이트는 북마크나 직접 검색으로 여세요. 가짜를 구별하는 방법은 피싱이란에서 다룹니다.
개별 통지를 받으면 공지 페이지와 비교하세요
회사는 개인정보 유출이 확인된 사람에게 개별적으로 알리겠다고 밝혔습니다. 방법과 시기는 밝히지 않았습니다.
통지를 받으면 직접 연 닛케이 공지 페이지와 내용을 비교하세요. 링크를 통해 개인정보나 카드 번호를 입력하라고 요구하면 멈추고 문의 양식으로 확인하세요.
전화로 개인정보를 알려 주지 마세요
유출된 레코드 일부에는 전화번호가 포함돼 있습니다. 닛케이나 그룹사를 사칭하는 사람이 주소나 생년월일 확인을 요구하거나 카드 번호나 비밀번호를 물으면 답하지 말고 끊으세요.
다시 전화할 때는 상대가 알려 준 번호가 아니라 공식 사이트에서 확인한 번호를 사용하세요.
확실하지 않으면 문의 양식으로 문의하세요
회사는 이 사건에 관한 문의를 문의 양식으로 안내하고 있으며, 공지 페이지에서 열 수 있습니다. 10월 23일 회사는 프로그래밍 언어 PHP에서 심각한 취약점이 발견돼 예방 조치로 양식을 일시적으로 변경했다고 밝혔습니다.
Nikkei National Geographic도 이 사건에 대한 문의는 Nikkei Inc.로 해 달라고 안내하고 있습니다.
무슨 일이 있었나(닛케이 공지 기준)
Nikkei Inc.는 2026년 10월 16일 「不正アクセスによる個人情報漏洩について」(부정 접속에 의한 개인정보 유출에 대하여)를 발표했습니다. 아래 내용은 모두 닛케이와 Nikkei National Geographic의 공지를 바탕으로 합니다.
2026년 10월 7일 새벽~아침
회사에 따르면 시스템 개발에 사용하는 클라우드 서비스에 탈취된 인증 정보로 접속이 이뤄졌고, 클라우드에 저장된 개인정보가 유출됐습니다.10월 11일
회사가 개인정보보호위원회에 보고했습니다.10월 16일
공지가 발표됐습니다. 그날 시점에 약 183만 건이 유출됐고, 2차 피해나 시스템 이상은 확인되지 않았습니다.10월 17일
Nikkei National Geographic이 자사 서비스 이용자 정보가 포함됐을 수 있다고 밝혔습니다.10월 22일
Nikkei National Geographic이 자사 서비스 일부 이용자의 정보가 포함돼 있었다고 밝혔습니다. 대부분은 식별자뿐이었지만, 일부에는 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일 중 하나 이상이 포함돼 있었습니다.10월 23일
닛케이가 문의 양식의 일시 변경(PHP 취약점에 따른 예방 조치)을 발표했습니다.
공지에는 회사가 접속을 언제, 어떻게 알아챘는지 나와 있지 않습니다.
- 기관
- Nikkei Inc.
- 접속된 대상
- 시스템 개발에 사용하는 클라우드 서비스(이름 비공개)
- 유출된 데이터
- 10월 16일 시점 약 183만 건. 약 15만 건에는 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일 중 하나 이상이 포함(그중 약 12만 건은 이메일 주소 포함). 약 168만 건은 그것만으로는 개인을 식별할 수 없는 식별자뿐
- 포함되지 않은 것
- 신용카드 정보
- 원인
- 클라우드 서비스에 접속하기 위한 인증 정보가 어떤 방법으로 탈취됨. 탈취 경위는 공개되지 않음
- 대응
- 접속에 사용된 인증 정보를 무효화. 범위와 유출된 개인정보를 조사 중
- 보고
- 개인정보보호위원회(10월 11일)
- 2차 피해
- 10월 16일 시점에 악용 등 2차 피해, 시스템 장애, 데이터 변조는 확인되지 않음
- 연락
- 유출이 확인된 사람에게 개별 통지(방법과 시기는 밝히지 않음)
- 그룹사
- Nikkei National Geographic 서비스 일부 이용자의 정보가 포함됨(해당 회사, 10월 22일)
유출된 개인정보: 약 183만 건(10월 16일 기준)
시스템 개발에 사용하는 클라우드 서비스에 저장
약 15만 건
이름, 이메일, 우편 주소, 전화번호, 생년월일 중 하나 이상. 약 12만 건은 이메일 주소 포함
약 168만 건
식별자뿐, 그것만으로는 개인 식별 불가
↓ 독자의 행동은 주로 15만 건과 관련
회사 이름을 쓰는 이메일과 전화는 공식 사이트에서 확인
신용카드 정보는 포함되지 않음(회사)
알려진 것과 알려지지 않은 것
2026년 10월 24일 기준의 상태입니다. 후속 공지가 나오면 상태 열을 갱신합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 접속 시기 | 10월 7일 새벽~아침 | 확인됨(회사) |
| 유출 건수 | 10월 16일 시점 약 183만 건 | 유출 확인(회사) |
| 이름·이메일·우편 주소·전화번호·생년월일 | 약 15만 건에 하나 이상 포함. 그중 약 12만 건은 이메일 주소 포함. 항목별 건수는 없음 | 유출 확인(회사) |
| 식별자만 있는 레코드 | 약 168만 건. 그것만으로는 개인 식별 불가 | 유출 확인(회사) |
| 신용카드 정보 | 포함되지 않음 | 포함되지 않음(회사) |
| 비밀번호 | 유출 항목에 나열되지 않음 | 언급 없음 |
| 어떤 서비스인지 | 밝히지 않음. Nikkei National Geographic 이용자 일부가 포함됨 | 언급 없음 / 확인됨(Nikkei National Geographic) |
| 몇 명인지 | 사람이 아니라 레코드 수로 제시 | 언급 없음 |
| 원인 | 클라우드 서비스 인증 정보가 어떤 방법으로 탈취됨. 방법은 밝히지 않음 | 공개됨(회사). 상세는 조사 중 |
| 침입 범위 | 조사 중 | 조사 중 |
| 2차 피해, 시스템 이상 | 10월 16일 시점 확인되지 않음 | 확인되지 않음(회사) |
| 감독 기관 보고 | 10월 11일 | 확인됨(회사) |
| 영향을 받은 사람에게 연락 | 확인된 사람에게 개별 통지 | 예정(회사) |
읽을 때 주의: 183만은 사람 수가 아닙니다
약 183만은 사람이 아니라 레코드 수입니다. 그중 약 168만 건은 그것만으로는 개인을 식별할 수 없는 식별자뿐입니다. 이름이나 이메일 주소 등이 포함된 것은 약 15만 건입니다.
유출된 항목은 어디에 악용될 수 있나
아래는 이 사건에서 실제로 일어난 일이 아니라 일반적으로 일어날 수 있는 일입니다. 회사는 10월 16일 시점에 2차 피해는 확인되지 않았다고 밝혔습니다.
공지에서 유출됐다고 한 항목
- 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일 중 하나 이상(약 15만 건)
- 그것만으로는 개인을 식별할 수 없는 식별자(약 168만 건)
포함되지 않았거나 언급이 없는 것
- 신용카드 정보(포함되지 않음)
- 비밀번호(유출 항목에 나열되지 않음)
이름과 이메일 주소가 있으면 가짜 이메일이 실제 이름으로 당신을 부를 수 있습니다. 이름이 맞는다고 해서 진짜 메시지처럼 보일 수는 있지만, 그것이 증거는 아닙니다. 우편 주소나 전화번호가 포함된 경우에는 편지나 전화도 위조될 수 있습니다.
별도로 회사는 10월 4일, 제3자가 업무용 클라우드 비즈니스 소프트웨어의 직원 계정에 로그인한 것으로 보이며, 악성 사이트로 유도하는 이메일 약 9,000건이 동료와 취재원 등에게 발송됐다고 공개했습니다. 당시 회사는 회사나 그룹사 직원을 사칭하는 이메일이 늘어날 수 있다고 경고했습니다. 공지는 그 사건과 이번 사건을 연결하지 않지만, 실제 닛케이 주소에서 온 것처럼 보이는 이메일이라도 링크는 신중하게 다루세요.
2026년 10월에 이메일 주소를 중심으로 한 다른 사건으로는 Capcom CAPCOM ID 유출과 Lawson ID 유출이 있습니다. 원인과 범위는 사건마다 다르므로, 이번 사건이 같은 경과를 밟는다고는 할 수 없습니다.
개발용 클라우드 환경을 관리하는 분께
공지에는 접속된 환경이 운영용이었는지 테스트용이었는지, 왜 개인정보가 그곳에 있었는지, 어떤 종류의 인증 정보가 쓰였는지, 다중 인증이 있었는지가 나와 있지 않습니다. 아래는 이 중 어느 것도 전제하지 않는 일반적인 점검 사항입니다.
회사가 공개한 원인은 개발용 클라우드 서비스의 인증 정보가 탈취됐다는 것입니다. 탈취 경위는 공개되지 않았으므로, 이 항목에서는 어떻게 막을 수 있는지 말할 수 없습니다. 이는 회사 대응에 대한 평가가 아닙니다.
개발 환경에 실제 개인정보가 있는지 확인하세요
공지에 따르면 접속된 곳은 시스템 개발에 사용하는 클라우드 서비스였고, 거기에 저장된 개인정보가 유출됐습니다.
자사 개발 환경에 있는 고객 데이터를 파악하고, 실제 데이터가 필요 없는 곳에서는 합성 데이터나 이름과 연락처를 제거한 데이터로 바꾸세요.
클라우드 인증 정보의 수명을 줄이고 범위를 좁히세요
회사에 따르면 탈취된 인증 정보가 접속에 쓰였습니다. 공지에는 그 종류가 나와 있지 않습니다.
일반적인 점검으로 먼저 세 가지를 하세요. 만료가 있는 단기 인증 정보로 바꾸고, 쓰지 않는 인증 정보는 무효화하며, 각 인증 정보가 읽을 수 있는 데이터를 필요한 것으로 제한합니다. 유출된 인증 정보가 계속 유효한 문제는 GitHub에 공개된 뒤에도 작동한 인증 정보 조사에서, 보관 장소는 .env와 API 키 기본에서 다룹니다.
식별자와 연락처를 다른 곳에 두세요
회사는 약 183만 건 중 약 168만 건이 그것만으로는 개인을 식별할 수 없는 식별자뿐이었다고 밝혔습니다.
일반적으로 분석이나 개발에 쓰는 데이터를 식별자만으로 하고 이름·연락처와 따로 보관하면, 한쪽이 유출돼도 이용자에게 미치는 영향이 줄어듭니다. 인증 정보가 침입 경로가 되는 경향은 2026년 일본 유출 사고는 어떻게 시작됐나에서 분석합니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 인증 정보가 탈취된 경위와 영향을 받는 서비스는 공개되지 않았으며 추측하지 않습니다.
- Nikkei Inc., "不正アクセスによる個人情報漏洩について" (일본어, 2026년 10월 16일, 10월 23일 추기) — nikkei.co.jp
- Nikkei Inc., "情報漏洩などに関するお問い合わせフォーム変更のお知らせ" (문의 양식 변경, 일본어, 2026년 10월 23일) — nikkei.co.jp
- Nikkei National Geographic Inc., 닛케이 부정 접속과 관련한 이용자 정보 공지 (일본어, 2026년 10월 17일) — natgeo.nikkeibp.co.jp
- Nikkei National Geographic Inc., 닛케이 부정 접속과 관련한 이용자 개인정보 유출 공지 (일본어, 2026년 10월 22일) — natgeo.nikkeibp.co.jp
- Nikkei Inc., "サイバー攻撃による情報漏洩、不審メールの送信について" (일본어, 2026년 10월 4일, 별개 사건) — nikkei.co.jp
- Nikkei Inc., "不正ログインによる情報漏洩について" (일본어, 2026년 10월 4일, 별개 사건) — nikkei.co.jp
- Nikkei Inc. 공지 목록 (10월 24일 확인) — nikkei.co.jp
갱신 이력
2026-10-24: 초판. 10월 16일 닛케이 공지(10월 23일 추기 포함)와 10월 23일 공지, 10월 17일·22일 Nikkei National Geographic 공지를 바탕으로 작성(모두 10월 24일 확인). 영향을 받는 서비스나 원인의 상세가 공개되면 이 글을 갱신합니다.
다음에 읽을 글
- Medley 클리닉 시스템 @link(앳링크) 부정 접속: 환자 이름·생년월일(월·일)·로그인 ID·비밀번호 유출 — 환자와 의료기관이 해야 할 일
- 같은 시기의 사례: Capcom CAPCOM ID 유출 / Lawson ID 유출
- 가짜 메시지에 대비하기: 피싱이란 / 내 이메일 주소로 오는 스팸
- 침입 경로가 되는 인증 정보: 2026년 일본 유출 사고는 어떻게 시작됐나 / GitHub에 공개된 뒤에도 작동한 인증 정보
- 계정 보호: 비밀번호 관리자 고르기 / 다중 인증 고르기
- 2026년의 다른 사건: 2026년 개인정보 유출과 사이버 공격(일본과 세계)