대상: 2026년 8월 6일부터 9월 11일 사이에 PhotoGoods(photo-goods.com)에서 쇼핑했거나 결제 페이지에 카드를 입력한 사람, 그리고 온라인 쇼핑몰을 운영하는 사람. 이 글은 Daiko Printing Co., Ltd.의 공식 공지를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
진행 중: 회사가 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 7일 기준아직 알려지지 않음
- 영향을 받은 사람 수
- 유출의 실제 범위
- 공격자가 침입한 경로
- 재발급 수수료를 포함한 보상
- PhotoGoods 비밀번호 변경 방법
- 서비스 재개 시기
회사는 영향을 받은 사람과 범위가 확인되면 이메일 등으로 사과와 안내를 보내겠다고 밝혔으며, 조사 상황에 따라 시간이 걸릴 수 있다고 설명합니다. 새로운 사실과 재개 날짜는 회사 웹사이트에 게시될 예정이라고 합니다.
2026년 8월 6일부터 9월 11일 사이에 PhotoGoods를 이용한 사람이 지금 해야 할 일
영향을 받았는지 확인하세요(구매하지 않은 사람도 포함)
회사에 따르면, 2026년 8월 6일부터 9월 11일 사이에 PhotoGoods 결제 페이지에 카드 정보를 입력한 사람은 영향을 받았을 수 있습니다. 구매를 완료하지 않았더라도, 결제 페이지에 카드를 입력했다면 영향을 받았을 수 있습니다.
회사는 범위가 확정되면 영향을 받은 사람에게 한 명씩 연락할 계획입니다. 10월 7일 기준 연락을 시작했다는 발표는 없었습니다. 해당 기간에 사이트를 이용한 기억이 있다면, 연락을 기다리지 말고 아래 단계를 진행하세요.
카드사에 전화해 카드번호 변경을 요청하세요
회사는 사람들에게 명세서를 확인하고, 인식할 수 없는 결제가 있으면 카드 뒷면에 적힌 카드사로 문의하라고 요청합니다. 이 사이트는 해당 기간에 카드를 입력한 사람이 아직 인식할 수 없는 결제가 나타나지 않았더라도 카드사에 카드번호 변경을 요청하라고 권장합니다.
이유는 보안코드가 유출되었을 수 있는 항목이기 때문입니다. 이 조합은 번호가 바뀔 때까지 계속 사용될 수 있습니다. 명세서 확인도 중요하지만, 카드가 이미 사용된 뒤에야 알려 줍니다(이 원리는 APORITO 온라인 스토어 카드 정보 유출 관련 글에서 더 자세히 설명합니다).
카드번호가 바뀔 때까지 명세서를 계속 확인하세요
수백 엔 정도의 소액 결제도 확인하세요. 부정 사용 보상에는 카드사 약관에 따라 정해진 신고 기한이 있습니다. 번호가 바뀐 뒤에는 공과금, 구독 서비스처럼 기존 카드로 자동 결제되는 서비스를 모두 업데이트하세요.
PhotoGoods 비밀번호를 다른 서비스에서도 쓴다면 그곳에서 바꾸세요
회사는 유출되었을 수 있는 비밀번호 정보가 비밀번호 자체가 아니라, 원래 비밀번호를 직접 읽을 수 없는 변환된 형태라고 설명합니다. 그래도 짧거나 흔한 비밀번호는 변환된 값에서 알아낼 수 있는 경우가 있습니다(원리는 비밀번호 해싱이란?에서 확인하세요).
회사는 다른 곳에서도 같은 비밀번호를 쓰는 사람에게 각 서비스의 공식 사이트에서 비밀번호 변경을 고려해 달라고 요청합니다. PhotoGoods 자체의 비밀번호 변경 절차는 결정되면 공지하겠다고 밝혔습니다. 비밀번호 재사용을 멈추는 실질적인 방법은 비밀번호 관리자를 쓰는 것입니다.
‘사과’나 ‘환불’ 메시지의 링크를 열지 마세요
이름, 주소, 전화번호, 이메일 주소도 유출되었을 수 있어, 그럴듯한 가짜 메시지가 만들어질 수 있습니다. 회사는 회사나 PhotoGoods를 사칭한 의심스러운 이메일, 문자, 전화에 주의하라고 경고하며, 링크나 첨부 파일을 열지 말고 개인정보, 카드 정보, 비밀번호를 입력하지 말라고 요청합니다.
회사가 이메일로 영향을 받은 사람에게 연락할 계획이므로, 이를 흉내 낸 가짜 ‘사과’, ‘환불’, ‘카드 재등록’ 메시지가 올 수 있습니다. 카드 정보를 입력하라는 메시지는 모두 가짜로 간주하세요. 직접 여는 공식 웹사이트에서 확인하십시오(구별하는 방법은 피싱이란?에서 확인하세요).
공식 공지에 나온 연락처만 이용하세요
공지에는 PhotoGoods 문의 창구가 나와 있습니다. 전화 078-303-7383(평일 10:00–18:00, 일본 시간)과 이메일 support@photo-goods.com(24시간)입니다. 회사는 문의할 때 카드번호, PIN(비밀번호), 보안코드, 패스워드를 이메일로 보내지 말라고 요청합니다. 이미 한 주문에 관한 문의라면 주문번호를 함께 적어 달라고 요청합니다.
결제 페이지 자체가 변조되면 상점이 카드 정보를 저장하지 않아도 유출됩니다
이런 유형의 사고에서는 상점의 데이터베이스에서 카드 정보를 훔치는 것이 아닙니다. 고객이 정보를 입력하는 결제 페이지에 프로그램이 설치되고, 입력된 내용이 정상 목적지와 함께 다른 곳으로도 전송됩니다.
그래서 상점이 자체 서버에 카드 정보를 저장하지 않더라도 카드 정보가 유출될 수 있습니다. 또한 프로그램이 작동하던 동안 카드를 입력한 모든 사람이 범위에 포함되며, 이번에 구매를 완료하지 않은 사람도 포함된 이유가 바로 여기에 있습니다.
같은 유형의 과거 사례로 2026년 8월에 공개된 APORITO 온라인 스토어(RIZAP) 사고가 있습니다. 그 사건에서는 첫 공지 약 1주일 뒤 두 번째 공지가 나왔지만, 그 공지에서도 영향을 받은 사람 수나 원인의 세부 사항은 공개되지 않았습니다. 이 사건도 같은 방향으로 흘러간다는 뜻은 아닙니다.
무슨 일이 있었나(Daiko Printing 발표 기준)
아래 내용은 2026년 9월 16일 Daiko Printing 공지와 PhotoGoods 웹사이트에 게시된 공지(10월 7일 확인)를 바탕으로 합니다.
2026년 8월 6일
카드 정보를 빼내는 프로그램이 작동하기 시작한 시점(회사 조사 기준).9월 11일
회사는 PhotoGoods에서 의심스러운 외부 프로그램이 로드되고 있다는 통보를 받았고, 즉시 시스템 관리 회사에 조사를 의뢰했습니다. 같은 날 프로그램이 제거되었습니다.9월 12일
시스템 점검을 위한 긴급 점검을 알리고 서비스를 중단했습니다.9월 16일
권한 없는 접근과 개인정보 유출 가능성에 관한 사과문과 공지를 게시했습니다.10월 7일 기준
후속 공지 없음. PhotoGoods 사이트는 여전히 중단된 상태이며, 회사는 전문 기관 및 관련 회사와 함께 안전 점검과 조사를 계속하고 있다고 밝혔습니다. 일부 행사 관련 판매는 재개와 판매 기간 연장을 준비하고 있다고 합니다.
- 서비스
- PhotoGoods(photo-goods.com). 회사는 다른 서비스는 영향을 받지 않았다고 밝혔습니다
- 카드 정보
- 카드번호, 유효기간, 보안코드. 8월 6일부터 9월 11일까지 결제 페이지에 카드를 입력한 사람은 영향을 받았을 수 있습니다
- 개인정보
- 이름, 주소, 전화번호, 이메일 주소(photo-goods.com 이용자)
- 비밀번호
- 회원 비밀번호 관련 정보: 비밀번호 자체가 아니라, 원래 비밀번호를 직접 읽을 수 없는 변환된 형태
- 공개된 원인
- 시스템 취약점과 파일 업로드 기능의 악용을 통해 권한 없는 제3자의 접근이 확인됨. 어떤 취약점이나 업로드 기능인지는 공개되지 않음
- 취한 조치
- 서비스 중단, 프로그램 중지 및 제거, 접근에 쓰인 메커니즘 격리, 권한 없는 관리자 계정 비활성화, 외부 접근 제한, 시스템 및 로그 조사와 보존
- 다음 단계
- 안전한 환경에서 시스템 재구축, 인증 정보 변경, 취약점 수정. 안전이 확인되기 전까지 서비스는 재개되지 않음
확인된 사항과 확인되지 않은 사항
2026년 10월 7일 기준 상태입니다. 후속 공지가 나오면 상태 열을 업데이트하겠습니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 프로그램이 작동한 기간 | 2026년 8월 6일부터 9월 11일 제거 시까지 | 확인됨(회사 조사 기준) |
| 카드 정보 항목 | 카드번호, 유효기간, 보안코드 | 유출되었을 수 있음 |
| 개인정보 항목 | 이름, 주소, 전화번호, 이메일 주소 | 유출되었을 수 있음 |
| 비밀번호 | 변환된 형태로 저장된 회원 비밀번호 정보 | 유출되었을 수 있음 |
| 구매하지 않은 사람 | 결제 페이지에 카드를 입력했다면 영향을 받았을 수 있음 | 유출되었을 수 있음 |
| 원인 | 시스템 취약점과 파일 업로드 기능 악용을 통한 권한 없는 접근 | 확인됨(세부 내용 미공개) |
| 영향을 받은 사람 수와 실제 범위 | 최종 조사 진행 중 | 조사 중 |
| 부정 사용 | 공지에 언급 없음 | 공개되지 않음 |
| 재발급 수수료 등 보상 | 공지에 언급 없음 | 공개되지 않음 |
| 개별 통지 | 범위 확정 후 이메일 등으로 통지 예정 | 예정 |
| 서비스 재개 | 안전이 확인되기 전까지 재개하지 않음. 날짜 미정 | 미정 |
읽는 방법: ‘유출되었을 수 있다’는 ‘유출되지 않았다’는 뜻이 아닙니다
회사는 해당 항목들을 “유출되었을 수 있는” 데이터라고 설명합니다. 이는 실제 범위가 아직 조사 중이라는 뜻이지, 아무것도 유출되지 않았다는 뜻이 아닙니다. 카드 정보는 탈취된 뒤 오랜 시간이 지나서 사용되는 경우도 있으므로, 카드번호가 바뀔 때까지 최소 몇 개월 동안 명세서를 계속 확인하세요.
이런 정보 조합으로 무엇을 할 수 있나
일반적으로 다음 조합은 아래와 같이 악용될 수 있습니다. 이 사건에서 실제로 그런 일이 일어났다는 뜻은 아닙니다.
- 카드번호 + 유효기간 + 보안코드: 온라인 쇼핑에 사용될 수 있음. 추가 본인 확인이 없는 사이트에서는 이 정보만으로 결제가 될 수 있음
- 이름 + 주소 + 전화번호 + 이메일 주소: 정확한 이름과 주소를 넣은 그럴듯한 ‘사과’나 ‘환불’ 메시지를 만들 수 있음
- 이메일 주소 + 변환된 비밀번호: 비밀번호를 추측하기 쉬우면 같은 비밀번호를 쓰는 다른 서비스에 로그인을 시도할 수 있음
온라인 상점 운영자를 위한 내용: 자신의 사이트에서 확인할 수 있는 공개 사실 두 가지
결제 페이지 변조에 대한 일반적인 방어(카드 정보를 저장하지 않는 것만으로는 충분하지 않은 이유, 일본 신용카드 보안 가이드라인의 5개 항목, 결제 페이지의 모니터링 스크립트)는 APORITO 글에서 다룹니다. 여기서는 내용을 반복하지 않고, 이번 공지의 두 가지 사실인 ‘파일 업로드 기능의 악용’과 ‘권한 없는 관리자 계정 비활성화’에 초점을 맞추고, 운영자가 자신의 사이트에서 무엇을 확인할 수 있는지 정리합니다.
어떤 업로드 기능이 어떻게 악용되었는지는 공개되지 않았습니다. 이 섹션은 회사의 대응 조치를 평가하지 않습니다.
공지: 파일 업로드 기능 악용
↓→
업로드 폴더에 이미지가 아니거나 실행 가능한 파일이 있는가?
→ 매일 목록을 만들고, 허용하지 않은 파일 형식이 있으면 경고
공지: 권한 없는 관리자 계정 비활성화
↓→
어제 이후 관리자 계정 목록이 늘어났는가?
→ 매일 비교하고, 늘어나면 담당자에게 경고
공지: 외부 신고 후 발견
↓→
결제 페이지에 로드되는 스크립트가 바뀌었는가?
→ 먼저 스스로 알아차리기(APORITO 글 참고)
고객이 파일을 업로드한다면 먼저 업로드 기능을 점검하세요
사진 상품이나 맞춤 인쇄처럼 고객 업로드가 서비스의 중심인 사이트에서는, 업로드 기능이 모든 회원에게, 때로는 인터넷 전체에 열린 입구가 됩니다. 관리자 화면에도 업로드 기능이 있는 경우가 많으므로 둘 다 점검해야 합니다.
확인할 것은 업로드된 파일이 실행될 수 없는 곳에 저장되는지입니다. 공개 제공되는 폴더 바깥이거나 스크립트가 실행되지 않는 위치여야 합니다. 전체 설계는 파일 업로드 취약점에서 확인하세요.
업로드 폴더 목록을 매일 만들고, 허용하지 않은 파일 형식이 있으면 경고하세요
설정이 올바르더라도 설정 누락이나 다른 경로로 있어서는 안 되는 파일이 남을 수 있습니다. 업로드 폴더의 파일 목록을 하루에 한 번 만들고, 허용한 형식 이외의 파일이 하나라도 있으면(예: jpg, png) 누군가에게 경고하세요.
파일 확장자와 실제 파일 형식을 확인하는 서버의 예약 작업(예: cron)만으로도 시작할 수 있습니다. 임대형 호스팅이나 전자상거래 플랫폼을 쓴다면, 제공 업체에 같은 점검 기능이 있는지 문의하세요.
관리자 계정 목록을 매일 비교하고, 늘어나면 경고하세요
이번 공지에는 ‘권한 없는 관리자 계정 비활성화’가 포함되어 있었습니다. 일반적으로 침입자는 최초 침입 경로가 차단된 뒤에도 다시 들어올 수 있도록 관리자 계정을 만들기도 합니다(일종의 백도어).
관리자 화면이나 데이터베이스에서 관리자 계정 목록을 하루에 한 번 내보내고, 전날과 비교하세요. 목록이 늘어났다면 담당자의 휴대전화로 경고를 보내세요. 누군가 만든 기억이 없는 계정은 그 자체로 침입의 신호입니다. 외부 회사가 상점을 구축하거나 운영한다면, 그 회사에 이 점검을 대신해 줄 수 있는지 문의하세요.
이 사이트의 견해: 외부 신고가 도착하기까지의 시간이 노출 기간이 됩니다
회사는 의심스러운 외부 프로그램이 로드되고 있다는 통보를 받은 뒤 조사를 시작했다고 밝혔습니다. 결제 페이지에 프로그램이 설치되면, 누군가 알아차리기 전에 카드를 입력한 모든 사람이 범위에 포함됩니다. 위의 두 가지 점검은 침입을 막지는 못합니다. 목적은 스스로 먼저 알아차리는 것입니다. 비용이 거의 들지 않으며, 작은 온라인 상점도 오늘 바로 시작할 수 있습니다.
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로나 기법에 대해서는 추측하지 않습니다.
- Daiko Printing Co., Ltd., “[중요] PhotoGoods 무단 접근으로 인한 개인정보 유출 가능성에 대한 사과 및 안내”(2026년 9월 16일, 일본어) — daiko-printing.co.jp
- Daiko Printing Co., Ltd., “PhotoGoods 긴급 점검 안내”(2026년 9월 12일, 일본어) — daiko-printing.co.jp
- PhotoGoods “서비스 중단” 공지(2026년 10월 7일 확인, 일본어) — photo-goods.com
업데이트 기록
2026-10-07: 첫 버전. Daiko Printing의 9월 16일 공지와 PhotoGoods 사이트의 서비스 중단 공지(10월 7일 확인)를 바탕으로 작성했습니다. 회사는 범위, 재개 날짜 등 세부 사항을 발표하겠다고 밝혔으며, 발표되면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 같은 유형의 사고: APORITO 온라인 스토어(RIZAP) 카드 정보 유출 가능성
- 운영자용: 파일 업로드 취약점 / PCI DSS란?
- 사기와 비밀번호: 피싱이란? / 내 비밀번호가 유출되었는지 확인하는 방법
- 2026년의 다른 사고: 2026년 데이터 유출 및 사이버 공격
- NewsPicks 데이터 유출 (카드 소지자 이름과 끝자리, 최대 362,000건)