피자헛 재팬 온라인 주문 정보 유출: 이메일 주소, 전화번호, 로그인 세션 토큰 유출 및 고객이 해야 할 일

회사는 제3자가 유출된 이메일 주소와 전화번호를 이용해 회사나 피자헛을 사칭하는 수상한 이메일이나 문자를 보내거나 전화를 걸 수 있다고 밝혔습니다. 예상치 못한 메시지의 링크를 클릭하거나 첨부 파일을 열지 말라고 고객에게 당부합니다.

쿠폰, 캠페인, 사과 포인트, 주문 확인은 피자를 주문해 본 사람에게 자연스럽게 보이므로 가짜를 알아보기가 더 어렵습니다. 확인할 때는 피자헛 공식 앱이나 직접 연 공식 웹사이트를 이용하세요(피싱이란? 참고).

회사는 이런 메시지에 응해 비밀번호나 신용카드 정보 같은 중요한 정보를 입력하거나 알려주지 말라고 고객에게 당부합니다. 로그인이나 결제 페이지로 이동시키는 메시지, 카드 번호나 인증 번호를 묻는 전화는 그것만으로도 의심해야 합니다.

유출 정보에는 세션 로그인 토큰(로그인 상태를 유지하는 정보)과 거래 기록이 포함됩니다. 발표는 토큰이 무효화되었는지 밝히지 않습니다. 공식 앱이나 직접 연 웹사이트로 로그인해서, 본인이 하지 않은 주문이 없는지, 등록된 이메일 주소, 전화번호, 배달 주소가 바뀌지 않았는지 확인하세요.

피자헛 재팬의 상담 전화는 0120-679-023(10:00–19:00, 일본 시간)이며, 공식 웹사이트의 문의 양식(pizzahut.jp/faq)도 있습니다. 둘 다 회사 발표에 나와 있습니다. 받은 이메일이나 문자에 적힌 전화번호가 아니라 이 연락처를 이용하세요.

비밀번호는 유출 정보 목록에 없으며, 회사는 비밀번호 변경을 요청하지 않습니다. 그래도 다른 서비스에서 같은 비밀번호를 재사용하고 있다면 지금이 고칠 좋은 기회이며, 앞으로의 가짜 메시지에 대비하는 데도 도움이 됩니다(비밀번호 관리자 선택하기).

발표에 따르면, 접근은 시스템 간에 결제 관련 정보를 주고받는 구조로 설명된 결제 API를 통해 이루어졌고, 고객 정보를 포함한 데이터베이스에서 정보가 취득되었습니다. 일반적으로 시스템 간 연동용 API는 고객용 화면보다 넓은 데이터베이스 접근 권한으로 설정되는 경우가 많습니다. 연동 API가 회원 데이터, 토큰, 탈퇴한 계정의 기록 등 필요 없는 테이블을 읽을 수 있는지 확인하세요.

세션 로그인 토큰이 유출 항목에 포함되었습니다. 일반적으로 토큰을 데이터베이스에 그대로 저장하지 않고(해시를 저장해 비교), 유효 기간을 짧게 하며, 유출이 의심될 때 모든 사용자의 토큰을 한꺼번에 무효화할 수 있게 해 두면 유출의 영향을 줄일 수 있습니다. 어떻게 무효화하고 고객에게 어떻게 알릴지 미리 정해 두세요.

삭제된 고객 정보와 관련된 기록이 유출 항목에 포함되었습니다. 탈퇴 후 보관하는 정보를 법령이나 회계상 필요한 것으로 제한하고 그 기간이 지나면 삭제하면, 사고가 났을 때 영향을 받는 인원을 줄일 수 있습니다.