노지마 온라인·중고 휴대폰 매입 사이트 무단 접근(약 700만 건): 이름·주소·전화번호·암호화된 비밀번호 유출, 회원이 해야 할 일

유출 항목에는 이름, 생년월일, 성별, 주소, 전화번호, 이메일 주소가 함께 들어 있습니다. 이 정보로 이름과 주소를 맞힌 메시지를 만들 수 있습니다. 회사도 유출된 정보가 사칭 이메일과 피싱에 악용될 수 있다고 경고하며, 모르는 링크나 첨부 파일을 열지 말라고 요청합니다.

"사과 쿠폰", "회원 정보 재확인", "곧 소멸되는 포인트" 같은 메시지를 받으면 그 안의 링크를 열지 마세요. 브라우저를 직접 열어 공식 사이트에서 확인하세요. 가짜 문자(스미싱)도 같은 방식입니다(피싱이란?).

공지는 유출된 비밀번호가 암호화되어 있었다고 밝힙니다. 회원에게 비밀번호 변경을 요청하지는 않습니다. 11월 2일 공지 시점에 두 사이트는 일시 중단된 상태였고(11월 4일 기준 재개 공지는 보이지 않음), 암호화 방식은 공개되지 않았습니다.

그래서 이 사이트는 이렇게 제안합니다. 노지마 온라인이나 매입 사이트 계정과 같은 비밀번호, 또는 약간만 바꾼 비밀번호를 이메일, 다른 쇼핑몰, SNS에서 쓰고 있다면 그 다른 서비스에서 바꾸세요. 로그인 ID와 이메일 주소도 유출되었으므로 돌려 쓰면 다른 서비스를 시도하는 출발점이 될 수 있습니다. 회사의 안내가 아니라 이 사이트의 견해입니다. 정리하려면 비밀번호 관리자가 현실적이며, 비밀번호 유출 여부 확인 방법에서 돌려 쓰는 비밀번호가 과거 유출에 나오는지 볼 수 있습니다. 가능한 곳에는 2단계 인증을 켜세요.

사이트 재개 후 회사가 새 비밀번호 설정을 안내하면 그 안내를 따르세요.

회사는 두 사이트에 신용카드 정보를 보유하지 않는다고 밝혔습니다. 따라서 카드 번호 입력이나 "카드 재등록"을 요구하는 메시지는 의심하세요. 이름과 생년월일을 정확히 말하는 전화는 아무것도 증명하지 않습니다. 바로 그 정보가 유출되었기 때문입니다.

비밀번호나 카드 번호를 요구받으면 알려 주지 마세요. 이 사이트의 조언입니다.

새 이메일 주소는 만들 수 있지만 전화번호와 주소는 바꾸기 어렵습니다. 일반적으로 유출된 번호에는 노지마가 아닌 다른 이름의 사기 전화와 문자도 올 수 있습니다(이 사이트의 견해). 휴대폰의 스팸 전화·스팸 문자 필터를 켜 두면 도착하는 양이 줄어듭니다(스마트폰 보안 기본).

회사는 이 사건의 연락처로 노지마 고객센터(0120-574-853, 9:30–19:00 JST, 일본 내 무료 전화번호)를 안내합니다. 번호는 받은 메시지가 아니라 노지마 공식 사이트의 이 공지에서 확인하세요.

공지는 암호화된 비밀번호라고 밝힙니다. 일반적으로 비밀번호는 복호화 가능한 암호화가 아니라 단방향 해시(일부러 느리게 만든 방식에 사용자마다 다른 무작위 값을 결합한 것)로 저장합니다. 자기 사이트가 어떻게 저장하는지, 강도 설정을 마지막으로 점검한 시점이 언제인지 확인하세요(비밀번호 저장 방법). 이번에 둘 중 어느 쪽이었는지는 공개되지 않았습니다.

공지는 회사가 결제 정보를 보유하지 않는 방식으로 처리한다고 밝히며, 그래서 두 사이트에는 신용카드 정보가 없습니다. 데이터를 갖지 않으면 유출의 피해가 줄어듭니다. 생년월일과 성별에도 같은 생각을 적용해 보세요. 왜 저장하는지, 쓰지 않는 항목은 수집하지 않거나 삭제할 수 있는지 살펴보세요. 공지는 탈퇴한 회원이 포함되지 않는다고도 하므로, 탈퇴 후 데이터가 어떻게 되는지도 같은 점검 대상입니다.

공지에 따르면 접근은 11월 1일 일요일에 감지·확인되었고 11월 2일 월요일에 발표되었습니다. 공지는 발견 후 대응으로 외부 접속 차단, 경찰 상담, 사이트 중단, 웹사이트와 SNS 공지를 들지만 각각 실행한 날짜는 적지 않았습니다. 주말에 같은 일이 생기면 누가 판단하고, 누가 사이트를 내리고, 누가 공표할지 오늘 정해 두세요.