대상: 일본에서 타임스카, 타임스카 비즈니스 서비스 또는 Times Club을 이용한 적이 있는 사람(서비스를 탈퇴했거나 신청만 한 사람 포함) 및 신분증을 수집하는 서비스를 운영하는 사람. 이 글은 운영사의 공식 공지 및 FAQ를 기반으로 하며 공격 기법은 다루지 않는다.
진행 중: 회사가 추가 정보를 공개하면 이 글을 업데이트한다
2026년 10월 24일 기준아직 알려지지 않음
- 3,000엔 지급의 세부 내용과 지급 방식(회사는 아직 결정 중이며 대상자에게 연락할 예정이라고 밝힘)
- 정보보안 및 거버넌스 대책(연말까지 공개 예정)
- 외부 이사가 이끄는 조사위원회의 결과
10월 23일 다섯 번째 공지에서 회사는 외부 포렌식 조사가 그날 종료되었으며 최종 건수, 원인(웹 시스템 취약점의 악용), 지급 방침을 공개했다고 밝혔다. 현재까지 추가 범위는 발견되지 않았다고 말한다. 추가 피해를 막기 위해 공격 방법과 시스템 구성의 세부 사항은 공개하지 않을 예정이다.
마이페이지에서 본인 항목 확인하기
10월 23일 17시부터 회사는 타임스카 웹사이트의 각 회원 마이페이지에 해당 회원의 유출 확인 정보를 표시하고 있다. 확인 방법은 PDF로 공개되었다(확인 방법, 일본어). 이메일의 링크가 아니라 공식 앱이나 직접 연 공식 사이트(share.timescar.jp)에서 로그인하여 마이페이지를 열어라.
FAQ에 따르면 앞서 발송된 이메일에는 각 이메일 발송 시점에 확인된 내용이 적혀 있다. 조사 종료 후의 최종 결과는 마이페이지에서 확인하라. 대응은 본인이 어디에 해당하는지에 따라 달라진다.
| 확인되는 내용(다섯 번째 공지의 분류) | 회사의 설명 | 대응 |
|---|---|---|
| 신분증 이미지 "접근 및 외부 전송 흔적"(④, 1,464,800건) | 암호화된 이미지가 외부로 전송되었다. 내용이 곧바로 열람 가능해진 것은 아니지만 향후 복호화를 완전히 배제할 수 없다. 3,000엔 지급 대상 | 아래 모든 단계, 특히 세 신용정보회사의 사기 경보 등록과 신용정보 확인 |
| 신분증 이미지 "접근되었으나 외부 전송 흔적 없음"(⑤, 891,602건) | 회사는 내용이 열람되었거나 입수되었을 가능성이 낮다고 본다. 지급 대상 아님 | 사칭에 주의. 사기 경보는 선택 사항 |
| 이름, 주소, 생년월일, 전화번호, 이메일, 운전면허 정보 등(①, 6,628,007건) | 이미지 이외의 항목. "간단 입회"(카드 결제)로 주차만 신청한 사람도 포함 | 사칭에 주의. 법인 회원은 부서명을 이용한 가짜 이메일에도 주의 |
| Times Club 회원 | Times Club 웹 시스템에서 Times Club 카드 번호(19,510건), 연계 서비스 ID(135,436건), 카드 끝 4자리(28건) 등이 외부로 전송된 흔적이 있다(⑥) | 사칭에 주의. 본인 영향 여부는 상담 전화로 문의(다섯 번째 공지에는 확인 방법이 나와 있지 않음) |
| 전 회원 또는 회원 등록 미완료 | 마이페이지에서 확인 불가 | 전용 양식으로 문의(순차적으로 약 2주 안에 회신) |
공지 이메일은 쉽게 위조된다: 이메일의 링크로 행동하지 마라
실제 공지를 흉내 낸 가짜 이메일이 나타날 수 있다. 회사는 FAQ에서 SMS 인증번호, 인터넷 서비스 비밀번호, 운전면허나 마이넘버 카드의 PIN을 전화나 이메일로 요구하지 않는다고 말한다.
2026년 10월 24일 현재 지급의 세부 내용과 지급 방식은 결정되지 않았다(결정되면 대상자에게 연락한다). "지급금을 받으라"는 메시지가 은행이나 카드 정보 입력을 요구하면 링크를 열지 말고, 공식 사이트(share.timescar.jp)의 뉴스 섹션에 같은 안내가 있는지 직접 확인하라. 상담 전화는 0120-25-8924(24시간, 일본)이며, 공식 사이트의 문의 양식을 이용할 수도 있다.
회사의 다섯 번째 공지와 FAQ는 "운전면허 정보"에 무엇이 포함되는지(면허 번호, 유효기간, 면허 종류 등) 밝히지 않는다. 이미지와 별도로 표기되어 있다. 알아야 한다면 상담 전화로 문의하라.
피해자가 오늘 해야 할 일
유출된 면허증 악용을 막는 자세한 절차는 별도 가이드에 있다
사기 경보 등록 방법, 사기성 전화나 대출 계약을 알아보는 법, 경찰 상담 방법은 운전면허증 이미지나 번호가 유출되었을 때 해야 할 일에 정리되어 있다. 이 글은 이번 사고에 특정된 내용만 다룬다.
회사를 사칭하는 이메일, 문자, 전화, 우편의 안내를 무시하라(모든 사람)
유출된 데이터에는 이름, 주소, 생년월일, 전화번호, 이메일 주소가 함께 포함된다. 이 정보가 모두 있으면 사기꾼은 그럴듯한 메시지를 쓸 수 있다.
"보상 절차", "면허증 재제출", "카드 재등록" 관련 연락을 받으면 링크를 열지 말고 공식 앱이나 사이트를 직접 열어라. 회사 FAQ도 낯선 연락에 응답하지 말고 링크나 첨부 파일을 열지 말라고 요청한다(피싱이란? 참조).
10월 6일 회사는 FAQ에 회사, 금융기관, 통신사, 공공기관을 사칭하여 SMS 인증번호, 아이디와 비밀번호, 은행 정보, 신용카드 정보 또는 PIN을 얻으려는 연락에 대한 경고를 추가했다. 회사는 SMS 인증번호, 비밀번호, 운전면허나 마이넘버 카드의 PIN을 전화나 이메일로 요구하지 않는다고 말한다. 또한 경찰청과 협의했으며, 경찰을 사칭한 사기 전화에 대한 경찰청의 경고와 경찰청이 권장하는 무료 사기 전화 차단 앱을 안내하고 있다고 밝혔다. 그 자리에서 답하지 말고, 각 회사의 공식 연락처로 직접 확인하라.
일본의 세 신용정보회사에 사기 경보를 등록하라(신분증 이미지가 외부로 전송된 경우)
신분증이 분실, 도난 또는 유출되어 이름이 부정하게 사용될 수 있을 때 자기 신고를 등록할 수 있다. 대출 및 카드 회사는 이 기재를 보고 신청을 더 신중하게 검토한다.
회사 FAQ(Q12)는 이 제도가 예금 계좌 개설이 아닌 신용 심사에 사용된다고 설명하며, 이를 권장하거나 보장하지 않는다고 말한다. 본 사이트의 견해로는 외부로 전송된 이미지의 향후 복호화가 배제되지 않았으므로, 해당되는 사람에게는 등록이 의미가 있다.
신용정보회사마다 회원사가 다르므로 세 곳 모두 등록하는 것이 가장 안전하다. 수수료와 방법은 아래 표에 있다(2026년 10월 3일 각 회사 공식 사이트 기준 확인).
신용정보를 요청하고 본인이 개설하지 않은 계정이 있는지 확인하라(신분증 이미지가 외부로 전송된 경우)
사기 경보는 신청을 차단하지 않는다. 신용정보로 실제로 본인 명의로 개설된 것이 없는지 확인하라.
지금 한 번, 몇 달 후 다시 확인하여 신청한 적 없는 카드나 대출이 있는지 살펴라. 낯선 계약서, 채권 추심 통지, 이용한 적 없는 통신사나 대출 회사의 우편을 받으면 해당 회사와 관할 경찰서에 연락하라.
전 회원 및 회원 등록을 완료하지 않은 사람: 전용 양식으로 문의하고 원하면 삭제를 요청하라
회사는 10월 1일부터 전 회원에게 연락을 시작했으나, 등록된 연락처가 더 이상 작동하지 않을 수 있다고 밝혔다. 전 회원과 회원 등록을 완료하지 않은 사람은 마이페이지에서 확인할 수 없으므로, 회사는 전용 문의 양식을 통해 문의하라고 요청한다(제출 후 순차적으로 약 2주 안에 회신). 양식은 다섯 번째 공지에 링크되어 있다: 전 회원 문의 양식(일본어).
네 번째와 다섯 번째 공지에서 회사는 요청 여부와 관계없이 10월 말까지 신분증 이미지를 삭제하겠다고 말했다. FAQ(2026년 10월 23일 업데이트)는 여전히 이름, 주소, 생년월일을 법인세법 등에 따라 7년간 보관한다고 설명하며, 다른 데이터의 보관 규정도 검토하겠다고 덧붙인다. 서비스를 다시 이용할 계획이 없다면 해당 데이터의 처리 방식을 묻고 삭제를 요청할 수도 있다(법적 근거는 아래에 설명).
비밀번호 재사용을 중단하라
다섯 번째 공지에 따르면 해시화된 비밀번호(되돌릴 수 없는 형태로 변환된 것)는 4건에서 외부 전송 흔적이 확인되었다. 마이페이지에서 해당 여부를 확인하라. 해당하지 않더라도 타임스카 비밀번호를 다른 서비스에서 사용하고 있다면 그곳에서도 변경하는 것이 바람직한 예방 조치이다. 사용 중인 비밀번호를 점검하는 현실적인 방법은 비밀번호 관리자를 이용하는 것이다.
법인 계정 관리자: 파트너사를 사칭하는 이메일에 대해 직원에게 주의를 주라
다섯 번째 공지에 따르면 법인 회원의 부서명은 3,677건에서 외부 전송 흔적이 확인되었다. 이름, 부서, 이메일 주소가 함께 있으면 거래처나 동료를 사칭하기 쉬워진다.
"은행 계좌가 변경되었습니다" 또는 "긴급히 검토해 주세요" 같은 요청은 전화 등 다른 경로로 확인한다는 규칙을 공유하라(자사 도메인 보호: 이메일 스푸핑과 SPF, DKIM, DMARC).
| 신용정보회사 | 주요 회원사 | 온라인/앱 | 우편 | 경보 유효 기간 |
|---|---|---|---|---|
| CIC | 카드 회사, 소비자 신용 회사 | 1,000엔(신용 계약에 사용한 전화번호로 전화해야 함) | 1,000엔(우편환) | 5년 |
| JICC(일본신용정보참고센터) | 소비자 대출 회사 및 기타 | 스마트폰 앱, 700엔 | 의견 유형별 1,111엔 | 5년 |
| KSC(전국은행개인신용정보센터) | 은행 및 기타 | 500엔(마이넘버 카드 필요) | 2,403엔 | 공식 사이트 확인 |
신용정보회사가 혼잡하다: 우편으로도 신청할 수 있다
공개 이후 신청이 급증했다. 9월 30일 CIC는 온라인 공개 및 사기 경보 참조 번호를 얻기 어렵고 전화가 바쁘다고 밝혔다. JICC는 10월 1일 스마트폰 앱 신청을 중단했다가 10월 2일 재개했으나, 그날 18시 30분부터 10월 4일까지 서버 점검으로 다시 중단했다(재개 시간은 공지 예정).
며칠 늦어지는 것이 가짜 사이트에 걸리는 것보다 덜 위험하다. 각 신용정보회사의 공식 사이트에서 신청하거나, 연결이 되지 않으면 우편으로 신청하라. 검색 광고나 이메일 링크로 연결된 "신청 대행" 사이트는 피하라.
무슨 일이 있었나(Times Mobility의 공지 기준)
Times Mobility Co., Ltd.는 모회사 Park24 Co., Ltd.와 함께 2026년 9월 25일, 28일, 29일, 10월 16일(네 번째), 10월 23일(다섯 번째)에 공지를 발표했다. FAQ는 10월 1일 공개되었고 10월 6일, 13일, 16일, 23일에 업데이트되었다. 아래 내용은 모두 회사의 공식 공지에 기재된 대로이다.
2026년 9월 25일 9:07
회사는 타임스카 웹 시스템에 대한 외부의 부정 접근을 감지하고 조사를 시작했다.9월 25일
개인정보 유출 가능성에 대한 첫 공지. 회사는 개인정보보호위원회에 보고하는 등의 조치를 하고 있다고 말했다.9월 26일 7:25까지
침입 경로와 공격자와의 통신이 차단되었다. 회사는 접근이 더 이상 불가능하다고 확인하고 모니터링을 계속했다.9월 28일
두 번째 공지: 약 660만 계정의 데이터가 제3자에게 입수된 것이 확인되었다. 위원회와 경찰에 보고했고, 국토교통성에도 초기 보고를 했다. 기존 회원에 대한 안내가 시작되었다(다섯 번째 공지의 경과 기준). Park24의 증권거래소 공시에서는 실적 영향을 검토 중이라고 밝혔다.9월 29일
세 번째 공지: 약 160만 계정의 신분증 이미지가 유출되었다. 개별 회원에 대한 안내가 시작되었다(다섯 번째 공지의 경과 기준).10월 1일
FAQ와 전 회원용 전용 양식이 추가되었다. 전 회원에게 개별 안내가 시작되었다. 그 밖의 정보가 유출된 개별 회원에게도 이메일이 발송되었다.10월 2일
법인 회원에 대한 안내가 시작되었다(다섯 번째 공지의 경과 기준).10월 6일
FAQ에 두 가지 질문 추가: 면허증 이미지가 유출되었을 때 본인 확인이 어떻게 이루어지는지, 회사 등을 사칭하는 연락에 대한 경고(경찰청과 협의한 사실 및 가짜 경찰 전화에 대한 경고 포함).10월 13일
두 FAQ 답변 업데이트: IC칩 판독, 공적 개인인증 등 추가 본인 확인 절차의 예시와, 답변의 근거가 된 법령과 정부 자료 추가.10월 16일
네 번째 공지: 회사는 신분증 이미지의 보관을 재검토하고, 회원 등록 완료 후에는 이미지를 보관하지 않도록 내부 규정을 변경했다. 현재 보유 중인 이미지는 본인 요청 여부와 관계없이 2026년 10월 말까지 삭제된다. 조사가 더 걸린다고 밝히며, 약 2주 후로 약속했던 업데이트를 10월 23일 금요일로 옮겼다. 공개가 지연되는 이유와 이미지 삭제 후 사칭을 어떻게 막을지에 대한 FAQ 질문 두 개가 추가되었다.10월 23일
외부 포렌식 조사가 종료되고 다섯 번째 공지가 발표되었다: 최종 건수(타임스카 웹 시스템 6,628,007건, 외부로 전송된 문서 이미지 1,464,800건 등), 관련 Times Club 웹 시스템에 대한 부정 접근, 원인(웹 시스템 취약점의 악용), 3,000엔 지급, 연말까지 공개할 대책. 17시부터 각 회원의 유출 항목이 마이페이지에 표시되었다. 지급과 사기 경보 제도 등에 관한 새 질문이 추가되며 FAQ가 업데이트되었다.
- 조사
- 외부 포렌식 조사는 10월 23일 종료되었다. 제시된 건수는 조사 결과에 따른 최종 수치이며, 현재까지 추가 범위는 발견되지 않았다
- 타임스카 웹 시스템(①)
- 이름, 주소, 생년월일, 전화번호, 이메일 주소, 운전면허 정보. 공격자 접근 및 외부 전송 흔적이 6,628,007건에서 확인되었다. "간단 입회"로 타임스카 비즈니스 서비스에 가입하고 카드 결제로 주차만 계약한 사람의 계약 정보(이름, 전화, 이메일)도 포함된다
- 속성 및 ID 데이터(②)
- 법인 회원 부서명 3,677; 타임스카 회원 번호(IC 관리 번호) 8; Times Business 카드 번호 113; 연계 서비스 ID 4(두 번째 공지에서 9건이라고 했던 것을 정정함. 두 번째 공지에 있던 "JR 서일본 그룹 회원 서비스 WESTER ID"는 0건)
- 비밀번호(③)
- 해시화된 인증 정보(비밀번호) 외부 전송 흔적: 4
- 신분증 이미지(④⑤)
- 암호화되어 보관. 외부 전송 흔적: 1,464,800; 외부 전송 흔적 없이 접근: 891,602; 합계 2,356,402. 회사는 앞서 약 160만 건이 유출되었을 수 있다고 말했다. 외부 전송 흔적이 있다고 해서 내용이 곧바로 열람 가능해진 것은 아니지만, 향후 복호화를 완전히 배제할 수 없다(회사 설명)
- 이미지 종류
- 운전면허증, 주소 증명 서류(공과금 고지서 등), 학생증(학생 플랜), 가족 확인 서류(가족 플랜)(10월 1일~16일 버전 FAQ의 설명 기준)
- Times Club 웹 시스템(⑥)
- 이번 사고와 관련하여 부정 접근도 확인되었다. 외부 전송 흔적: 이름, 주소, 생년월일 및 운전면허 정보 5; Times Club 카드 번호 19,510; Times Business 카드 번호 12; 연계 서비스 ID(제휴 서비스 연결용 식별자) 135,436; 신용카드 끝 4자리 28
- 기타
- 회원 관리와 시스템 운영에 사용되는 식별자에서도 접근 및 외부 전송 흔적이 확인되었다
- 운전면허 정보
- 내용은 공개되지 않았다(신분증 이미지와 별도로 표기)
- 신용카드
- 회사는 결제 정보를 보관하지 않으며 카드 전체 번호와 보안 코드를 보유하지 않으므로, 카드가 부정 사용될 수 없다고 말한다
- 2차 피해
- 회사가 아는 범위에서 유출된 데이터가 판매되거나 공개되었다는 증거는 없다. 외부 전문가와 함께 다크웹을 포함한 모니터링을 계속하고 있다
- 원인
- 웹 시스템 취약점의 악용으로 판단되었다. 침입한 공격자는 시스템에서 정보를 검색하고, 얻은 정보로 데이터베이스와 파일 저장소에 접근했다. 추가 피해를 막기 위해 방법과 시스템 구성의 세부 사항은 공개하지 않는다
- 대책
- 확인된 침입 경로에 대한 대책은 완료되었다. 같은 구성의 시스템을 점검하고 패치했으며, 모니터링과 탐지를 강화했다
- 지급
- 암호화된 문서 이미지에 접근 및 외부 전송 흔적이 있는 사람에게 3,000엔 상당의 현금 또는 상품권. 세부 내용과 방법은 아직 결정 중이며, 대상자에게 연락할 예정이다
- 이미지 보관(네 번째 및 다섯 번째 공지)
- 현재 회원의 경우 "회원 기간 중 보관"에서 "등록 확인 완료 직후 삭제"로 변경되었다(전 회원의 경우 현재 규칙은 "탈퇴 후 7년 보관"이며, 새 규칙 칸에는 대시만 표시된다). 현재 보유 중인 이미지는 본인 요청 여부와 관계없이 2026년 10월 말까지 삭제된다. 이미지가 이전에 저장된 이미지와 일치하는지 확인하는 데 필요한 정보는 보존된다. 회사는 보안상의 이유로 삭제 후 사칭 방지 조치를 자세히 밝히지 않지만, 완화되지는 않는다고 말한다(FAQ Q14)
- 다음 단계
- 외부 이사가 이끌고 외부 전문가가 참여하는 조사위원회가 내부 통제와 거버넌스를 검토한다. 구체적인 정보보안 및 거버넌스 대책은 연말까지 공개 예정
- 문의
- 상담 전화 0120-25-8924(24시간, 일본), 공식 사이트의 문의 양식, 전 회원 양식
읽는 법: '판매 또는 공개가 확인되지 않음'은 '안전'을 뜻하지 않는다
회사는 아는 범위에서 유출된 데이터가 판매되거나 공개되었다는 증거는 없다고 말한다. 이는 아직 아무것도 발견되지 않았다는 뜻이지, 나중에 사용되지 않는다는 뜻이 아니다. 이미지의 암호화도 이를 해결하지 못한다. 회사 스스로도 향후 복호화를 배제하지 않았다.
특히 신분증 이미지는 몇 년 후에도 악용될 수 있다. 예방 조치를 몇 년 단위로 생각하라(CIC와 JICC의 사기 경보는 5년간 유지된다).
유출된 면허증 이미지가 가장 심각한 이유
변경하거나 재발급할 수 있는 것
- 비밀번호(여기서는 해시화됨. 4건 외부 전송. 재사용 중단)
- 신용카드(전체 번호와 보안 코드는 보유하지 않음. 28건에서 끝 4자리 유출)
- 이메일 주소와 전화번호(번거롭지만 변경 가능)
본인이 바꿀 수 없는 것
- 이름과 생년월일
- 얼굴 사진
- 주소(이사하지 않는 한)
외부 전송된 데이터(문서 이미지 1,464,800건)
운전면허증 등 암호화된 문서 이미지, 이름, 주소, 생년월일
↓ 누군가 본인 명의로 신청
대출 및 신용카드 심사
회원사가 신용정보를 확인한다
세 신용정보회사의 사기 경보(자기 신고)
회원사가 신청을 더 신중하게 검토한다. 차단하지는 않는다
↓ 그래도 개설된 경우
신청한 적 없는 카드나 대출
채권 추심 통지나 이용한 적 없는 회사의 우편으로 알게 될 수도 있다
신용정보 요청
지금 한 번, 몇 달 후 다시. 발견되면 해당 회사와 경찰에 연락
비밀번호는 변경하면 이전 것이 쓸모없어지지만, 신분증 이미지는 그렇지 않다. 일본의 온라인 계약에서는 흔히 면허증 사진과 셀피를 보내는 것이 본인 확인 방법으로 사용되어 왔다.
이번 이미지는 암호화되어 보관되었다. 암호화는 탈취된 데이터를 즉시 읽지 못하게 할 뿐, 탈취 자체를 막지는 못한다. 회사도 외부로 전송된 암호화 데이터의 향후 복호화를 완전히 배제하지 않았으므로, 예방 조치는 몇 년을 기준으로 계획하라.
면허증 재발급에 관해서는 도로교통법 제94조 제2항이 분실, 훼손, 오손, 손상 등의 사유를 규정하고 있다. 유출된 이미지는 명시되어 있지 않으므로 가까운 운전면허 시험장에 문의하라. 재발급된 면허증에도 같은 이름, 생년월일, 얼굴 사진이 그대로 담기며, 이번 유출에는 주소 증명 서류도 포함되었으므로 재발급만으로는 문제가 해결되지 않는다.
이미지만으로 하는 신원 확인은 단계적으로 폐지되지만 아직 끝나지 않았다
은행 계좌 개설 등을 규율하는 일본의 자금세탁방지 법규(범죄수익이전방지법)는 2025년 6월 개정되어 신분증 이미지와 셀피를 보내는 비대면 방식을 폐지하며, 2027년 4월 1일부터 시행된다. 2026년 3월 추가 개정으로 대면 확인에서도 같은 날짜부터 문서의 IC칩 판독이 기본이 된다.
휴대전화 계약은 별도 법률의 적용을 받으며, 총무성에 따르면 온라인 계약은 2026년 4월 1일부터 원칙적으로 IC칩 판독이 필요하다.
회사는 10월 6일 FAQ 추가 내용(10월 13일 업데이트)에서, 금융기관이 문서 이미지로 비대면 본인 확인을 할 때 셀피 대조, IC칩 판독, 공적 개인인증, 또는 본인 명의 계좌 확인 등의 절차를 추가한다고 설명한다. 근거로 범죄수익이전방지법과 그 시행규칙, 휴대전화 부정이용방지법을 든다. 제3자의 부정 신청이나 다른 계약에서의 사칭을 완전히 배제할 수는 없다고 말한다.
비대면 은행 유형 절차는 2027년 3월까지, 그리고 이 규정 밖의 서비스(연령 확인이나 가입 시 면허증 이미지를 요구하는 많은 서비스)에서는 여전히 이미지가 신분증으로 통할 수 있다. 그래서 본 사이트는 사기 경보와 신용정보 확인을 권장한다.
전 회원의 데이터가 보관되었던 이유(회사 설명)와 삭제 요청
이번 유출에는 전 회원과 회원 등록을 완료하지 않은 신청자도 포함되었다. 회사는 FAQ에서 보관 이유를 다음과 같이 설명한다.
- 이름, 주소, 생년월일: 법인세법 등 관련 법령에 따라 7년간 보관
- 운전면허 정보와 이미지: 부정 사용 방지 및 고객 문의 대응을 위해 7년간 보관
10월 16일 네 번째 공지(10월 23일 다섯 번째 공지에서 반복)에서 회사는 이 이미지들의 처리 방식을 바꿨다. 등록 확인이 끝나면 이미지를 더 이상 보관하지 않으며, 현재 보유 중인 이미지는 본인 요청 여부와 관계없이 2026년 10월 말까지 삭제한다. 업데이트된 FAQ(2026년 10월 23일)는 이름, 주소, 생년월일의 7년 보관을 유지하고, 다른 데이터의 보관 규정도 검토하겠다고 말하지만 아직 새 기간은 제시하지 않았다.
법적으로는 개인정보보호법 제22조가 사업자에게 개인 데이터가 더 이상 필요하지 않게 되면 지체 없이 삭제하도록 노력할 것을 요구한다. 이는 노력 의무이며, 사업자가 목적상 필요한 기간을 판단한다.
개인의 권리에 관해서는 제35조 제5항이 보고 대상 유출 등의 경우나 사업자가 더 이상 데이터를 필요로 하지 않는 경우 이용 중지 또는 삭제를 요청할 수 있도록 한다. 법률상 보관 의무가 있는 기록은 남을 수 있지만, 무엇이 남고 언제 삭제되는지 답을 받는 것만으로도 충분히 가치가 있다.
신분증을 수집하는 서비스를 운영하는 사람을 위해
10월 23일 다섯 번째 공지에서 회사는 이번 유출을 웹 시스템 취약점의 악용에 기인한다고 밝혔다. 침입한 공격자는 시스템에서 정보를 검색하고, 얻은 정보로 데이터베이스와 파일 저장소에 접근했다(방법의 세부 사항은 비공개). 이미지는 암호화되어 있었지만 1,464,800건에서 외부 전송 흔적이 확인되었다. 회사는 또한 회원 탈퇴 후 면허 정보와 이미지를 7년간 보관했으며, 이제는 등록 확인이 끝나면 이미지를 보관하지 않도록 규정을 바꾸었다. 필요한 것은 사업마다 다르다. 그럼에도 신분증을 보관하는 모든 서비스가 검토할 만한 세 가지 점이 있다.
확인 기록과 확인에 사용한 이미지의 보관 기간을 따로 설정하라
본인 확인 후 운영에 필요한 것은 보통 언제, 어떤 문서로, 누가 확인했는지에 대한 기록과 면허 유효기간 정도이다. 이미지 자체가 얼마나 필요한지, 그리고 언제 기록만으로 충분한지를 항목별로 정하라.
전 회원 및 신청을 마치지 않은 사람의 이미지에 삭제 기한을 설정하고 자동화하라
탈퇴했거나 가입을 중단한 사람의 문서 이미지는 일상적으로 쓰이지 않지만, 유출이 발생하면 여전히 대상에 포함된다. 법적으로 요구되는 기간이 있다면 그 기간만큼 보관하고, 없다면 짧은 기한을 정하여 기한이 지나면 자동으로 삭제되도록 하라. 수동 삭제는 오래가지 않는다.
웹 시스템이 직접 읽을 수 없는 곳에 이미지를 보관하라
가입과 예약을 받는 웹 시스템이 같은 권한으로 이미지 저장소에 자유롭게 접근할 수 있다면, 웹 쪽이 뚫렸을 때 이미지도 노출된다.
이미지는 별도의 키를 가진 별도의 저장소에 보관하고, 웹 쪽에는 "확인 완료"라는 결과만 보이게 하라. 일반적으로 웹 시스템에 침입한 공격자가 그곳에서 찾은 정보로 더 깊은 데이터에 도달할 수 있다면, 암호화만으로는 데이터 탈취를 막을 수 없다. 암호화에 더해 저장소로 가는 경로를 분리해야 한다. 기본 원칙은 조직을 위한 최소 보안 기준과 인증과 인가의 차이에서 다룬다.
공개 이후
- 사기 경보와 공개 요청이 CIC와 JICC에 몰려 앱 신청의 지연과 중단이 발생했다(신용정보회사 공지 기준).
- 변호사들이 집단소송 참가자를 모집하는 웹사이트를 열었고, 10월 2일 오후 9시 기준 등록자가 15,000명을 넘었다고 보도되었다(니혼게이자이신문, 10월 2일).
- Park24의 주가는 공개 이후 하락한 것으로 보도되었다. 회사는 실적 영향을 검토 중이라고 밝혔다.
- 10월 1일 FAQ에서 회사는 전 회원의 데이터를 보관한 이유를 설명했다.
- 10월 16일 네 번째 공지에서 회사는 회원 등록 완료 후 신분증 이미지를 더 이상 보관하지 않고, 보유 중인 이미지를 10월 말까지 삭제하겠다고 밝혔다.
- 10월 23일 다섯 번째 공지에서 회사는 문서 이미지가 외부로 전송된 사람에게 3,000엔을 지급한다고 발표했으며, 외부 이사가 이끄는 조사위원회의 검토와 연말까지 공개할 대책도 발표했다.
같은 해 공개된 다른 일본의 주요 유출과 비교하려면 2026년 일본 주요 데이터 유출을 참조하라. 유출된 것이 이미지가 아니라 그 주변 정보였던 사례는 Gyazo 유출을 참조하라.
출처(공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔다. 공개되지 않은 침입 방법이나 원인은 추측하지 않았다.
- Times Mobility Co., Ltd., 다섯 번째 공지: 타임스카 웹 시스템 부정 접근으로 인한 개인 데이터 유출 보고 및 향후 조치(2026년 10월 23일: 최종 건수, Times Club 웹 시스템, 원인, 지급, 마이페이지 확인, 일본어) — share.timescar.jp / 확인 방법(PDF): corp.timescar.jp
- Times Mobility Co., Ltd., 타임스카 웹 시스템 부정 접근 대응에 관한 네 번째 공지(2026년 10월 16일: 이미지 보관 재검토, 보유 이미지 10월 말 삭제, 10월 23일 다음 업데이트, 일본어) — share.timescar.jp
- Times Mobility Co., Ltd., 타임스카 웹사이트 부정 접근으로 인한 개인 데이터 유출 가능성에 관한 첫 공지(2026년 9월 25일, 10월 1일 업데이트, 일본어) — share.timescar.jp
- Times Mobility, 두 번째 공지: 조사 결과와 향후 조치(2026년 9월 28일, 10월 1일 업데이트, 일본어) — share.timescar.jp / 공지 이메일에서 연결된 페이지: corp.timescar.jp
- Times Mobility, 세 번째 공지(2026년 9월 29일, 10월 1일 업데이트: 신분증 이미지가 포함된 약 160만 계정 및 개별 이메일 발송 시작, 일본어) — share.timescar.jp
- Times Mobility, 타임스카 웹사이트 부정 접근에 관한 FAQ(2026년 10월 1일, 10월 6일, 13일, 16일 업데이트. 10월 23일에는 유출 항목, 신용카드, 확인, 보관에 관한 답변이 다섯 번째 공지에 맞춰 수정되었고, 보상과 지연에 관한 질문은 삭제되었으며, 지급, 대상 자격, 이미지 전송, 사기 경보 제도에 관한 질문 네 개가 추가되어 전체 14개 질문의 번호가 다시 매겨졌다. 일본어) — corp.timescar.jp (PDF)
- Park24 Co., Ltd., 연결 자회사의 부정 접근에 관한 적시 공시(2026년 9월 28일, 일본어) — park24.co.jp (IR)
- JR 서일본, 타임스카 웹사이트 부정 접근에 관한 공지(후속 내용 포함, 일본어) — wester.jr-odekake.net
- 사기 경보(일본어): CIC / JICC / 전국은행개인신용정보센터
- 혼잡 공지(일본어): CIC(9월 30일) / JICC(10월 2일)
- 경찰청(JAFIC), 범죄수익이전방지법 시행규칙 개정에 관한 Q&A(2025년 6월 24일 및 2026년 3월 6일 공포, 일본어) — npa.go.jp
- 총무성, 휴대전화 계약의 신원 확인 규칙(일본어) — soumu.go.jp
- 도로교통법 제94조(면허 재발급, 일본어) — e-Gov 법령 검색
- 개인정보보호법 제22조 및 제35조(일본어) — e-Gov 법령 검색
- 보도: 니혼게이자이신문, 소송 사이트 등록자 15,000명 초과(2026년 10월 2일, 일본어) — nikkei.com / 교도통신, 오키나와 타임스 경유(2026년 10월 3일, 일본어) — okinawatimes.co.jp
업데이트 이력
2026-10-24: 10월 23일 다섯 번째 공지와 FAQ 업데이트를 반영했다. 최종 건수(타임스카 웹 시스템 6,628,007건, 문서 이미지 외부 전송 1,464,800건과 접근만 된 891,602건, 비밀번호 4건 등), 관련 Times Club 웹 시스템의 유출(신용카드 끝 4자리 28건 등), 정정된 연계 서비스 ID 건수(9건에서 4건으로, WESTER ID 0건), 원인(웹 시스템 취약점의 악용), 3,000엔 지급, 마이페이지 확인(10월 23일 17시부터), 전 회원 양식의 새 URL에 맞춰 제목, 요약, 핵심 요약, 빠른 표, 사실 목록, 경과, FAQ를 다시 작성했다. "약 160만 계정" 수치는 당시 회사가 유출 가능성이 있다고 설명한 건수로 다루었다.
2026-10-16: 약 160만 건은 이미지 파일이 아니라 문서 이미지가 포함된 계정 수임을 명확히 했다. 이미지에 관한 부정 진술이 해당 개인의 다른 데이터가 유출되지 않았다는 뜻으로 읽히지 않도록 FAQ 내용을 정정했다. 관련 세 번째 공지와 FAQ 부분을 재확인했다.
2026-09-29: 9월 25일(첫 번째)과 9월 28일(두 번째) 공지를 바탕으로 한 첫 버전.
2026-09-30: 9월 29일 세 번째 공지(신분증 이미지가 포함된 약 160만 계정, 개별 이메일 발송 시작)를 추가했다.
2026-10-03: 10월 1일 FAQ와 공지 업데이트를 추가했다. 공지 유형 표, 전 회원 양식, 7년 보관 설명, 회사가 카드 정보를 보유하지 않는다는 내용, 비밀번호가 유출 목록에 있다는 내용, 신용정보회사 수수료와 혼잡, 2026년 자금세탁방지 및 휴대전화 신원 확인 규정 변경을 포함했다. 확인되지 않은 "전 회원 사과 이메일"에 관한 언급은 삭제했다. 회사는 약 2주 후 자세한 내용을 발표할 계획이며, 발표되면 이 글을 업데이트한다.
2026-10-05: 집단소송 등록자 수를 최신 보도(10월 2일 오후 9시 기준 15,000명 초과)로 업데이트했다.
2026-10-06: 전 회원 문의 양식 링크를 추가했다(첫 번째 공지 10월 1일 업데이트 기준).
2026-10-11: 회사가 10월 6일 FAQ에 추가한 두 질문(면허증 이미지가 유출되었을 때 본인 확인 방법, 사칭 연락에 대한 경고와 경찰청 협의)을 추가했다. 10월 11일 기준 원인은 아직 공개되지 않았다.
2026-10-14: 10월 13일 FAQ 업데이트(추가 본인 확인 절차 예시에 IC칩 판독과 공적 개인인증 추가, 법적 근거 추가)를 반영했다. 10월 14일 기준 네 번째 공지나 원인은 발표되지 않았다.
2026-10-17: 10월 16일 네 번째 공지와 FAQ Q11, Q12(등록 완료 후 이미지를 보관하지 않음, 보유 이미지는 10월 말 삭제, 다음 업데이트는 10월 23일 금요일로 변경)를 반영했다. 상단에 "아직 알려지지 않음" 상자를 추가했다. 건수는 변경되지 않았으며, 원인, 조사 결과, 보상은 10월 17일 기준 여전히 공개되지 않았다.
다음으로 읽기
- 운전면허증 이미지나 번호가 유출되었을 때 해야 할 일
- 이미지 기반 신원 확인은 원칙적으로 2027년 4월에 종료된다: 일본 온라인 신원 확인의 IC칩 판독 전환(PIN 준비)
- ID 번호 유출: Lashinbang(중고 매입 확인)
- 후속 사기: 피싱이란? / 가짜 바이러스 경고(기술 지원 사기)
- 비밀번호: 비밀번호 관리자 고르기 / 다단계 인증 고르기
- 신원 확인에 쓰는 휴대전화 보호: 스마트폰 보안 기본
- 같은 유형의 사례: Cariteco(메이테쓰 교쇼, 카셰어링) / Odido(네덜란드, 여권 및 면허 번호) / AssuranceAmerica(미국, 면허 번호)
- 2026년 9월~10월 일본의 다른 사고: 세이코마트 앱(약 57만 명) / 야마토 운수와 사가와 익스프레스(택배 발송인과 수령인) / Abahouse(주문 데이터와 가짜 환불 이메일) / 다이와 증권(위탁업체를 통한 약 11만 고객)
- 2026년 다른 사고: 유출 및 사이버 공격 목록(일본 및 세계) / 2026년 일본 주요 데이터 유출
- 운영자용: 조직을 위한 최소 보안 기준