대상: 2026년 5월 1일부터 8월 5일 사이에 RIZAP의 APORITO 온라인 스토어에서 쇼핑하거나 정보를 입력한 사람, 그리고 온라인 쇼핑몰을 운영하는 사람. 이 글은 RIZAP Co., Ltd.의 공식 공지를 바탕으로 하며 공격 기법은 다루지 않습니다.
고객이 오늘 해야 할 일
영향을 받았는지 확인하십시오 — 주문을 끝내지 않은 사람도 해당됩니다
영향을 받은 사람은 2026년 5월 1일부터 8월 5일 사이에 APORITO 온라인 스토어에서 주문하거나 정보를 입력한 사람입니다. 주문을 끝내지 않고 정보만 입력한 경우도 해당됩니다.
회사는 8월 8일 카드 정보가 유출되었을 가능성이 있는 사람들에게 이메일을 보냈습니다. 먼저 메일함에서 "APORITO"를 검색하십시오. 찾을 수 없더라도 해당 기간에 스토어를 이용한 기억이 있다면 아래 단계를 진행하십시오.
카드 명세서를 확인하고, 모르는 청구는 즉시 카드사에 신고하십시오
회사는 고객에게 모르는 청구 내역이 있는지 카드 명세서를 계속 확인하라고 요청합니다. 그런 내역이 있다면 카드 뒷면의 카드사 번호로 연락하십시오.
카드사는 일반적으로 부정 사용을 보상하지만, 신고 기한이 있습니다(예를 들어 JCB는 청구 내역이 표시된 명세서를 기준으로 60일 이내에 신고할 것을 요구합니다). 소액 청구는 놓치기 쉬우므로 몇백 엔 정도의 낯선 청구도 확인하십시오.
카드사에 카드 번호 교체(재발급)를 요청하십시오
회사는 카드 정지 또는 재발급(번호 변경)이 2차 피해를 막는 효과적인 방법이라고 설명하면서 결정은 각 고객에게 맡깁니다. 이 사이트는 해당 기간에 스토어에서 카드를 사용한 사람에게 번호 변경을 권장합니다.
이유는 다음 섹션에서 설명하지만 요점은 보안 코드가 유출되었을 가능성이 있는 항목에 포함된다는 것입니다. 회사는 조사 후 재발급 수수료 등의 처리 방법을 알리겠다고 밝혔습니다.
카드를 교체한 후에는 해당 카드로 결제되는 서비스를 업데이트하십시오
공과금, 휴대폰 요금제, 구독 서비스 등 기존 번호로 자동 결제되는 서비스는 새 번호로 바꾸기 전까지 실패합니다. 재발급을 신청하기 전에 명세서에서 정기 결제 목록을 만들어 빠뜨리는 항목이 없도록 하십시오.
회사, 경찰 또는 카드사를 사칭한 전화나 메시지에 응답하지 마십시오
이름, 주소, 전화번호, 이메일 주소가 노출되었을 가능성이 있으므로 사기꾼이 진짜처럼 보이는 가짜 메시지를 보낼 수 있습니다. 회사는 PIN이나 개인정보를 빼내기 위해 회사, 경찰 등 공공기관 또는 카드사를 사칭하는 전화, 이메일, 문자에 대해 경고하며, 회사는 고객에게 PIN을 요구하지 않겠다고 밝혔습니다.
"환불 절차"나 "카드 재등록"과 관련된 링크는 열지 마십시오. 확인이 필요하다면 직접 찾은 공식 번호로 문의하십시오(피싱이란? 참고).
스토어를 더 이용하지 않을 예정이라면 데이터 삭제를 요청하십시오
회사는 삭제 요청을 접수하며, 이용 및 등록 현황을 확인한 후 개별적으로 답변하겠다고 밝혔습니다. 요청은 공지 끝부분에 있는 전용 이메일 주소로 보내십시오.
조사나 법적 이유로 일부 데이터는 일정 기간 보관해야 할 수 있지만, 무엇이 남는지와 언제까지 보관되는지 답변을 받아두는 것이 좋습니다.
이 사이트가 번호 교체를 권장하는 이유
명세서 확인만으로 보통 충분한 경우
- 카드 번호 일부만 유출된 경우
- 유효기간과 보안 코드가 포함되지 않은 경우
- 악용이 있더라도 쉽게 알아챌 수 있는 소액 청구에 그치는 경우
이번 사안의 범위(회사 발표 기준)
- 카드 번호, 유효기간, 보안 코드가 함께 포함
- 이름, 주소, 전화번호, 이메일 주소도 포함
- 번호가 바뀌기 전까지 이 조합이 계속 사용될 수 있음
온라인 결제 시 카드 번호, 유효기간, 보안 코드는 결제 페이지에서 요구하는 세 가지 기본 항목입니다. 일본에서는 업계 가이드라인이 온라인 가맹점에 EMV 3-D Secure(카드 소유자 인증) 도입을 요구하고 있어 이전보다 추가 인증 절차가 흔해졌습니다. 그러나 모든 거래나 모든 국가의 모든 사이트에서 이 추가 확인이 이루어지는 것은 아닙니다.
명세서 확인은 중요하지만, 카드가 이미 사용된 뒤에 알아채는 방법입니다. 번호를 바꾸면 유출되었을 가능성이 있는 조합은 그 시점부터 쓸모가 없어집니다. 정기 결제를 바꾸는 것은 번거롭지만, 카드가 언제 악용될지 몇 달 동안 모르고 지내는 것보다 안전합니다.
읽는 법: 확인된 악용이 없다고 해서 안전한 것은 아닙니다
회사는 악용, 2차 피해, 개인정보의 실제 유출 중 어느 것도 확인하지 못했다고 밝혔습니다. 이는 아직 아무것도 발견되지 않았다는 뜻이지, 나중에 사용되지 않는다는 뜻이 아닙니다. 카드 정보는 유출 후 한참 지나서 사용되기도 합니다. 명세서는 최소 몇 달 동안 계속 확인하십시오.
무슨 일이 있었나요(RIZAP 공지 기준)
아래 내용은 모두 회사의 공식 공지에 나온 그대로입니다.
2026년 5월 1일
데이터가 유출되었을 가능성이 있는 기간의 시작.8월 5일
회사는 APORITO 온라인 스토어 시스템에서 의심스러운 외부 전송 프로그램을 발견했고, 추가 피해를 막기 위해 같은 날 15:30에 사이트를 일시적으로 닫았습니다. 해당 기간은 이 날짜에 끝납니다.8월 8일
카드 정보가 유출되었을 가능성이 있는 사람들에게 개별 이메일로 통지했습니다.8월 10일
공개 사과 및 경위 보고. 회사는 개인정보보호위원회에 사전 보고서를 제출했고, 법에 따라 경찰 등 관계 기관과 대응하고 있다고 밝혔습니다.8월 18일
두 번째 공지: 외부 제3자 기관과의 조사가 계속되고 있으며 스토어는 여전히 닫혀 있습니다. 회사는 재개장에 앞서 보안을 강화하고 모니터링을 점검하고 있다고 밝혔습니다.
- 대상
- 2026년 5월 1일부터 8월 5일 사이에 APORITO 온라인 스토어에서 주문하거나 정보를 입력한 사람
- 개인정보
- 이름, 주소, 전화번호, 이메일 주소
- 카드 정보
- 카드 번호, 유효기간, 보안 코드
- 영향을 받은 사람 수
- 공개되지 않음
- 발표된 원인
- 제3자가 악성 스크립트를 심었고, 시스템에서 의심스러운 외부 전송 프로그램이 발견되었습니다. 스크립트가 어떻게 심겼는지와 기타 기술적 세부 사항은 공개되지 않았습니다
- 2차 피해
- 회사는 악용, 2차 피해 또는 개인정보의 실제 유출이 확인되지 않았다고 밝혔습니다
- 보상 및 비용
- 재발급 수수료 처리와 보상 정책은 검토 중이며, 이메일과 회사 사이트를 통해 공지될 예정입니다
- 기존 주문
- 회사는 이번 폐쇄가 배송에 영향을 주지 않으며, 재고가 확인되면 주문을 발송한다고 밝혔습니다. 환불 요청은 전용 이메일 주소로 보내야 합니다
같은 날 발표된 별도 공지
같은 날인 8월 10일, RIZAP은 APORITO 사업의 일부 업무를 위탁받은 회사가 랜섬웨어에 의해 무단 접근을 당해 일부 서비스가 제한되었다는 별도 공지를 발표했습니다(두 번째 공지는 8월 14일에 나왔습니다). 회사의 공지는 두 사안의 관련 여부를 밝히지 않았습니다. 이 글은 온라인 스토어의 악성 스크립트만 다룹니다.
온라인 쇼핑몰 운영자를 위한 안내: 카드 데이터를 저장하지 않아도 입력 페이지의 변조는 막을 수 없습니다
회사는 어떤 보호 조치를 갖추고 있었는지, 스크립트가 어떻게 들어갔는지 밝히지 않았습니다. 이 섹션은 회사의 대응을 평가하지 않으며, 자신의 사이트에서 같은 유형의 사고를 막는 방법을 정리합니다.
고객의 브라우저
결제 페이지에 입력한 카드 정보
↓→
결제 서비스 제공업체
정당한 목적지
↓→
자사 서버에 저장되지 않음
= 비보관이 보호하는 부분
악성 스크립트가 입력 페이지 자체에 들어가면, 고객이 입력한 내용이 그 자리에서 다른 곳으로도 전송됩니다
→ 서버에 아무것도 저장하지 않아도 유출됩니다. 운영자는 결제 페이지가 변조되었는지 모니터링해야 합니다
일본에서는 할부판매법 제35조의16이 온라인 스토어를 포함한 카드 가맹점에 유출 방지 등 카드 번호의 적절한 관리에 필요한 조치를 취하도록 요구합니다. 이 의무를 실무적으로 안내하는 것이 신용거래보안협의회(사무국: 일본크레디트협회)의 신용카드 보안 가이드라인입니다.
가이드라인은 여기에 나열된 조치 또는 동등하거나 더 강한 조치를 취하면 법이 요구하는 "필요하고 적절한 조치"를 취한 것으로 본다고 밝히고 있습니다.
2025년 3월 버전 6.0부터 가이드라인은 카드 데이터를 보관하는지와 관계없이 온라인 가맹점에 "취약점 대응 조치"를 추가했습니다. 그 이유는 현재 대부분의 유출이 이미 비보관을 달성한 온라인 가맹점에서, 웹사이트 취약점 등을 통해 발생하기 때문이라고 명시되어 있습니다.
버전 6.1(2026년 3월)에서도 이 내용은 변하지 않았습니다. 다음 다섯 가지 조치가 모두 요구됩니다.
| # | 가이드라인 항목 | 내용(요약) |
|---|---|---|
| 1 | 관리자 화면 접근 제한, 관리자 ID와 비밀번호 관리 | IP 주소로 관리자 접근 제한(불가능하면 기본 인증), 2단계 또는 다중 인증 사용, 로그인 실패 10회 이하에서 계정 잠금 |
| 2 | 데이터 디렉터리가 노출되는 잘못된 설정 수정 | 중요한 파일을 공개 디렉터리에서 제외, 업로드 가능한 파일 형식과 확장자 제한 |
| 3 | 웹 애플리케이션 취약점 대응 | 취약점 진단 또는 모의해킹을 정기적으로 실시하고 발견 사항 수정, 플러그인과 소프트웨어를 최신 상태로 유지, 맞춤 제작 부분의 소스 코드 점검 |
| 4 | 악성코드 대응 백신 소프트웨어 설치 및 운영 | 시그니처(악성코드를 식별하는 정의 파일)를 최신 상태로 유지하고 정기적으로 전체 검사 실시 |
| 5 | 악의적인 카드 유효성 검사와 "크레딧 마스터" 공격 대응 | 부록에 나온 조치 중 최소 하나 이상 시행("크레딧 마스터" 공격은 유효한 번호를 찾기 위해 카드 번호를 기계적으로 생성하는 공격) |
온라인 가맹점을 위한 가이드라인 부록은 많은 유출이 전자상거래 패키지와 CMS의 잘못된 설정 및 취약점을 노리며, 변조된 스크립트가 회원이 입력한 내용을 지속적으로 유출한 사례가 확인되었다고 설명합니다.
또한 사이트 구축이나 운영을 외부에 맡기는 가맹점은 수탁업체가 이러한 취약점 대응 조치를 이해하도록 요구해야 한다고 밝히고 있습니다.
이 사이트의 견해: 다섯 가지 조치는 침입을 막는 것이며, 침입을 알아챌 방법도 함께 마련하십시오
다섯 가지 조치는 모두 침입이나 악성 코드 삽입을 막는 데 초점이 있습니다. 하지만 이런 유형의 사고에서는 아무도 알아채기 전에 카드 정보를 입력한 모든 사람이 영향을 받습니다. 따라서 일반적으로 예방이 실패했을 때 얼마나 빨리 알아채는지가 노출 범위를 결정합니다(그래서 IPA 가이드라인은 파일 변조 탐지를 필수로 정하고 있습니다).
다른 공공 표준도 "알아채는" 측면을 이미 다루고 있습니다. IPA(일본 정보처리추진기구)의 전자상거래 사이트 보안 가이드라인은 중요 파일의 정기적인 차이 점검과 웹사이트 변조 탐지 도구를 이용한 모니터링을 필수 운영 요건으로 제시합니다.
카드 업계의 국제 표준인 PCI DSS는 2025년 3월 31일부터 결제 페이지에서 실행되는 스크립트의 승인, 무결성 점검 및 목록 관리(요건 6.4.3)와 결제 페이지의 무단 변경을 탐지하는 메커니즘(요건 11.6.1)을 요구합니다.
소규모 온라인 스토어라면 우선 다음 세 가지부터 시작하십시오.
결제 페이지가 불러오는 스크립트를 목록으로 만드십시오
결제 페이지가 불러오는 모든 JavaScript 파일을 자사 것, 결제 제공업체 것, 분석 또는 기타 태그로 나누어 적으십시오. 누가 왜 추가했는지 아무도 설명할 수 없는 스크립트가 가장 먼저 확인할 대상입니다. 목록이 있어야 스크립트가 추가되거나 바뀌었는지 알아챌 수 있습니다.
사이트 파일을 매일 비교하고 변경 시 알림을 받으십시오
결제 페이지를 구성하는 파일(테마, 템플릿, JavaScript)에 대해 정상 상태의 해시(파일 내용으로부터 계산한 값)를 기록하고 하루에 한 번 비교하십시오. 배포한 사람이 없는데 무언가 바뀌었다면 담당자에게 알림이 가도록 하십시오.
호스팅 업체나 전자상거래 플랫폼이 변조 탐지 기능이나 추가 기능을 제공하는지도 확인하십시오. 서버를 직접 운영한다면 그 생각은 파일 업로드 취약점과도 연결됩니다.
관리자 화면은 내부 네트워크로 제한하고 2단계 인증을 적용하십시오
이것이 조치 1 그 자체입니다. 관리자 화면에 비밀번호만으로 어디서나 접근할 수 있다면 이를 먼저 고치십시오. 외부 업체가 사이트를 운영한다면 그 업체의 관리자 로그인도 같은 조건을 충족하는지 확인하십시오. 조직 전체의 최소 기준은 조직을 위한 최소 보안 기준선에 나와 있습니다.
출처(공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 공개되지 않은 침입 경로나 방법은 추측하지 않습니다.
- RIZAP Co., Ltd., APORITO 온라인 스토어 무단 접근에 대한 사과 및 경위 보고(2026년 8월 10일, 일본어) — rizap.co.jp
- RIZAP Co., Ltd., 같은 사안에 대한 두 번째 공지(2026년 8월 18일, 일본어) — rizap.co.jp
- RIZAP Co., Ltd., APORITO 사업의 시스템 장애 및 서비스 중단 관련 공지(2026년 8월 10일 및 14일, 일본어) — rizap.co.jp / rizap.co.jp
- 할부판매법 제35조의16(일본어) — e-Gov Law Search
- 신용거래보안협의회, 신용카드 보안 가이드라인 버전 6.1(2026년 3월), 개정 안내 및 온라인 가맹점 보안 안내서(부록 20)(일본어) — Japan Consumer Credit Association
- IPA, 전자상거래 사이트 구축 및 운영 보안 가이드라인(2023년 3월 16일, 일본어) — ipa.go.jp
- PCI Security Standards Council, "New Information Supplement: Payment Page Security and Preventing E-Skimming"(2025년 3월 10일) — blog.pcisecuritystandards.org / "Guidance for PCI DSS E-commerce Requirements Effective After 31 March 2025" — blog.pcisecuritystandards.org
- 부정 사용 보상의 신고 기한 예시: JCB(일본어) — jcb.co.jp
업데이트 기록
2026-09-30: 8월 10일 공지와 8월 18일 두 번째 공지를 바탕으로 한 첫 버전. 회사는 기술적 조사 결과, 보상 정책과 재개장 날짜를 공개할 계획이며, 공개되면 이 글을 업데이트합니다.
다음으로 읽을거리
- 같은 유형의 최신 사례: Good Smile Company 공식 쇼핑몰 무단 접근 (결제 페이지의 악성 프로그램)
- 같은 유형의 사고: PhotoGoods(Daiko Printing) 결제 페이지 카드 정보 탈취 프로그램 (파일 업로드 기능 악용 및 무단 관리자 계정 점검)
- 후속 사기: 피싱이란?
- 카드 데이터 표준: PCI DSS란? / XSS(크로스 사이트 스크립팅)란?
- 사이트 운영자용: 파일 업로드 취약점 / 조직을 위한 최소 보안 기준선
- 이번 시기 다른 일본 사례: Cariteco(메이테츠 교쇼): 랜섬웨어 및 데이터 유출 가능성 / The Times Car 침해 사고
- 2026년 기타 사고: 침해 사고 및 사이버 공격 목록(일본 및 전 세계)