대상: 7NOW 배송을 받은 사람(배송 받는 사람으로서), 그리고 배송을 위탁하는 서비스의 운영자. 이 글은 Seven-Eleven Japan Co., Ltd.의 공식 공지를 설명하며 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
7NOW 배송을 받은 사람(배송 받는 사람으로서), 그리고 배송을 위탁하는 서비스의 운영자.
- 확인된 영향 범위표 보기 ↓
- 배송 위탁업체에서 제3자의 무단 접근
- 7NOW 주문자 정보 유출
- 이름(가타카나)만
4개 더 보기
- 이름(가타카나)과 주소
- 이름(가타카나), 주소, 전화번호, 우편번호
- 주문일, 매장명과 주소, 상품명
- 개별 연락
- 아직 확인되지 않은 사항
- 원인과 침입 경로의 상세
- 무단 접근 기간
- 악용이나 2차 피해가 발생하는지
2개 더 보기
- 어떤 주문이 대상인지, 세 건수가 어떤 관계인지
- 재발 방지 조치 상황
- 지금 할 일절차 보기 ↓
- 7NOW나 배송을 사칭한 전화, 문자, 이메일의 링크나 지시를 따르지 마세요
- 회사에서 SMS가 오면 공식 공지 페이지와 대조하세요
- 비밀번호와 카드: 공지에는 변경 지시가 없습니다
2개 더 보기
- 연락해 온 상대에게 비밀번호, 카드 번호, PIN을 알려 주지 마세요
- 한동안 모르는 전화와 문자에 주의하세요
- 확인처(출처)출처 전체 ↓
- Seven-Eleven Japan (SEJ) Co., Ltd., 배송 위탁업체에 대한 무단 접근에 따른 7NOW 고객 정보 유출에 관한 공지(일본어, 2026년 11월 3일)
- 마지막 확인
- 2026년 11월 5일 기준
후속 발표 예정과 확인 기록
11월 3일 회사 공지에는 후속 보고 일정이 없습니다. 위탁업체는 새로 공개해야 할 사항이 있으면 자사 사이트에서 알리겠다고 밝혔습니다. 이 사이트가 11월 5일 회사 공지와 위탁업체 공지를 확인했을 때 11월 3일 이후의 후속 발표는 찾지 못했습니다.
7NOW 이용자가 오늘 해야 할 일
유출: 이름(가타카나) / 일부는 주소, 전화번호, 우편번호
받는 사람 앞으로 오는 그럴듯한 전화, 문자, 이메일에 쓰일 수 있습니다
유출: 일부는 주문일, 매장명과 주소, 상품명
"최근 주문 건 관련"처럼 주문을 아는 것처럼 보이는 메시지에 쓰일 수 있습니다
포함되지 않음: 신용카드 정보, ID, 비밀번호(회사)
회사의 인증 정보나 연동 설정의 유출이나 변조도 확인되지 않았습니다
7NOW나 배송을 사칭한 전화, 문자, 이메일의 링크나 지시를 따르지 마세요
가져간 항목에는 이름(가타카나)과, 일부 건에서는 주소, 전화번호, 우편번호, 매장명, 상품명이 있습니다. 이 정도면 내 앞으로 온 메시지가 내 주문을 아는 것처럼 보일 수 있습니다. 일반적으로 택배나 주문을 내세운 가짜 연락은 널리 쓰입니다.
"주문 확인", "재배달 안내", "환불 절차" 같은 메시지를 받으면 그 안의 링크를 열지 마세요. 브라우저를 직접 열어 공식 사이트에서 확인하세요. 가짜 문자(스미싱)도 같은 방식입니다(피싱이란? 참고).
회사에서 SMS가 오면 공식 공지 페이지와 대조하세요
회사는 영향을 받은 고객에게 등록된 전화번호로 SMS를 순차적으로 보내 연락한다고 밝혔습니다. 그 SMS에 URL이 들어 있는지, 발신자가 어떻게 표시되는지는 공지에 없으며 이 사이트도 확인하지 못했습니다.
따라서 SMS가 오더라도 그 링크는 열지 마세요. 먼저 공지(출처 참고)와 일치하는지 확인하세요. 공지에 게재된 7NOW 문의처(0120-711-099, 일본 시간 9:00–21:00)를 이용할 수도 있습니다. 번호는 SMS가 아니라 회사의 공식 공지에서 확인하세요.
비밀번호와 카드: 공지에는 변경 지시가 없습니다
회사는 신용카드 정보와 ID, 비밀번호는 유출되지 않았고, 위탁업체의 조사에서 회사의 인증 정보나 연동 설정의 유출이나 변조는 확인되지 않았다고 밝혔습니다. 공지는 비밀번호나 카드 변경을 요청하지 않습니다.
이 사이트의 견해: 가져간 항목에 비밀번호가 없으므로 지금 7NOW 비밀번호를 바꿀 필요는 없습니다. 비밀번호를 여러 곳에서 재사용한다면 이번 사건과 관계없이 점검하는 것이 좋습니다(비밀번호 관리자 선택하기).
연락해 온 상대에게 비밀번호, 카드 번호, PIN을 알려 주지 마세요
상대가 내 이름, 주소, 주문 내용을 정확히 말한다고 해서 진짜 연락이라는 증거는 아닙니다. 그 정보가 바로 가져간 정보이기 때문입니다. 비밀번호, 카드 번호, SMS로 오는 인증 코드를 요구하면 가짜로 보세요.
한동안 모르는 전화와 문자에 주의하세요
이메일 주소와 달리 전화번호와 주소는 바꾸기 어렵습니다. 일반적으로 유출된 전화번호에는 7NOW와 관계없는 사기 전화와 문자도 올 수 있습니다(이 사이트의 견해). 휴대전화의 스팸 전화, 스팸 SMS 필터를 켜 두면 도달하는 양을 줄일 수 있습니다(스마트폰 보안 기본).
무슨 일이 있었나요 (세븐일레븐 재팬 발표 기준)
Seven-Eleven Japan Co., Ltd.는 2026년 11월 3일 공식 사이트에 공지를 게시했습니다(일본어 제목: 배달 서비스 7NOW의 위탁업체에 대한 무단 접근에 따른 고객 정보 유출에 관한 사과 및 공지). 별도 표기가 없는 한 아래 내용은 모두 이 공지에 따른 것입니다.
2026년 11월 1일 (일)
회사는 위탁업체의 조사에서, 위탁업체가 7NOW 배송 일부를 위해 운영하는 서비스에 제3자가 무단으로 접근한 것이 확인되었다고 썼습니다.11월 3일 (화)
위탁업체의 조사에서 7NOW 주문자 정보 일부도 가져간 것이 확인되었고, 회사에 통보되었습니다. 회사는 같은 날 공지를 게시했으며 개인정보보호위원회에 보고했다고 밝혔습니다.대응(날짜 없음)
회사 공지에 따르면 위탁업체는 접근 발생원으로부터의 통신을 차단하고, 악용된 계정을 정지하고, 악용된 결함을 수정하고, 일부 기능과 일본 국외에서의 접근을 제한했습니다.11월 5일 기준
후속 발표는 찾지 못했습니다. 영향을 받은 고객에게는 등록된 전화번호로 SMS를 순차적으로 보내 연락하고 있습니다.
- 유출이 확인된 정보
- 주문자(받는 사람) 이름(가타카나)만 164,180건 / 이름(가타카나)과 주소 4,762건 / 이름(가타카나), 주소, 전화번호, 우편번호 209건. 일부 건은 주문일, 매장명과 주소, 상품명도 포함
- 포함되지 않음
- 신용카드 정보, ID, 비밀번호. 위탁업체의 조사에서 회사의 인증 정보나 연동 설정의 유출이나 변조도 확인되지 않음
- 서비스 상태
- 7NOW는 정상 운영 중
- 피해
- 현재까지 이번 사건으로 인한 악용은 확인되지 않음
- 고객 연락
- 영향을 받은 고객에게 등록된 전화번호로 SMS를 순차적으로 보내 연락 중
- 당국 보고
- 개인정보보호위원회에 보고함
- 문의
- 7NOW 문의처(0120-711-099, 일본 시간 9:00–21:00). 공지에는 위탁업체의 문의처도 게재되어 있음
위탁업체가 자사 사이트에 게시한 내용
배송 위탁업체인 CBcloud Inc.는 자사 서비스 "PickGo"에 관한 제1보와 제2보를 자사 사이트에 게시했습니다(출처 참고). 아래는 이 두 공지를 바탕으로 한 내용입니다.
- 제1보: 2026년 11월 1일 제3자의 무단 접근을 확인했습니다. 발생원으로부터의 통신을 차단하고, 악용된 계정을 정지하고, 악용된 결함을 수정하고, 일부 기능과 일본 국외에서의 접근을 제한했습니다. 악성코드나 바이러스 감염은 없음을 확인했다고 밝혔습니다
- 제2보: 유출되었을 수 있는 정보의 범위를 특정했다고 밝혔습니다. 회사명, 등록된 담당자 이름, 등록 주소, 전화번호와 이메일 주소, 주문 정보(집하지와 배송지의 이름과 주소 등), 그리고 주문을 처리한 운전자에 관한 정보입니다. 이를 가능한 가장 넓은 범위로 설명하며, 범위는 고객사마다 다르다고 밝혔습니다. 은행 계좌나 카드 번호 등 결제 정보는 가져가지 않았고, 로그인 비밀번호도 포함되지 않는다고 합니다
- 7NOW에서 확인된 구체적인 항목과 건수는 세븐일레븐 재팬의 공지에 적힌 대로입니다. 위탁업체의 공지는 고객사별 건수를 밝히지 않습니다
같은 위탁업체를 통한 다른 서비스의 별도 발표
Demae-can Co., Ltd.도 2026년 11월 3일 자체 공지를 게시했습니다(출처 참고). 그에 따르면 같은 위탁업체의 서비스에 무단 접근이 있었고, Demae-can의 배송 건 고객 정보 일부가 유출되었습니다. 확인된 건수는 주문자(받는 사람) 이름 799건, 주소 794건, 전화번호와 우편번호 33건이며, 영향을 받은 고객에게는 이메일로 연락한다고 합니다. 이 건수는 별도 발표의 것이므로 7NOW 건수에 더하지 않습니다. Demae-can을 이용했다면 Demae-can의 공지를 확인하세요.
확인된 것과 확인되지 않은 것
2026년 11월 5일 기준입니다. 후속 발표가 나오면 상태 열을 고쳐 씁니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 배송 위탁업체에서 제3자의 무단 접근 | 2026년 11월 1일 확인(위탁업체 조사) | 확인됨(회사) |
| 7NOW 주문자 정보 유출 | 11월 3일 확인. 가져간 것으로 확인됨 | 유출 확인(회사) |
| 이름(가타카나)만 | 164,180건 | 유출 확인(회사) |
| 이름(가타카나)과 주소 | 4,762건 | 유출 확인(회사) |
| 이름(가타카나), 주소, 전화번호, 우편번호 | 209건 | 유출 확인(회사) |
| 주문일, 매장명과 주소, 상품명 | 일부 건에서 가져감 | 유출 확인(회사) |
| 신용카드 정보, ID, 비밀번호 | 유출되지 않음 | 포함되지 않음(회사) |
| 회사의 인증 정보나 연동 설정의 유출이나 변조 | 위탁업체 조사에서 확인되지 않음 | 포함되지 않음(회사) |
| 경로와 원인의 상세 | 악용된 결함은 수정됨(위탁업체). 경로의 상세는 없음 | 밝히지 않음 |
| 무단 접근 기간 | 11월 1일에 확인. 그 이전 기간은 밝히지 않음 | 밝히지 않음 |
| 악용이나 2차 피해 | 현재까지 확인되지 않음 | 현재까지 확인되지 않음(회사) |
| 어떤 주문이 대상인지, 세 그룹의 중복 | 공지에 없음 | 밝히지 않음 |
| 개별 연락 | 등록된 전화번호로 SMS를 순차적으로 | 확인됨(회사) |
주의: 수치는 사람이 아니라 레코드 건수이며, 세 건수는 합산하지 않습니다
공지는 항목 조합별로 레코드 건수를 제시합니다. 사람 수라고 밝히지 않았고, 세 그룹이 겹치는지 별개인지도 밝히지 않았습니다. 그래서 이 사이트는 합계를 내지 않고 사람 수로 환산하지도 않았습니다. 회사 공지에도 합계는 없습니다.
항목의 조합이 악용될 수 있는 방식
일반적으로 이런 조합은 다음과 같은 악용으로 이어질 수 있습니다. 이번에 그런 일이 있었다는 뜻은 아닙니다.
- 이름(가타카나) + 주소: 부재 중 택배나 재배달을 가장해 받는 사람 앞으로 오는 연락. 이름이 맞으면 진짜처럼 보이기에 충분합니다
- 이름(가타카나) + 전화번호: 본인 확인을 가장해 정보를 캐내려는 전화나 문자
- 매장명, 상품명, 주문일: "최근 주문 건 관련"처럼 실제 주문을 아는 것처럼 보이는 연락. 주문을 안다고 해서 진짜라는 증거는 아닙니다
- 비밀번호, 카드 정보: 회사는 유출되지 않았다고 밝혔으므로 변경 지시가 없습니다
배송 위탁업체를 쓰는 서비스 운영자를 위해: 공개된 사실에서 점검할 수 있는 것
원인의 상세는 공개되지 않았습니다. 이 섹션은 회사나 위탁업체를 평가하지 않고, 공개된 사실에서 운영자가 자기 서비스에서 점검할 수 있는 것만 다룹니다.
위탁업체에 넘기는 정보를 파악하세요
공지에 따르면 가져간 항목은 주문자(받는 사람) 이름(가타카나), 주소, 전화번호, 우편번호, 매장명, 상품명 등입니다. 건수가 가장 많은 그룹은 이름(가타카나)만 있는 것입니다. 위탁업체에 넘기는 정보가 배송에 필요한 것으로 한정되어 있는지 점검하세요. 넘기지 않은 데이터는 위탁업체에서 유출될 수 없습니다.
연동을 중단할 시점과 재개 전 확인 사항을 정해 두세요
Demae-can의 공지에 따르면 11월 2일에 통보를 받고 당일 14시 직후 위탁업체와의 연동을 중단했으며, 수정이 완료된 것을 확인한 뒤 21시경 재개했습니다. 언제 중단하고 재개 전에 무엇을 확인할지 미리 정해 두면 그런 통보가 온 날 망설이지 않습니다.
위탁업체의 조사 결과를 누가 받을지, 고객에게 어떻게 연락할지 정해 두세요
7NOW의 경우 위탁업체의 조사에서 11월 3일 7NOW 정보도 가져간 것이 확인되었고, 같은 날 공표되었습니다. 건수가 밝혀진 날 영향을 받은 고객에게 어떻게 연락할지(SMS, 이메일, 앱)를 미리 정하고, 고객이 그 연락이 진짜인지 확인할 수단(공식 페이지의 같은 내용)을 마련해 두어야 합니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 침입의 원인, 기간, 경로는 추측하지 않았습니다.
- Seven-Eleven Japan (SEJ) Co., Ltd., 배송 위탁업체에 대한 무단 접근에 따른 7NOW 고객 정보 유출에 관한 공지(일본어, 2026년 11월 3일) — sej.co.jp
- [배송 위탁업체], "PickGo에 대한 무단 접근과 개인정보 유출 가능성(제1보)"(일본어) — cb-cloud.com
- [배송 위탁업체], "PickGo에 대한 무단 접근과 개인정보 유출 가능성(제2보)"(일본어, 2026년 11월 3일 업데이트) — cb-cloud.com
- Demae-can Co., Ltd., 위탁업체에 대한 무단 접근에 따른 고객 정보 유출에 관한 공지(일본어, 2026년 11월 3일) — corporate.demae-can.co.jp
업데이트 기록
2026-11-05: 세븐일레븐 재팬의 11월 3일 공지, 위탁업체의 제1보와 제2보, Demae-can의 11월 3일 공지를 바탕으로 한 첫 버전. 11월 5일에 확인했을 때 11월 3일 이후의 후속 발표는 찾지 못했습니다. 원인, 기간, 2차 피해 발생 여부 등이 공개되면 업데이트합니다.
다음으로 읽기
- 비슷한 일본 사례: 야마토 운수와 사가와 급편 무단 접근 / MrMax 회원 정보 유출 / 노지마 온라인 무단 접근
- 휴대전화: 스마트폰 보안 기본
- 이어지는 사기: 피싱이란?
- 2026년 기타 사고: 유출 및 사이버 공격 목록(일본 및 전 세계)