보안 가이드

Ricardo(스위스 마켓플레이스) 정보 유출, 약 89만 계정: 이름·주소·전화번호 노출, 이용자가 해야 할 일

스위스의 Ricardo는 2026년 10월 9일 약 89만 계정의 이름, 우편 주소, 전화번호가 노출되었다고 발표했습니다. 이메일 주소와 비밀번호는 영향을 받지 않았습니다.

게시 2026-10-31 업데이트 2026-10-31 최종 확인 2026-10-31 7분 읽기

이 페이지에서

대상: 스위스 온라인 마켓플레이스 Ricardo의 이용자(구매자, 판매자, 기업 사용자 포함). 이 글은 Ricardo의 모회사 SMG Swiss Marketplace Group의 공식 발표를 바탕으로 하며 공격 수법은 다루지 않습니다.

진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다

대상: 스위스 온라인 마켓플레이스 Ricardo의 이용자(구매자, 판매자, 기업 사용자 포함).
확인된 영향 범위표 보기 ↓: 이름, 우편 주소, 전화번호
회사명(기업 사용자)
규모
3개 더 보기
감지일
취약점 수정
당국 신고
아직 확인되지 않은 사항: 취약점의 내용
무단 접근이 있었던 기간
노출된 데이터가 공개되거나 악용되었는지
1개 더 보기
개별 연락을 받지 못한 이용자가 확인하는 방법
지금 할 일절차 보기 ↓: 카드 정보나 은행·TWINT 로그인 정보를 요구하는 연락에 답하지 않기
링크를 열지 말고, 앱이나 북마크로 Ricardo에 들어가기
예상치 못한 우편은 적힌 연락처를 쓰지 않고 다루기
2개 더 보기
Ricardo의 개별 연락을 앱으로 확인하기
발표는 비밀번호 변경을 요구하지 않음
확인처(출처)출처 전체 ↓: SMG Swiss Marketplace Group, 「Ricardo fixes security vulnerability affecting user data」(2026년 10월 9일, 영어. 독일어·프랑스어판 있음)
마지막 확인: 2026년 10월 31일 기준

후속 발표 예정과 확인 기록

10월 9일 발표에는 후속 발표 계획이 적혀 있지 않습니다. 10월 31일 기준으로 SMG의 보도자료 목록에 이 건의 후속 발표는 없습니다.

Ricardo 이용자가 오늘 해야 할 일

카드 정보나 은행·TWINT 로그인 정보를 요구하는 연락에 답하지 않기

이름과 전화번호가 함께 있으면, Ricardo 고객지원이나 거래 상대를 자칭하는 전화와 SMS가 진짜처럼 들릴 수 있습니다. SRF 취재에 SMG 대변인은 신용카드 정보나 은행·TWINT(스위스의 모바일 결제 앱) 로그인 정보 같은 민감한 정보를 요구하는 예상치 못한 우편, 전화, SMS, WhatsApp 메시지에 특히 주의하라고 당부했습니다.

이런 정보를 요구하는 상대에게는 답하지 말고 전화를 끊으세요. 상대가 이름이나 주소를 알고 있어도 본인 확인이 되지는 않습니다.

링크를 열지 말고, 앱이나 북마크로 Ricardo에 들어가기

거래 알림이나 「대금 수령」 요청을 가장한 메시지의 링크는 열지 마세요. 확인하려면 직접 Ricardo 앱을 열거나 북마크로 사이트에 들어가세요(구별법: 피싱이란?).

예상치 못한 우편은 적힌 연락처를 쓰지 않고 다루기

우편 주소도 노출되었습니다. 모르는 청구서나 안내가 오면 거기 적힌 URL, QR 코드, 전화번호는 쓰지 말고, 직접 찾은 공식 창구로 확인하세요. 이는 일반적인 주의이며, 회사가 그런 우편이 발송되고 있다고 발표한 것은 아닙니다.

Ricardo의 개별 연락을 앱으로 확인하기

회사는 영향을 받은 이용자에게 사건의 내용, 영향, 취할 수 있는 예방 조치를 직접 알린다고 밝혔습니다. 받은 연락이 진짜인지 망설여지면, 그 연락의 링크가 아니라 앱이나 북마크로 연 Ricardo 화면에서 확인하세요.

발표는 비밀번호 변경을 요구하지 않음

회사는 이메일 주소와 비밀번호가 영향을 받지 않았다고 밝혔습니다. 다른 서비스와 같은 비밀번호를 재사용하고 있다면 점검하는 것이 일반적으로 좋은 습관이지만, 이번 사건에서 요구되는 절차는 아닙니다(참고: 비밀번호 관리자의 작동 방식과 고르는 법).

무슨 일이 있었나요 (SMG Swiss Marketplace Group 발표 기준)

아래는 SMG Swiss Marketplace Group이 2026년 10월 9일에 낸 발표(영어, 독일어, 프랑스어)를 바탕으로 합니다.

2026년 10월 7일
Ricardo가 서버에서 의심스러운 활동을 감지하고, 시스템을 보호하기 위한 기술적 조치를 즉시 시작.
10월 9일
SMG가 주문에 연결된 개인 데이터에 대한 무단 접근과 취약점 수정을 발표. 약 89만 계정의 개인 데이터가 노출되었으며 FDPIC에 신고했다고 밝힘.
10월 31일 기준
SMG의 보도자료 목록에 이 건의 후속 발표는 없습니다.

약 89만

데이터가 노출된 계정 수(사람 수 아님)

3개 항목＋회사명

이름, 우편 주소, 전화번호(기업 사용자는 회사명)

영향 없음

이메일 주소와 비밀번호(회사)

수정 완료

접근을 허용한 취약점(회사)

노출(약 89만 계정)

이름, 우편 주소, 전화번호. 기업 사용자는 회사명도

영향 없음(회사)

이메일 주소와 비밀번호. 결제 정보는 언급 없음

노출된 것은 전화와 우편 연락처이므로 전화, SMS, 메신저 앱, 우편을 특히 경계하세요. 사기 이메일도 일반적으로는 있을 수 있습니다.

노출된 항목과 회사가 영향 없다고 밝힌 항목(발표 기준)

발표 내용(SMG Swiss Marketplace Group, 2026년 10월 9일)

일어난 일: Ricardo 플랫폼에서 주문에 연결된 개인 데이터에 대한 무단 접근
노출된 데이터: 이름, 우편 주소, 전화번호. 기업 사용자는 회사명도. 회사는 노출된 것이 이것들로 한정된다고 밝힘
영향 없음(회사): 이메일 주소와 비밀번호
규모: 약 89만 개 사용자 계정
원인: 접근을 허용한 보안 취약점. 완전히 해결되었다고 밝힘. 내용은 공개되지 않음
이용자에 대한 연락: 영향을 받은 이용자에게 사건의 내용, 영향, 취할 수 있는 예방 조치를 직접 알림
신고: FDPIC에 신고 완료. 경찰 형사 고소와 국가사이버보안센터(NCSC) 보고 예정

확인된 것과 확인되지 않은 것

2026년 10월 31일 기준 상태입니다. 후속 발표가 나오면 상태 열을 업데이트합니다.

항목	발표 내용	상태
이름, 우편 주소, 전화번호	약 89만 계정분이 노출	유출 확인(회사)
회사명(기업 사용자)	노출	유출 확인(회사)
이메일 주소	영향을 받지 않음	포함되지 않음(회사)
비밀번호	영향을 받지 않음	포함되지 않음(회사)
결제 정보(카드, 계좌)	발표에 언급 없음	기재 없음
규모	약 89만 개 사용자 계정(사람 수 아님)	확인(회사)
감지일	2026년 10월 7일	확인(회사)
취약점 수정	완전히 해결	확인(회사)
취약점의 내용, 접근 기간	기재 없음	조사 중
데이터의 공개·악용	발표에 언급 없음. SRF에 따르면 SMG 대변인은 통신사 AWP에 데이터가 한 번도 자유롭게 접근 가능한 상태가 아니었고, 지금까지 협박이나 몸값 요구도 없었다고 말함	기재 없음
당국 신고	FDPIC에 신고 완료. 경찰과 NCSC는 예정	확인(회사)

읽는 법: 「기재 없음」은 「없었다」는 뜻이 아닙니다

결제 정보와 데이터 악용은 발표에 적혀 있지 않을 뿐입니다. 주소와 전화번호는 이미 노출되었으므로, 나중에 사기 연락에 쓰일 수 있다고 생각하고 행동하세요.

이름·주소·전화번호로 무슨 일이 일어날 수 있나요

일반적으로 다음 조합은 다음과 같이 악용될 수 있습니다. 이번에 그런 일이 일어났다는 뜻은 아닙니다.

이름＋전화번호: Ricardo 고객지원이나 거래 상대를 자칭하는 전화·SMS로 「대금 수령」이나 「계정 확인」을 구실로 카드 정보나 로그인 정보를 알아내려 함
이름＋우편 주소: 청구서나 환불 안내를 가장한 우편으로 가짜 사이트나 전화번호로 유도
회사명＋전화번호(기업 사용자): 거래처나 그 담당자를 가장한 전화로 결제 계좌 변경 등을 제안

과거 사례로, 연락처와 계약 번호가 유출된 ENGIE 고객 정보 유출에서는 회사를 사칭하는 전화에 대한 주의가 중심이었습니다. 이번에도 같은 흐름이 된다고 단정할 수는 없습니다.

운영자가 점검할 일: 주문에 연결된 연락처를 얼마나 보관할지

원인인 취약점은 공개되지 않았습니다. 이 절은 Ricardo의 대응을 평가하는 것이 아니라, 노출된 항목에서 말할 수 있는 일반적인 점검입니다.

주문에 연결된 주소와 전화번호를 언제까지 보관할지 정하기. 발표에 따르면 노출된 것은 주문에 연결된 개인 데이터였습니다. 배송과 연락이 끝난 주문의 주소와 전화번호를 언제 지울지, 또는 표시를 줄일지 정해 두면 침해가 일어났을 때 노출되는 양이 줄어듭니다.
이용자에게 무엇을 요구하지 않는지 알리기. 「전화나 메시지로 카드 정보나 로그인 정보를 요구하지 않는다」고 명시한 안내를 개별 연락과 함께 보내면, 이용자가 가짜 연락을 구별하기 쉬워집니다.

출처 (공개 기록)

이 글의 사실은 다음 공개 정보를 바탕으로 합니다. 공개되지 않은 침입 경로나 수법은 추측하지 않습니다.

SMG Swiss Marketplace Group, 「Ricardo fixes security vulnerability affecting user data」(2026년 10월 9일, 영어. 독일어·프랑스어판 있음) — swissmarketplace.group
같은 회사, 보도자료(PDF, 2026년 10월 9일) — swissmarketplace.group
SRF, 「«Keine Erpressung» – Ricardo meldet Datenleck bei 890'000 Konten」(2026년 10월 9일, 독일어). SMG 대변인의 주의 당부와, 협박·몸값 요구가 없다는 설명의 출처 — srf.ch

업데이트 기록

2026-10-31: 첫 버전. SMG Swiss Marketplace Group의 10월 9일 발표와 SRF 보도를 바탕으로 합니다. 10월 31일 기준으로 회사의 보도자료 목록에 이 건의 후속 발표는 없습니다. 후속 발표가 나오면 이 글을 업데이트합니다.

다음으로 읽을 글

같은 유형의 사건: ENGIE 고객 정보 유출
유출 뒤에 따르는 사기: 피싱이란?
2026년 기타 사건: 2026년의 데이터 유출과 사이버 공격

FAQ

QRicardo에서 무엇이 노출되었나요?

SMG Swiss Marketplace Group의 2026년 10월 9일 발표에 따르면, 노출된 것은 이름, 우편 주소, 전화번호이며 기업 사용자의 경우 회사명도 포함됩니다. 회사는 노출된 데이터가 이 항목들로 한정된다고 밝혔습니다.

Q저도 대상인가요? 몇 명이 대상인가요?

회사는 약 89만 개 사용자 계정과 관련된 개인 데이터가 노출되었다고 밝혔습니다. 이는 계정 수이며 사람 수가 아닙니다. Ricardo는 영향을 받은 이용자에게 직접 알리고 있다고 합니다. 연락을 받지 못한 사람이 스스로 확인하는 방법은 발표에 나와 있지 않습니다.

Q이메일 주소나 비밀번호를 바꿔야 하나요?

회사는 이메일 주소와 비밀번호가 영향을 받지 않았다고 밝혔으며, 발표는 비밀번호 변경을 요구하지 않습니다. 카드나 은행 계좌 같은 결제 정보는 발표에 언급되어 있지 않습니다.

Q원인은 무엇인가요?

회사는 보안 취약점으로 인해 접근이 가능했으며 이를 수정했다고 밝혔습니다. 취약점의 내용, 접근 기간, 배후는 공개되지 않았습니다. Ricardo는 경찰에 형사 고소를 하고 스위스 국가사이버보안센터(NCSC)에도 보고할 예정이라고 밝혔습니다.

QRicardo나 구매자·판매자를 자칭하는 연락이 오면 어떻게 하나요?

SRF 취재에 SMG 대변인은 신용카드 정보나 은행·TWINT 로그인 정보 같은 민감한 정보를 요구하는 예상치 못한 우편, 전화, SMS, WhatsApp 메시지에 특히 주의하라고 당부했습니다. 링크를 열지 말고, 상대가 알려준 번호로 다시 걸지 말고, 직접 Ricardo 앱이나 북마크를 열어 확인하세요.

Q우편 주소가 노출되었는데, 우편으로도 사기가 올 수 있나요?

우편 주소가 노출되었으므로 청구서나 당첨 안내를 가장한 우편이 오는 것은 일반적으로 생각할 수 있습니다. Ricardo가 그런 일이 있었다고 밝힌 것은 아닙니다. 그런 우편에 적힌 URL, QR 코드, 전화번호는 사용하지 말고, 모르는 청구에는 응하지 마세요.