대상: 일본 설문 사이트 Qzoo에 회원(패널)으로 등록한 사람, 그리고 보상 지급 등을 위해 회원의 은행 계좌 정보를 보유한 서비스를 운영하는 사람. 이 글은 Monitas Inc.의 공식 공지를 근거로 하며, 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 28일 기준아직 알려지지 않음
- 실제로 유출된 항목과 건수(회사가 파악 중)
- 인원수(공지는 건수로 집계)
- 비밀번호 저장 방식
- 데이터베이스 '갱신'으로 무엇이 바뀌었는지
- 원인의 세부 내용과 재발 방지 대책
- 서비스 재개 시점
- 영향을 받은 사람에게 개별 연락하는 방법과 시기
회사는 조사 결과, 새로운 사실, 서비스 재개 전망을 파악되는 대로 Qzoo 공지 화면에 발표하겠다고 밝혔습니다. 10월 28일 이 사이트가 회사 뉴스 목록과 Qzoo 사이트를 확인했을 때 Qzoo는 계속 공지를 표시하고 있었고, 이 사고에 대한 후속 발표는 없었습니다.
회원이 오늘 해야 할 일
Qzoo와 같은 비밀번호를 쓰는 서비스의 비밀번호를 바꾸세요
회사는 Qzoo와 같은 이메일 주소와 비밀번호 조합을 다른 서비스에서 쓰는 회원에게 해당 서비스의 비밀번호를 신속히 변경해 달라고 요청합니다. 비밀번호가 어떻게 저장되었는지는 밝히지 않았습니다.
이메일과 비밀번호 조합이 알려지면 다른 사이트에서 시도될 수 있습니다. 이메일, 인터넷뱅킹, 온라인 쇼핑, 포인트 서비스부터 시작해 서비스마다 다른 비밀번호를 쓰세요. 정리에는 비밀번호 관리자가 현실적인 방법입니다. 이메일 계정에는 2단계 인증도 켜 두세요.
Qzoo 비밀번호 자체에 대해서는 서비스 재개 시 모든 패널에게 재설정을 요청하겠다고 회사가 밝혔습니다.
Qzoo나 Monitas를 사칭한 이메일이나 문자의 링크와 첨부 파일을 열지 마세요
회사는 Qzoo나 회사를 사칭한 이메일, 문자 등에 주의하라고 경고하며, 회원에게 비밀번호 등의 정보 입력을 요구하는 연락은 하지 않는다고 밝혔습니다. 의심스러운 이메일의 URL이나 첨부 파일을 열지 말라고 요청합니다.
회사는 영향을 받은 사람에게 순차적으로 개별 연락하겠다고 밝혔기 때문에, 진짜 메시지와 가짜 메시지가 동시에 도착할 수 있습니다. '보상 지급 계좌 확인', '비밀번호 재설정', '사과'에 관한 메시지를 받으면 그 안의 링크를 쓰지 말고 회사 공식 웹사이트의 공지를 확인하세요(피싱이란? 참고).
은행이나 경찰을 사칭하는 상대에게 비밀번호(PIN)나 로그인 정보를 절대 알려주지 마세요(이 사이트의 조언)
이 단계와 다음 단계는 계좌번호, 지점명, 예금주명이 대상에 포함되어 있기 때문에 이 사이트가 드리는 조언입니다. 회사 공지에서 요청한 내용은 아닙니다.
계좌번호와 예금주명은 돈을 받기 위해 다른 사람에게 알려주는 정보이며, 그것만으로는 돈을 인출할 수 없습니다. 인출이나 이체에는 현금카드와 비밀번호(PIN), 또는 인터넷뱅킹 로그인 정보와 인증 코드 등이 필요합니다. 주의할 것은 은행, 회사, 경찰을 사칭한 사람이 계좌 정보를 이용해 진짜처럼 들리게 하면서 계좌가 악용되고 있다거나 지급 계좌를 확인해야 한다고 말하는 연락입니다.
일반적인 안내로, 일본 전국은행협회는 고객에게 비밀번호(PIN)나 암호를 묻지 않는다고 밝히고 있으며, 일본 경찰청은 경찰관이 전화 등으로 비밀번호(PIN)를 묻지 않는다고 밝히고 있습니다. 비밀번호(PIN), 로그인 정보, 일회용 비밀번호(한 번만 쓰는 인증 코드)를 전화, 이메일, 문자로 절대 알려주지 마세요.
통장이나 은행 앱에서 기억나지 않는 거래가 없는지 확인하세요(이 사이트의 조언)
Qzoo에 등록한 계좌의 통장이나 은행 앱에서 기억나지 않는 입금, 출금, 인출이 없는지 확인하세요. 발견하면 통장, 현금카드 뒷면, 은행 공식 웹사이트에 있는 번호로 즉시 은행에 연락하세요. 받은 메시지에 적힌 번호로 전화하지 마세요. 일본 경찰청도 캐시리스 결제 서비스를 통한 부정 출금을 발견한 사람에게 은행 등과 경찰 양쪽에 연락하라고 요청하고 있습니다.
회사 공지는 회원에게 은행에 연락하라고 요청하지 않습니다. 계좌번호가 유출되었을 가능성만으로 계좌를 바꿔야 한다는 공식 안내는 찾지 못했습니다.
자택으로 오는 의심스러운 우편물과 연락에 주의하세요
회사는 회원 자택으로 오는 의심스러운 우편물과 연락에 주의하라고 경고합니다. 주소와 생년월일이 대상에 포함되어 있으므로, 그럴듯한 가짜 연락은 이메일뿐 아니라 엽서, 편지, 전화로도 올 수 있습니다.
발신자가 이름, 주소, 생년월일, 등록한 은행 계좌를 정확히 말한다고 해서 진짜라는 증거가 되지는 않습니다. 바로 그 정보들이 유출되었을 가능성이 있기 때문입니다. 문의할 때는 공지에 기재된 연락처(Qzoo 고객 문의: qzoo_support@monitas.co.jp)나 회사 공식 웹사이트에서 확인한 연락처를 이용하세요.
하지 말아야 할 일
이메일이나 문자의 링크로 'Qzoo 로그인 페이지'를 열어 비밀번호를 입력하지 마세요. 10월 28일 기준 Qzoo는 중단된 상태이며, 회사는 서비스 재개 시 회원에게 비밀번호 재설정을 요청하겠다고 밝혔습니다. 지금 로그인이나 비밀번호 입력을 요구하는 메시지는 우선 의심하세요.
이메일 주소나 비밀번호가 과거 유출에 포함되었는지 확인하려면 비밀번호 유출 여부 확인 방법을 따르세요. 확인한다고 낯선 사이트에 비밀번호 자체를 입력하지 마세요.
무슨 일이 있었나요 (Monitas 공지 기준)
Monitas Inc.는 2026년 10월 21일 회사 웹사이트와 Qzoo 사이트 양쪽에 사과 및 공지를 게시했습니다. 아래 내용은 모두 회사 공지에 따른 것입니다. 시각은 일본 시간입니다.
2026년 10월 17일(토) 8:30
제3자의 무단 접근이 시작됩니다.10월 17일 12:22
SQL 인젝션을 통해 데이터베이스가 열람·갱신됩니다.10월 17일 18:44
사고를 탐지하고 제3자의 접근을 차단합니다.10월 17일 19:02
Qzoo가 긴급 점검에 들어갑니다(그날부터 서비스 중단).10월 20일(화) 18:07
개인정보보호위원회에 속보를 보고합니다. 회사는 같은 날 위원회와 관계 기관에 보고·상담했다고 밝혔습니다.10월 21일(수)
사과 및 공지를 게시합니다.
- 대상
- 약 40만 건(10월 17일 시점, Qzoo 시스템이 보유한 전체 건수)
- 항목
- 다음 정보가 저장된 데이터베이스가 영향을 받았을 가능성이 있으며, 회사가 정확한 항목을 파악 중: 기본 정보(이름, 생년월일, 주소, 전화번호, 이메일 주소 등), 회원 인증 정보(회원 ID, 비밀번호 등), 금융 정보(계좌번호, 지점명, 예금주명 등), 설문 응답(연 수입, 직업 등 회사가 취득한 속성 데이터 등)
- 포함되지 않음
- 회사는 신용카드 정보와 마이넘버를 보유하고 있지 않음
- 원인
- 제3자가 자사 시스템의 취약점을 악용해 침입한 것을 확인. 외부 전문가의 협력을 받아 원인과 범위를 계속 조사 중
- 범위의 한계
- Qzoo는 회사의 다른 시스템과 독립된 전용 시스템에서 운영되며, 다른 시스템에 대한 무단 접근은 확인되지 않음
- 대응
- 서비스를 중단하고 접근 차단 등 긴급 조치를 시행. 조사 결과를 바탕으로 재발 방지 대책을 마련하고 안전이 확인되면 서비스를 재개할 예정
- 비밀번호
- 서비스 재개 시 모든 패널에게 비밀번호 재설정을 요청할 예정
- 연락처
- Qzoo 고객 문의, qzoo_support@monitas.co.jp
같은 시기의 별도 공지(PHP 취약점 대응)
회사는 10월 23일, 25일, 26일에 10월 21일 발표된 프로그래밍 언어 PHP의 취약점에 대응하기 위해 회사 웹사이트(10월 23일 재개)와 기타 서비스(10월 26일 정오 재개)를 일시 중단했다는 공지를 게시했습니다. 이 공지들은 Qzoo 침해 사고와는 별개이며 Qzoo를 언급하지 않습니다. 10월 28일 확인했을 때 Qzoo 사이트는 계속 침해 사고 공지를 표시하고 있었습니다.
확인된 것과 확인되지 않은 것
2026년 10월 28일 기준 상태입니다. 후속 보고가 발표되면 이 표를 업데이트합니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 무단 접근 발생 | 10월 17일 제3자의 무단 접근 확인 | 확인(회사) |
| 대상 건수 | 약 40만 건(10월 17일 시점 Qzoo 시스템이 보유한 전체 건수) | 확인(회사) |
| 인원수 | 건수로 발표, 인원수는 밝히지 않음 | 밝히지 않음 |
| 기본 정보(이름, 생년월일, 주소, 전화, 이메일 등) | 이를 저장한 데이터베이스가 영향을 받았을 가능성 | 가능성(회사) |
| 회원 인증 정보(회원 ID, 비밀번호 등) | 위와 같음 | 가능성(회사) |
| 금융 정보(계좌번호, 지점명, 예금주명 등) | 위와 같음 | 가능성(회사) |
| 설문 응답(연 수입, 직업, 속성 데이터 등) | 위와 같음 | 가능성(회사) |
| 실제로 유출된 항목 | 파악 중 | 조사 중 |
| 신용카드 정보, 마이넘버 | 보유하지 않음 | 포함되지 않음(회사) |
| 비밀번호 저장 방식 | 밝히지 않음 | 밝히지 않음 |
| 데이터베이스 '갱신'으로 바뀐 내용 | 경위에 '열람 및 갱신'이라고 되어 있으나 무엇이 바뀌었는지는 밝히지 않음 | 밝히지 않음 |
| Qzoo 이외의 회사 시스템 | 무단 접근 확인되지 않음 | 확인되지 않음(회사) |
| 원인 개요 | 자사 시스템의 취약점을 악용한 침입 | 확인(회사) |
| 원인 세부 내용, 재발 방지 | 외부 전문가와 함께 조사 중 | 조사 중 |
| 데이터 악용 여부 | 밝히지 않음 | 밝히지 않음 |
| 서비스 재개 | 안전이 확인되면 재개, 전망은 파악되는 대로 발표 | 조사 중 |
읽는 법: '가능성'과 '건수'
공지는 네 종류의 정보가 저장된 데이터베이스가 영향을 받았을 가능성이 있다고 말하며, 실제로 어떤 항목이 유출되었는지는 아직 파악 중입니다. 유출이 확정되었다고는 말하지 않습니다. 약 40만 건이라는 수치는 '보유 전체 건수'이며, 중복 등록이나 탈퇴 회원 등 인원수와의 관계는 공지에서 설명하지 않습니다.
유출 가능성이 있는 항목의 조합이 악용될 수 있는 방식
아래는 대상 항목의 조합이 일반적으로 어떻게 악용될 수 있는지에 대한 설명입니다. 회사는 이번 사고에서 이런 일이 일어났다고 밝히지 않았습니다.
이메일 주소 + 비밀번호
↓→
같은 조합이 다른 서비스에서 시도될 수 있음
→ 재사용한 비밀번호 변경 / 이메일에 2단계 인증 켜기
이름 + 계좌번호, 지점, 예금주명
↓→
등록한 계좌를 언급할 수 있는, 은행이나 경찰을 사칭한 가짜 연락
→ 비밀번호(PIN), 로그인 정보, 코드를 절대 알려주지 않기 / 거래 내역 확인
주소 + 생년월일 + 연 수입, 직업
↓→
우편이나 전화를 포함해, 상황에 맞춘 가짜 본인 확인이나 권유
→ 내 정보를 안다고 해서 진짜 발신자는 아님
포함되지 않는다고 밝힌 것
- 신용카드 정보(보유하지 않음)
- 마이넘버(보유하지 않음)
- Qzoo 이외의 회사 시스템(무단 접근 확인되지 않음)
유출 가능성(조사 중)
- 이름, 생년월일, 주소, 전화번호, 이메일 주소 등
- 회원 ID, 비밀번호 등
- 계좌번호, 지점명, 예금주명 등
- 연 수입, 직업 등 설문 응답
다른 설문 사이트인 infoQ의 과거 사례에서는 첫 보고의 '최대' 수치가 두 번째 보고에서 확정 수치로 바뀌었습니다. 그렇다고 이번에도 같은 일이 일어난다는 뜻은 아닙니다. 후속 발표가 나오면 이 글의 표를 다시 작성합니다.
회원의 은행 계좌 정보를 보유한 서비스를 운영하는 분께
이번 사고의 특징은 은행 계좌 정보, 연 수입 등 설문 응답, 로그인 정보가 모두 영향을 받았을 가능성이 있는 범위에 들어 있었다는 점입니다. 회사는 경위에서 SQL 인젝션을 통해 데이터베이스가 열람·갱신되었다고 밝혔습니다. 취약점이 어디에 있었는지는 밝히지 않았으므로, 아래는 같은 유형의 서비스에 대한 일반적인 사항입니다.
계좌 정보는 회원 데이터와 분리해, 별도 권한으로 저장하세요
일반적으로 계좌 정보처럼 무거운 항목은 회원 프로필이나 설문 응답과 다른 데이터베이스(또는 별도의 암호화된 영역)에 두고, 지급 처리만 읽을 수 있게 합니다. 웹사이트 화면을 처리하는 계정이 계좌 정보까지 읽을 수 있다면, 결함이 있는 입구 하나로 모든 것이 드러납니다.
모든 데이터베이스 쿼리를 값을 SQL에 끼워 넣지 않는 방식으로 작성하세요
SQL 인젝션은 입력값이 SQL 문 자체의 일부로 처리되는 취약점의 총칭입니다(SQL 인젝션이란? 참고). 일반적으로 플레이스홀더(매개변수화된 쿼리)로 통일하고, 오래된 화면과 관리 기능도 점검 대상에 포함하세요.
비정상적인 대량 읽기·쓰기를 탐지할 수 있게 하세요
회사 공지에 따르면 무단 접근 시작(8:30)부터 탐지(18:44)까지 약 10시간이 걸렸습니다. 일반적으로 요청당 읽은 행 수, 오류 급증, 평소 변경되지 않는 테이블에 대한 쓰기를 기록하고 임계값을 넘으면 담당자에게 알리는 것이 알아차리기까지의 시간을 줄이는 현실적인 첫걸음입니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 자료를 근거로 합니다. 공개되지 않은 수법이나 원인의 세부 내용은 추측하지 않습니다.
- Monitas Inc., 설문 사이트 Qzoo 무단 접근으로 인한 개인정보 유출 가능성에 관한 사과 및 공지(2026년 10월 21일, 일본어) — monitas.co.jp
- Qzoo(Monitas Inc.), 회원용 같은 공지(2026년 10월 21일자, 10월 28일 확인, 일본어) — qzoo.jp
- Monitas Inc., PHP 취약점 대응에 관한 공지(2026년 10월 23일, 25일, 26일, 이 사고와 별개, 일본어) — monitas.co.jp
- 일본 전국은행협회, 가짜 사이트 및 협회 직원 사칭 주의 안내(일반 안내, 일본어) — zenginkyo.or.jp
- 일본 경찰청, 캐시리스 결제 서비스를 통한 은행 계좌 부정 출금 주의 안내(일반 안내, 일본어) — npa.go.jp
업데이트 기록
2026-10-28: Monitas의 10월 21일 공지를 바탕으로 한 첫 버전. 회사는 조사 결과, 새로운 사실, 서비스 재개 전망을 파악되는 대로 발표하겠다고 밝혔으며, 발표되면 이 글을 업데이트합니다.
다음으로 읽을 글
- 다른 설문 사이트 사고: 설문 사이트 infoQ 침해 사고
- 은행 계좌 정보가 유출되었을 가능성이 있는 다른 사례: 라신방 침해 사고(신분증 번호와 매입 대금 지급 계좌)
- 비밀번호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 고르기
- 2단계 인증: 다요소 인증 시작하기
- 후속 사기: 피싱이란?
- 운영자용: SQL 인젝션이란?
- 2026년 다른 사고: 침해 및 사이버 공격 목록(일본 및 전 세계)