대상: SourceNext 회원으로 등록한 사람과 회원 데이터를 보유한 서비스를 운영하는 사람. 이 글은 일본의 소프트웨어 기업 SOURCENEXT CORPORATION의 공식 공지와 FAQ를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.
진행 중: 조직이 추가 정보를 공개하는 대로 이 글을 업데이트합니다
공식 FAQ는 10월 22일 확인; 인터뷰 보도는 10월 21일 확인아직 알려지지 않음
- 영향받은 사람의 수(공지에는 건수만 제시됨)
- 취약점의 세부 내용과 외부 제3자 조사의 결과(FAQ에 따라 10월 16일 시작)
- 유출된 데이터의 악용 여부
회사는 외부 전문가와 함께 원인과 범위를 조사하고 있으며, 새로운 사실이 확인되면 웹사이트 등을 통해 신속히 알리겠다고 밝혔습니다. 10월 16일에는 비밀번호 재설정과 관련한 업데이트를 추가했습니다. 회사 FAQ에는 유출을 일으킨 시스템의 취약점을 수정했고, 유출에 포함된 비밀번호의 비활성화를 마쳤다고 적혀 있으며, 다른 취약점에 대한 점검도 시작했다고 합니다(10월 19일 확인). 취약점이 무엇이었는지는 공개되지 않았습니다. 10월 22일에 확인한 FAQ에는 회사가 10월 16일 독립된 외부 보안 전문가에게 제3자 조사를 시작해 달라고 요청했다고 적혀 있습니다.
SourceNext 회원이 오늘 해야 할 일
영향 여부 확인하기(2026년 10월 13일 13시 36분까지 등록)
회사 FAQ에 따르면 대상은 2026년 10월 13일 13시 36분까지 회원으로 등록된 사람입니다. 10월 15일부터 영향을 받았을 수 있는 사람들에게 등록된 주소로 단계적으로 이메일이 발송되고 있습니다. 등록된 이메일 주소가 없는 사람에게는 편지로 연락한다고 합니다.
SourceNext에 가입한 적이 있다면 안내를 받지 않았더라도 아래 조치를 따르십시오.
같은 비밀번호를 쓰는 다른 서비스의 비밀번호를 먼저 바꾸기
이메일 주소와 비밀번호는 모두 유출되었을 수 있는 항목입니다. 회사는 제3자가 이 조합으로 다른 서비스에 로그인하려 할 수 있다고 경고하며, 회원에게 같은 조합을 쓰는 다른 서비스의 비밀번호를 바꿀 것을 요청합니다.
10월 19일 보도에 따르면, 비밀번호가 암호화되어 저장되어 있었고 복호화된 상태로 노출된 것이 확인되었다고 회사 대변인이 밝혔습니다. 회사는 기존 SourceNext 비밀번호를 비활성화했지만, 다른 서비스에서는 여전히 사용할 수 있습니다. 이메일, 온라인 쇼핑, 금융 서비스부터 시작하십시오. 비밀번호 관리자를 쓰면 비밀번호 재사용을 실질적으로 막을 수 있고, 2단계 인증을 설정하면 알려진 비밀번호만으로는 공격자가 로그인하기 어려워집니다.
직접 연 공식 웹사이트에서 SourceNext 새 비밀번호 설정하기
회사는 10월 16일 업데이트에서 모든 회원의 비밀번호가 이미 비활성화되었다고 밝혔고, 기존 비밀번호는 더 이상 사용할 수 없습니다. 로그인하면 화면에서 새 비밀번호 설정 방법을 안내합니다.
재설정 사이트에 접속이 몰려 접근하기 어렵고, 회사는 잠시 후 다시 시도해 달라고 요청합니다. 이메일이나 문자의 링크가 아니라 즐겨찾기나 검색으로 직접 연 공식 웹사이트에서 진행하십시오. 다른 서비스에서 쓰던 비밀번호를 재사용하지 마십시오.
SourceNext를 사칭한 이메일, 문자, 전화, 편지 주의하기
회사는 데이터가 회사나 파트너를 사칭한 의심스러운 이메일(피싱 이메일), 문자, 전화, 편지에 악용될 수 있다고 경고합니다. 예상하지 못한 이메일이나 문자의 링크와 첨부 파일을 열지 말고, 의심스러운 웹사이트에 개인정보나 비밀번호를 입력하지 말라고 요청합니다.
회사명, 직책, 부서도 유출되었을 수 있는 항목에 포함됩니다. 직장 주소로 등록했다면 직장으로 오는 "소프트웨어 업데이트"나 "라이선스 점검" 관련 메시지도 주의하십시오.
보안 소프트웨어와 1Password는 그대로 사용 가능
회사 FAQ에 따르면 Super Security와 Virus Security는 기존과 같이 사용할 수 있습니다. 1Password에 저장된 비밀번호와 기타 데이터는 회사가 보유하지 않으며 이번 유출에 포함되지 않았습니다. 제품을 삭제하거나 다시 설치할 필요는 없습니다. 제품을 재설치하거나 라이선스를 다시 인증해야 한다는 메시지가 와도 링크를 열지 말고, 직접 연 공식 웹사이트에서 확인하십시오.
문의는 공식 공지에 안내된 전용 창구 이용하기
공지에는 이번 사고 전용 전화번호 0120-035-116(일본 내 무료 통화, 주말과 공휴일 포함 10:00~18:00)과 공지 페이지에 연결된 문의 양식이 안내되어 있습니다. FAQ에 따르면 계정 해지 요청도 같은 창구에서 처리합니다. 번호는 직접 연 웹사이트의 공식 공지에서 확인하고, 받은 메시지의 번호나 링크는 사용하지 마십시오.
무엇이 일어났나(SourceNext 발표 기준)
다음 내용은 2026년 10월 15일 회사 공지(10월 16일 업데이트 포함)와 FAQ(10월 17일 확인)를 바탕으로 합니다.
2026년 10월 9일(금), 오전 10시경
제3자가 무단 접근을 시작해 회원 데이터 조회 API를 악용해 회원 데이터를 가져갔습니다(이후 조사에서 확인).10월 13일(화), 오전 9시경
회원 데이터를 관리하는 시스템에 대한 무단 접근이 확인되었습니다. 외부의 무단 트래픽 차단을 포함한 긴급 조치가 이루어졌습니다.10월 13일(화), 13시 36분까지
차단 조치를 마쳤습니다. 회사는 모니터링을 계속하고 있으며 그 이후 무단 접근은 확인되지 않았다고 밝혔습니다.10월 15일(목)
일본 개인정보보호위원회에 보고했고 공지를 게시했습니다. 영향을 받은 회원에게 단계적으로 이메일 발송을 시작했습니다.10월 16일(금)
재설정 사이트 접속 폭주와 모든 비밀번호가 비활성화되었다는 내용의 업데이트를 추가했습니다. 공지에는 그날 관할 경찰서에 피해 신고를 할 예정이라고 적혀 있었습니다(FAQ에는 회사가 그날 경찰과 상담했다고 적혀 있습니다). FAQ에 따르면 같은 날 회사는 독립된 외부 보안 전문가에게 제3자 조사를 시작해 달라고 요청했습니다.
- 영향받은 시스템
- 회사의 회원 데이터 관리 시스템
- 건수
- 22,519,960건. 공지는 사람 수가 아닌 건수를 제시함
- 대상
- 2026년 10월 13일 13시 36분까지 회원으로 등록된 사람(FAQ)
- 항목
- 이메일 주소, 비밀번호, 이름, 가타카나 이름, 주소, 성별, 전화번호, 팩스번호, 생년월일, 회사명, 직책, 부서, 시스템 식별자(이용 중인 서비스, 등록일, 로그인일 등). 모든 회원의 모든 항목이 해당하지는 않으며, 등록 방식에 따라 항목이 다름
- 비밀번호
- 암호화 저장과 복호화된 상태의 노출: 10월 19일 보도에서 회사 대변인에게 귀속. 회사는 모든 비밀번호가 비활성화되었다고 밝힘
- 포함되지 않음
- 신용카드 정보(해당 시스템에 저장되어 있지 않음). 회사는 가입 시 신분증 사본을 수집하지 않는다고 밝힘
- 경로
- 제3자가 회원 데이터 조회 API를 악용함. 이를 일으킨 취약점은 수정됨(FAQ). 세부 내용은 공개되지 않음
- 보고
- 10월 15일 개인정보보호위원회. 10월 16일 관할 경찰서(공지에는 피해 신고 예정이라고 적혀 있고, FAQ에는 회사가 경찰과 상담했다고 적혀 있음)
- 제3자 조사
- 회사의 요청에 따라 10월 16일 독립된 외부 보안 전문가가 시작(FAQ)
- 제품에 미치는 영향
- Super Security와 Virus Security는 기존과 같이 사용 가능. 1Password에 저장된 데이터는 회사가 보유하지 않으며 유출에 포함되지 않음(FAQ)
이메일 + 비밀번호
같은 조합을 쓰는 다른 서비스의 비밀번호를 바꾸고, 공식 사이트에서 SourceNext 비밀번호를 재설정
이름, 주소, 전화, 생년월일
회사를 사칭한 이메일, 문자, 전화, 편지의 링크나 번호는 사용하지 않기
회사명, 직책, 부서
직장 주소로 등록했다면 직장으로 오는 가짜 메시지 주의
확인된 사실과 확인되지 않은 사실
2026년 10월 19일 기준 상태입니다. 회사가 추가로 발표하면 상태 열을 업데이트합니다.
| 항목 | 공지의 내용 | 상태 |
|---|---|---|
| 회사 밖으로 나간 데이터 | 회원의 개인정보가 외부로 유출된 것으로 확인됨(FAQ는 "유출된 것으로 보임"이라고 표현) | 유출 확인(회사) |
| 건수 | 22,519,960건(사람 수는 제시되지 않음) | 가능성 있음(회사) |
| 대상 | 10월 13일 13시 36분까지 등록된 사람 | 확인됨(회사) |
| 항목 | 이메일, 비밀번호, 이름, 가타카나 이름, 주소, 성별, 전화, 팩스, 생년월일, 회사, 직책, 부서, 식별자(회원마다 다름) | 가능성 있음(회사) |
| 비밀번호 저장 | 암호화 저장과 복호화된 상태의 노출, 10월 19일 인용된 대변인 발언 기준 | 보도에 따른 내용 |
| 신용카드 정보 | 해당 시스템에 저장되어 있지 않음 | 포함되지 않음(회사) |
| 접근 기간 | 10월 9일 약 10:00부터 10월 13일 13시 36분 차단 완료까지 | 확인됨(회사) |
| 경로와 원인 | 회원 데이터 조회 API의 악용. 취약점은 수정됨. 세부 내용 미공개 | 조사 중 |
| 차단 후 접근 | 차단 이후 확인된 접근 없음 | 확인되지 않음(회사) |
| 유출 데이터의 악용 | 공지에 언급되지 않음 | 명시되지 않음 |
| 비밀번호 | 전부 비활성화. 기존 비밀번호는 더 이상 사용 불가(10월 16일 업데이트. 10월 19일 확인한 공지와 FAQ는 "비활성화"라고 표현) | 비활성화됨(회사) |
| 취약점 | FAQ에 따르면 회사는 발견 직후 유출을 일으킨 시스템의 취약점을 수정함. 구체적 내용은 미공개 | 수정됨(회사) |
| 제3자 조사 | 10월 16일 독립된 외부 보안 전문가가 시작(FAQ) | 조사 중(회사) |
| 보안 소프트웨어와 1Password | Super Security와 Virus Security는 기존과 같이 사용 가능. 1Password 데이터는 회사가 보유하지 않으며 유출에 포함되지 않음(FAQ) | 영향 없음(회사) |
| 개별 안내 | 10월 15일부터 단계적 이메일. 이메일이 없는 사람에게는 편지 예정 | 진행 중(회사) |
읽는 방법: 건수는 사람 수가 아닙니다
공지의 수치는 건수이며 사람 수가 아닙니다. 예를 들어 한 사람이 여러 번 등록했다면 두 수치는 달라집니다. 사람 수가 공개되면 이 글을 업데이트하겠습니다. 또한 신용카드 정보는 공지가 명시적으로 포함되지 않았다고 밝힌 유일한 항목입니다. 목록에 없는 항목을 "유출되지 않았다"고 해석하지 마십시오.
항목 조합이 악용될 수 있는 방식
일반적으로 다음과 같은 조합은 아래 유형의 악용을 가능하게 합니다. 이 사고에서 실제로 그런 일이 일어났다는 뜻은 아닙니다.
- 이메일 + 비밀번호: 같은 조합을 쓰는 다른 서비스에서 시도될 수 있음(크리덴셜 스터핑으로 알려짐)
- 이름 + 주소 + 전화 + 이메일: 올바른 이름과 주소를 담은 그럴듯한 "사과" 또는 "재설정 요청" 메시지, 가짜 편지 등
- 회사명 + 직책 + 부서: 거래처나 공급업체를 사칭한 가짜 업무 메시지의 재료
- 생년월일 + 등록일 같은 식별자: 전화에서 본인을 사칭하는 데 쓰일 수 있음. 이런 정보를 말할 수 있다고 해서 신원이 증명되는 것은 아닙니다
비밀번호가 유출되었는지 확인하려면 비밀번호 유출 여부 확인 방법을, 낯선 로그인 기록을 찾으려면 계정에 누군가 접근했는지 확인하는 방법을 참고하십시오.
과거 사례로, 2026년 10월의 북오프 회원 데이터 유출에서는 1차 발표의 "최대 약 643만 건(회원 번호)"이 2차 발표에서 사람 수(6,383,279명)로 정리되었습니다. 이번 사고에서도 그런 일이 있을 수도 있고 없을 수도 있습니다.
이 사이트의 견해: 기존 비밀번호를 비활성화해도 재사용한 다른 곳은 보호되지 않습니다
회사가 모든 회원의 비밀번호를 비활성화했다고 밝혔으므로, 유출된 비밀번호는 SourceNext 자체에 로그인하는 데는 훨씬 쓸모가 줄었습니다. 같은 비밀번호를 공유하는 다른 서비스는 이 조치의 대상이 아닙니다. 재설정 사이트 접속이 어려운 상황에서도 재사용한 비밀번호는 지금 다른 곳에서 바꿀 수 있습니다. 다른 서비스부터 먼저 바꾸십시오.
회원 데이터를 보유한 서비스 운영자를 위한 내용: 회원 데이터 API가 반환하는 양을 살피십시오
회사는 취약점의 세부 내용을 공개하지 않았으므로, 이 섹션은 침입을 어떻게 막는지 다루지 않습니다. 공개된 경과에서 말할 수 있는 것은 두 가지입니다. 회원 데이터를 가져오는 기능(API)이 악용되었다는 것, 그리고 접근 시작(10월 9일 약 10:00)과 확인(10월 13일 약 9:00) 사이에 약 4일(공지 시각을 바탕으로 이 사이트가 계산)이 지났다는 것입니다. 아래 조치는 자신의 서비스에서 미리 결정할 수 있는 범위로 한정합니다. 이 섹션은 회사의 대응에 대한 평가가 아닙니다.
개인정보를 반환하는 모든 API에 시간당 상한과 알림 설정하기
일반적으로 인증 여부와 관계없이 회원 데이터 API는 짧은 시간에 한 사용자나 한 출처에 많은 회원 정보를 반환해서는 안 됩니다. 각 API가 시간당 반환할 수 있는 회원 수의 상한을 설정하고, 그 80%에 도달하면 담당자에게 알림이 가도록 하면 비정상적인 대량 조회를 조기에 발견하기 쉬워집니다.
측정 지점은 세 곳입니다. 애플리케이션 내부(반환된 레코드 수 기록), 애플리케이션 앞단(리버스 프록시나 CDN의 요청 속도 제한), 클라우드 감사 로그(알림)입니다. 구체적인 설정은 요청 속도 제한과 남용 통제에서 확인하십시오.
모든 회원의 비밀번호를 비활성화하기 전에 재설정 경로를 준비하기
유출 후 모든 회원의 비밀번호를 비활성화하면 짧은 시간에 많은 사람이 재설정 화면으로 몰립니다. 이번에도 회사는 재설정 사이트에 접속이 몰렸다고 발표했습니다. 재설정 화면을 본 서비스와 분리해 확장할 수 있도록 미리 결정하고, 혼잡할 때의 안내 문구("나중에 다시 시도", "먼저 다른 서비스를 바꾸기")를 준비할 수 있습니다.
또한 비밀번호가 솔트와 함께 느리고 비밀번호 전용인 방식(bcrypt, Argon2 등)으로 저장되는지 확인하십시오. 저장 방식은 유출 후 사용자에게 무엇을 요청해야 하는지를 좌우합니다(비밀번호 해싱이란?).
출처(공개 기록)
이 글의 사실은 아래 공개 출처를 바탕으로 합니다. 공개되지 않은 취약점이나 방법에 대해서는 추측하지 않았습니다. 2026년 10월 13일부터 17일까지 도쿄증권거래소 적시공시 시스템(TDnet)에서 이번 사고에 관한 공시는 확인되지 않았습니다(10월 17일 확인).
-
SOURCENEXT CORPORATION, "당사 사이트에 대한 무단 접근으로 인한 고객 정보 유출에 대한 사과와 안내"(2026년 10월 15일, 10월 16일 업데이트) — sourcenext.com
-
같은 회사, "정보 유출에 관한 자주 묻는 질문"(FAQ, 날짜 없음, 2026년 10월 22일 확인) — sourcenext.com
-
회사 대변인을 인용한 인터뷰 보도(2026년 10월 19일). 공식 공지 및 FAQ와는 구분됨 — 보도된 회사 입장
업데이트 기록
2026-10-22: 새 FAQ 답변 추가: 10월 16일 독립된 외부 보안 전문가가 제3자 조사를 시작함. Super Security와 Virus Security는 기존과 같이 사용 가능. 1Password 데이터는 회사가 보유하지 않으며 유출에 포함되지 않음. 공식 페이지에 표시되지 않는 제품 및 서비스 전체에 대한 진술을 삭제하고, 1Password 사용에 영향이 없다는 답변과 맞춤. 건수, 항목, 비밀번호 처리는 변경 없음。
2026년 10월 21일: 비밀번호 업데이트를 대변인에게 귀속시킨 기존 10월 19일 보도를 검증함. 건수와 비밀번호 무효화 범위는 변경 없음。
2026-10-19: FAQ 답변 추가(유출에 포함된 비밀번호의 비활성화 완료, 다른 취약점 점검 시작). 비밀번호에 대해 "변경됨"을 회사 표현에 맞춰 "비활성화됨"으로 수정。
2026-10-17: 최초 버전. 2026년 10월 15일 회사 공지(10월 16일 업데이트 포함)와 FAQ(10월 17일 확인)를 바탕으로 작성. 사람 수, 취약점의 세부 내용, 비밀번호 저장 형식은 공개되지 않았으며, 공개되면 이 글을 업데이트합니다。
다음으로 읽을거리
- 같은 시기의 회원 데이터 사고: 북오프 회원 데이터 유출 / Gyazo 침해 사고
- 비밀번호: 비밀번호 유출 여부 확인 방법 / 비밀번호 관리자 선택과 사용
- 후속 사기: 피싱이란?
- 2026년의 다른 사고: 데이터 유출과 사이버 공격 목록(일본 및 전 세계)
- 관련 공지: NIFTY와 영향받은 회원 확인 방법