대상: 일본 만화 앱 피코마의 뉴스레터를 받은 사람, 그리고 외부 발송 서비스를 통해 이메일을 보내는 모든 사람. 이 글은 Kakao piccoma Corp.의 공식 발표와 발송 서비스 측 공지를 근거로 작성되었으며, 공격이나 사기 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 26일 오전 기준아직 알려지지 않음
- 영향을 받은 고객에게 개별 연락이 이루어지는 방법과 시기
- 영향을 받은 뉴스레터 발송분
- 건수 변동 여부(발송 서비스가 지금까지 보고한 수치임)
- 발송 서비스가 침해된 방법
10월 24일 공지(첫 보고)에서 회사는 새로운 사실이 확인되면 같은 페이지에 신속히 게시하겠다고 밝혔습니다. 이 사이트가 10월 26일 오전 피코마 공지 목록을 확인했을 때는 후속 공지가 없었습니다. 발송 서비스는 10월 25일 10:00 업데이트에서 새로 확인된 정보가 없다고 밝혔고, 다음 보고를 2026년 10월 26일 일본 시간 약 10:00에 예정했습니다.
뉴스레터 수신자가 오늘 해야 할 일
피코마나 출판사를 사칭한 이메일이나 문자의 링크를 열지 마세요
회사는 피코마나 출판사를 사칭한 의심스러운 이메일과 문자에 주의하고, 예상치 못한 메시지의 링크를 열거나 개인 정보나 비밀번호를 입력하지 말라고 요청합니다.
무료 작품, 코인, 포인트 제공이나 계정 확인 요청은 앱 이용자에게 자연스럽게 보여 가짜를 알아채기 어렵습니다. 확인하려면 직접 연 피코마 앱이나 피코마 웹사이트를 이용하세요 (피싱이란? 참고).
이메일에서 비밀번호나 카드 번호를 입력하지 마세요
회사는 이메일로 비밀번호나 신용카드 정보를 요구하지 않는다고 밝혔습니다. 로그인 또는 결제 페이지로 연결되는 이메일은 그 이유만으로도 의심해야 합니다.
개별 안내를 받았다면 앱에서 확인하세요
회사는 영향을 받은 고객에게 개별적으로 연락하겠다고 밝혔지만, 방법(이메일, 앱 공지 또는 기타)은 밝히지 않았습니다. 회사 명의의 가짜 "사과" 메시지도 일반적으로 가능합니다. 링크를 열기 전에 같은 내용이 앱이나 웹사이트의 공지 섹션에 있는지 확인하세요.
회사는 이용자에게 비밀번호 변경을 요청하지 않았습니다
회사에 따르면 비밀번호는 blastmail에 전달된 적이 없어 유출될 수 없으며, 계정과 구매 정보도 영향을 받지 않았습니다. 따라서 이번 사건을 이유로 피코마 비밀번호를 서둘러 바꿀 근거는 발표에 없습니다. 다른 서비스와 같은 비밀번호를 쓰고 있다면, 지금이 이를 바꿀 좋은 때입니다.
무슨 일이 있었나요 (Kakao piccoma 발표 기준)
Kakao piccoma Corp.은 2026년 10월 24일 피코마에 "이메일 발송 시스템 무단 접근으로 인한 고객 이메일 주소 유출에 대한 공지 및 사과"(첫 보고, 일본어)라는 제목의 공지를 게시했습니다. 아래 내용은 모두 이 공지에 따른 것입니다. 상류 발송 서비스에서 일어난 일은 blastmail 이메일 발송 서비스 무단 접근에서 다룹니다.
2026년 10월 21일 (수), 약 0:30
blastmail을 운영하는 회사가 의심스러운 접근을 감지하고 모든 서비스를 중단합니다.10월 24일 (토)
발송 서비스가 뉴스레터 수신자 이메일 주소가 유출되었다고 피코마에 보고합니다.10월 24일
피코마가 공지(첫 보고)로 이를 발표하고, 뉴스레터를 중단하며, 개인정보보호위원회에 보고합니다.
피코마 앱, 웹사이트, 회사 시스템
계정, 비밀번호, 구매 정보
접근 없음, 영향 없음(회사)
이메일 발송 서비스(blastmail)
뉴스레터 수신자 이메일 주소(한 차례 발송, 1,002,404건)
제3자의 무단 접근으로 유출
↓ 일반적으로 발생할 수 있는 일
피코마나 출판사를 사칭한 가짜 이메일과 문자
링크를 열지 말고, 앱에서 확인하세요
- 대상
- 피코마 뉴스레터 한 차례 발송의 수신 고객(1,002,404건). 이 수치는 발송 서비스가 지금까지 보고한 것입니다
- 유출 항목
- 이메일 주소(뉴스레터 수신용으로 등록된 주소)
- 포함되지 않음
- 고객 관리 번호, 최근 구매일 등 유사 데이터(포함되지 않았다고 확인됨). 비밀번호는 blastmail에 전달된 적이 없어 유출될 수 없음
- 보유하지 않음
- 이름과 신용카드 정보(회사가 보유하지 않음)
- 피코마 자체
- 앱, 웹사이트, 회사 시스템에 접근이 없었음. 계정, 비밀번호, 구매 정보는 영향을 받지 않았으며 서비스는 평소처럼 작동함
- 피코마 노벨
- 뉴스레터에 대해 지금까지 유출이 확인되지 않음
- 회사 대응
- 뉴스레터 중단. blastmail에서 발송된 이메일을 정상적인 피코마 이메일로 취급하지 않도록 설정 변경. 개인정보보호위원회에 보고. 발송 서비스와 협력해 세부 사항과 영향을 받은 고객을 확인 중
- 문의
- 피코마 앱 또는 웹사이트의 "도움말" 아래 문의 양식
확인된 것과 확인되지 않은 것
회사의 10월 24일 공지와 발송 서비스의 10월 25일 10:00 업데이트를 바탕으로 2026년 10월 26일 오전 기준으로 작성했습니다. 후속 공지가 나오면 상태 열을 업데이트합니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 이메일 주소 | 뉴스레터 수신용으로 등록된 주소 | 유출 확인(회사) |
| 건수 | 1,002,404건(뉴스레터 한 차례 발송의 수신자). 발송 서비스가 지금까지 보고한 수치 | 회사 수치, 변동 가능 |
| 관리 번호, 최근 구매일 등 | 포함되지 않았다고 확인 | 포함되지 않음(회사) |
| 비밀번호 | blastmail에 전달된 적 없음, 유출될 수 없음 | 포함되지 않음(회사) |
| 이름, 신용카드 정보 | 회사가 보유하지 않음 | 포함되지 않음(회사) |
| 계정, 구매 정보 | 영향 없음 | 포함되지 않음(회사) |
| 피코마 앱, 웹사이트, 회사 시스템 | 접근 없음 | 접근 없음(회사) |
| 피코마 노벨 뉴스레터 | 지금까지 유출 확인되지 않음 | 확인되지 않음(회사) |
| 어느 발송분인지 | 밝히지 않음 | 밝히지 않음 |
| 개별 안내 | 회사는 고객에게 연락하겠다고 밝혔으나, 방법과 시기는 밝히지 않음 | 방법과 시기 미공개 |
| 발송 서비스가 침해된 방법 | 발송 서비스에 따르면 조사 중 | 조사 중 |
| 가짜 이메일 등의 악용 | 밝히지 않음 | 밝히지 않음 |
건수는 레코드 기준, 사람 수가 아님
회사는 1,002,404를 레코드 건수로 제시했습니다. 한 사람이 여러 주소를 등록했을 수 있으므로 사람 수와 같다고 볼 수는 없습니다. 이 글도 "건"이라는 표현을 씁니다.
이메일 주소만 유출되었을 때 발생할 수 있는 일
일반적으로 이메일 주소가 사용 중인 서비스와 함께 알려지면 다음과 같은 일이 생길 수 있습니다(회사는 이번 사건과 관련해 이런 내용을 보고하지 않았습니다).
일반적으로 발생할 수 있는 일
- 피코마 이름을 사용한 가짜 캠페인이나 "계정 확인" 이메일
- 출판사나 작품 이름을 사용해 로그인 또는 카드 입력 페이지로 유도하는 이메일
- 보상을 받으려면 개인 정보를 입력하라는 가짜 "사과" 이메일
이용자가 할 수 있는 일
- 피코마 앱에서 내용을 확인하기
- 이메일의 링크로 로그인하지 않기
- 이메일에서 비밀번호나 카드 번호를 입력하지 않기
이름은 포함되지 않았으므로 이번 유출만으로 실명을 넣은 이메일을 만들 수는 없습니다. 하지만 이름은 다른 경로로도 알려져 있을 수 있으므로, 정확한 이름이 있다고 해서 이메일이 진짜라는 증거는 아닙니다. 주소 유출 후 가짜 이메일에 대비하는 내용은 JR동일본, VIEW Card, JR규슈의 이메일 유출 가능성에서도 다룹니다.
외부 발송 서비스를 통해 이메일을 보내는 모든 사람을 위한 내용
발송 서비스가 침해된 방법은 아직 조사 중입니다. 이 섹션은 피코마 발표에서 따라 나오는 내용만 다룹니다. 발송 서비스의 대응과 고객사가 신고와 통지를 결정하는 방법은 blastmail 기사에서 다룹니다.
발송 서비스에는 발송에 필요한 정보만 제공하세요
회사에 따르면 이메일 주소만 유출되었고, 고객 관리 번호와 최근 구매일은 포함되지 않았습니다. 메일 발송 목록에 발송에 필요한 정보만 있고 회원 번호, 구매 내역, 이름이 없다면, 발송 서비스 침해로 노출되는 것은 그 이상이 아닙니다. 메일 발송 목록에 실제로 어떤 열이 있는지 적어 두고 한 번 점검하세요.
침해된 발송 서비스가 내 이름으로 발송하지 못하게 하세요
회사는 blastmail에서 발송된 이메일을 정상적인 피코마 이메일로 취급하지 않도록 설정을 변경했다고 밝혔습니다(구체적인 설정은 설명하지 않음). 일반적으로 발송 서비스가 내 도메인으로 발송하도록 허용하는 설정은 SPF, DKIM, DMARC로 구성합니다(수신자가 발신자가 진짜인지 확인하는 방식). 서비스가 침해되었을 때 이 허용을 어떻게, 누가 제거할지 미리 정해 두세요(기본 내용은 SPF, DKIM, DMARC 기초 참고).
발송이 중단되었을 때 이용자에게 닿을 다른 방법을 마련하세요
회사는 사건을 공지로 알렸고 문의를 앱과 웹사이트의 도움말 섹션으로 안내합니다. 뉴스레터를 중단했더라도 앱 공지처럼 자체 채널로 이용자에게 닿을 수 있습니다. 이메일 외에 이용자에게 알릴 방법이 있는지 확인하세요.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침해 방식과 원인은 추측하지 않습니다.
- Kakao piccoma Corp., "RAKUS Lite Cloud의 이메일 발송 시스템 blastmail 무단 접근으로 인한 고객 이메일 주소 유출에 대한 공지 및 사과(첫 보고)" (2026년 10월 24일, 일본어, 10월 26일 확인) — piccoma.com
- RAKUS Lite Cloud Corporation, "[중요] blastmail 긴급 정지 및 개인 데이터 유출에 대한 사과와 보고"(2026년 10월 25일 10:00 업데이트, 일본어) — info.blastmail.jp
업데이트 기록
2026-10-26: Kakao piccoma의 10월 24일 공지(첫 보고)와 발송 서비스의 10월 25일 10:00 업데이트를 바탕으로 한 첫 버전. 개별 안내나 건수에 대한 후속 공지가 나오면 업데이트합니다.
다음으로 읽을 글
- 상류 발송 서비스 사건과 기타 피해 기관: blastmail 이메일 발송 서비스 무단 접근
- 유사 사건: Ymirlink의 Cuenote FC 무단 접근
- 가짜 이메일 식별: 피싱이란?
- 발신자 확인(사이트 운영자용): SPF, DKIM, DMARC 기초
- 2026년 기타 사건: 데이터 유출 및 사이버 공격 목록