E-store ShopServe 데이터 유출(최종 보고: 약 2,336만 명): 구매자, 쇼핑몰 운영자, 제휴사(어필리에이트)가 해야 할 일

이 사이트가 확인한 범위에서는 E-store가 영향을 받는 쇼핑몰의 목록을 공개하지 않았습니다. 세 가지 방법으로 확인할 수 있습니다.

• E-store의 개별 통지를 찾아보세요(회사는 개별 통지가 완료되었다고 밝혔습니다)
• 이용한 온라인 쇼핑몰의 공식 사이트에서 무단 접근 또는 E-store를 언급한 안내를 확인하세요
• E-store 최종 보고에 연결된 구매자 문의 양식으로 문의하세요

연락처를 확인할 수 없었던 사람에 대해서는 회사의 공지와 문의 창구가 통지를 대신한다고 밝혔습니다. 영향을 받은 쇼핑몰 중 적어도 한 곳은 영향을 받은 구매자가 2008년까지 거슬러 올라간다고 밝혔습니다. 몇 년 전의 구매도 포함될 수 있습니다.

유출된 항목에는 이름, 주소, 전화번호, 이메일 주소, 근무처와 함께 카드 명의자 이름, 카드 번호 앞 6자리와 뒤 4자리, 유효기간이 포함됩니다. 그래서 가짜 메시지가 "끝 4자리가 1234인 카드"라고 정확하게 적을 수 있습니다.

E-store는 이메일이나 문자로 카드 정보의 재입력, 재결제, 비밀번호를 요구하는 일은 없다고 밝혔으며, 회사나 금융기관을 사칭한 의심스러운 이메일, 문자, 전화에 주의하라고 경고합니다. 그런 메시지를 받으면 링크나 전화번호를 사용하지 말고, 쇼핑몰이나 카드 회사의 공식 사이트를 직접 여세요(피싱이란? 참고).

회사에 따르면 카드 번호 전체와 보안 코드는 보관하지 않으며 유출되지 않았습니다. 약 2,096,900명은 카드 정보 일부가 포함되었습니다. 그래도 가짜 메시지에 속아 카드 정보를 입력한 경우에 대비해 이번 달과 앞으로 몇 달간 명세서를 확인하세요.

모르는 청구가 있으면 카드 뒷면의 번호로 전화하세요. 카드 교체가 필요한지 카드 회사에 문의할 수도 있습니다.

회사는 회원 비밀번호가 암호화되어 저장되어 있어 알아낼 가능성이 낮다고 판단하며, 유출된 데이터로는 회원이 이용하는 쇼핑몰을 연결할 수 없다고 밝혔습니다. 다른 서비스에서 같은 이메일 주소와 비밀번호를 사용한다면 그것들을 변경하세요. 회사는 서비스마다 다른 비밀번호와 다단계 인증도 권장합니다.

이용한 쇼핑몰의 회원 비밀번호를 변경하는 것도 좋습니다. 관리에는 비밀번호 관리자가 현실적인 방법입니다.

구매자 데이터에는 근무처가 포함됩니다. 직장으로 배송을 받은 적이 있다면 이름과 회사명을 조합한 메시지가 업무용 이메일이나 전화로 올 수 있습니다. 배송이나 결제에 관한 내용은 쇼핑몰의 공식 사이트에서 확인하세요.

쇼핑몰 관리 화면의 ID와 비밀번호가 유출 항목에 포함됩니다. 비밀번호를 변경하세요. 회사는 예방 조치로 이중 인증을 포함한 관리자 인증을 강화했다고 밝혔으니, 사용할 수 있는 기능은 켜 두세요. 다른 서비스에서 같은 비밀번호를 썼다면 그것도 변경하세요.

제휴사의 이메일 주소와 비밀번호도 포함됩니다. 비밀번호를 변경하고, 같은 이메일 주소와 비밀번호를 쓰는 다른 서비스에서도 변경하세요. 보수나 계정 확인을 내세운 메시지가 등록한 이메일 주소로 오더라도 링크를 열지 말고 공식 사이트에서 확인하세요.

회사는 이번 사고로 인한 구체적인 2차 피해는 보고되지 않았다고 밝혔습니다. 예방 차원에서 관리 화면의 로그인 기록과 최근 설정 변경 중 팀이 하지 않은 것이 있는지 살펴보세요. 발견하면 E-store의 쇼핑몰 담당 창구(전화 03-6434-0946, 평일 일본 시간 10:00–18:00)에 연락하세요.

편의점 결제 용지에 인쇄되는 판매 책임자 이름, 쇼핑몰 이름, 우편번호, 주소, 전화번호, 팩스 번호가 포함됩니다. 거래처나 결제를 내세운 쇼핑몰을 노린 의심스러운 전화, 팩스, 이메일이 오면 그 안의 연락처를 쓰지 말고 공식 경로로 확인하세요(자사 도메인 보호는 SPF, DKIM, DMARC 참고).

대부분의 구매자는 ShopServe라는 이름을 모르므로, E-store의 통지만으로는 어느 쇼핑몰에 관한 것인지 알 수 없습니다. 자사 사이트에 영향 기간, 유출 항목(카드 정보 포함 여부 포함), 문의처를 적은 안내문을 게시하면 구매자가 스스로 상황을 판단할 수 있습니다.

정상적인 주문 처리는 한 번에 한 쇼핑몰의 데이터를 다룹니다. 정기 배치 작업을 제외하면 하나의 프로세스나 데이터베이스 연결이 짧은 시간에 많은 쇼핑몰의 데이터를 읽는 것은 이례적입니다.

첫 단계로, 데이터베이스 감사 로그에서 접속 출처별로 "시간당 접근한 쇼핑몰 수"를 집계하고, 알려진 배치 작업이 아닌 것이 한도(예: 10개 쇼핑몰)를 넘으면 경보를 울리세요.

이번 사고에서는 데이터베이스의 내용이 서버에서 외부로 전송되었습니다. 주문을 처리하는 서버가 접속해야 하는 곳은 결제 대행사와 배송 업체 등 소수입니다.

필요한 목적지로만 외부 통신을 허용하고, 그 밖의 목적지로 가는 통신과 비정상적으로 큰 전송은 기록하고 경보를 울리세요. 방화벽이나 클라우드 네트워크 설정으로 할 수 있습니다.

쇼핑몰 관리자 비밀번호 같은 인증 정보를 구매자 데이터와 같은 곳에서 읽을 수 있다면 함께 유출됩니다. 인증 정보는 복원할 수 없는 형태로 저장하고, 복원이 필요한 것은 별도의 키를 쓰는 별도의 저장소에 두세요.

저장 방법은 비밀번호를 안전하게 저장하는 방법(해시와 솔트), 전체적인 그림은 조직을 위한 최소 보안 기준을 참고하세요.

구매자는 이용한 쇼핑몰의 이름만 압니다. 운영사가 서비스 전체에 대해 낸 하나의 공지만으로는 자신이 영향을 받았는지 알 수 없습니다.

쇼핑몰별로 영향 기간, 유출 항목, 카드 정보 포함 여부를 빠르게 낼 수 있도록 준비하고, 사고 대응 절차에 이를 각 고객사에 전달하여 고객사가 자사 구매자에게 설명할 수 있게 하는 것을 포함하세요.