대상: 매장의 회원 앱(스탬프 카드, 쿠폰 등)에 전화번호와 기타 정보를 등록했고 그 앱이 Toypo를 쓰는 사람. 이 글은 Toypo Inc.와 이 앱을 쓰는 매장들의 공식 공지를 바탕으로 하며 공격 수법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
2026년 10월 29일 기준아직 알려지지 않음
- 관련된 매장과 기업의 전체 목록
- 원인의 상세 내용
- 제3자 진단 결과
- 데이터가 악용되었는지 여부
- 보상 여부
Toypo는 중요한 새 사실이 확인되면 공지 페이지 등에 신속히 알리겠다고 밝혔습니다. 일정은 밝히지 않았습니다. 10월 29일 이 사이트는 Toypo의 두 공지 페이지(10월 14일자와 날짜가 없는 것)와 이 앱을 쓰는 매장(JR Kyushu Food Service, Nishitetsu Wellness, Mannoya)의 공지를 확인했고 새 발표는 찾지 못했습니다.
매장 앱 이용자가 오늘 해야 할 일
해당자인지 앱의 공지에서 확인하세요
Toypo는 매장용 회원 앱(고객 관리 앱)을 제공하며 각 매장 앱의 뒤에서 작동합니다. 앱의 모양과 이름은 매장마다 달라서 앱 이름만으로는 알기 어려울 수 있습니다. 이 사이트가 확인한 범위에서는 Toypo가 이 앱을 쓰는 매장 목록을 공개하지 않았습니다.
Toypo의 10월 14일자 공지는 해당 여부를 알 수 있는 방법을 설명합니다.
- 해당자를 특정했고, 10월 13일부터 Toypo 공식 계정의 앱 내 푸시 알림 등으로 해당자에게 개별 연락을 하고 있습니다
- 앱의 공지 섹션에 이 사건에 관한 알림이 도착했다면 해당자입니다. 도착하지 않았다면 해당되지 않습니다
- 개별적으로 확인하려면 Toypo에 문의하세요
매장이 답하지 못할 수도 있습니다. Nishitetsu Wellness는 사건이 Toypo의 시스템에서 발생했으므로 자신들은 자세한 내용에 답할 수 없다며 Toypo에 문의해 달라고 안내합니다.
매장이나 Toypo를 사칭한 메시지의 링크와 전화번호를 쓰지 마세요
유출되었을 수 있는 항목에는 전화번호, 이메일 주소, 이름이 포함됩니다. Toypo와 Nishitetsu Wellness는 이 정보를 이용한 수상한 이메일, 문자, 전화, 피싱이 이루어질 수 있다고 경고합니다.
"회원 정보 확인", "쿠폰 만료", "사과 환불" 같은 메시지를 받더라도 그 안의 링크나 전화번호는 쓰지 마세요. 앱 내 문의나 공지에 적힌 연락처로 확인하세요. Toypo는 비밀번호, 인증 코드, 신용카드 번호를 입력하라고 요구하는 일은 없다고 밝혔습니다.
비밀번호를 어떻게 할지 정하세요
Toypo는 비밀번호 등의 로그인 정보는 포함되지 않았으므로 이번 사건을 이유로 비밀번호를 바꾸거나 앱에서 다른 조치를 할 필요는 없고, 앱과 포인트, 쿠폰은 전처럼 쓸 수 있다고 밝혔습니다. 회사의 FAQ는 다른 서비스에서 같은 비밀번호를 쓰고 있거나 수상한 로그인이 있다면 변경을 검토해 달라고 요청합니다.
이 사이트는 여러 서비스에서 같은 비밀번호를 쓰고 있다면 이 기회에 분리하기를 권합니다(비밀번호가 유출되었는지 확인하는 방법 / 비밀번호 관리자 고르기).
예상치 못한 메시지를 받으면 Toypo에 알리세요
Toypo는 특정 메시지가 이번 사건 때문인지는 알 수 없지만, 관련성을 확인하기 위해 가능하면 발신 번호, 수신 일시, 내용을 문의처에 알려 달라고 요청합니다. URL을 열었거나 정보를 입력했다면 비밀번호를 빨리 바꾸고, 카드를 입력했다면 카드 회사에 연락하세요(피싱이란?).
쓰지 않는 앱의 계정은 삭제하세요
Toypo에 따르면 앱의 마이페이지 화면 맨 아래에서 계정을 삭제할 수 있습니다. 삭제하면 등록 정보를 포함한 모든 데이터가 지워지고 복구할 수 없습니다. 적용되기까지 약 1주일이 걸리며, 그동안 다시 로그인하면 취소됩니다. 이용 중인 구독이 있거나 아직 받지 않은 주문이 있으면 삭제할 수 없습니다. 남겨 두고 싶은 스탬프나 쿠폰이 없는지 확인한 뒤 진행하세요.
1. 매장이나 Toypo를 사칭한 이메일 / 문자 / 전화
이름과 전화번호가 맞음 → 여기서 판단하지 않기
↓
2. 그 링크나 번호는 쓰지 않기: 앱 내 문의나 적힌 연락처를 직접 이용
Toypo 고객 문의 0120-546-030(평일 9:00–18:00 일본 시간)
↓
3a. 확인할 수 없는 요구
비밀번호, 인증 코드, 카드 번호 또는 입금 요구 → 응하지 않기
3b. 문의처가 같은 안내를 함
공식 안내에 따르기
무슨 일이 있었나요 (Toypo와 매장 발표 기준)
아래 내용은 Toypo Inc.의 공지 페이지 두 개와 각 매장의 공지를 바탕으로 합니다. 하나는 "무단 접근에 의한 개인정보 유출에 관한 사과와 안내"(2026년 10월 14일자, 인원 수 있음. 아래에서 "10월 14일자 공지")이고, 다른 하나는 "Toypo 앱에 대한 무단 접근에 의한 개인정보 유출에 관한 사과와 안내"(날짜 없음, 인원 수 없음. 아래에서 "다른 공지 페이지")입니다. 10월 14일자 공지는 정보가 "유출되었을 수 있다"고 적고, 다른 페이지는 "유출되었다"고 적고 있습니다. Toypo는 매장에 고객 관리 앱인 Toypo 앱을 제공합니다.
2026년 10월 4일(일)
Toypo가 제3자에 의한 시스템 무단 접근을 확인했습니다. 시스템 일부에 접근 제어 결함이 있어 인증된 이용자가 열람 권한이 없는 다른 이용자의 정보를 얻을 수 있었고, 로그상 제3자가 이를 이용해 이용자 정보를 취득했습니다.10월 7일(수)
Toypo가 이 앱을 쓰는 매장 중 하나(JR Kyushu Food Service)에 알렸습니다(해당 매장의 공지).10월 13일까지
Toypo가 접근에 쓰인 계정의 정지와 결함 수정을 마치고 개인정보보호위원회에 보고했습니다(둘 다 회사 발표, 날짜는 밝히지 않음).10월 13일(화)
13:00에 전용 문의처가 열렸고, Toypo는 앱 내 푸시 알림으로 해당자에게 개별 연락을 시작했습니다(회사 발표). JR Kyushu Food Service와 Nishitetsu Wellness도 공지를 게시했습니다.10월 14일(수)
Toypo는 10월 14일자 공지에서 해당 이용자 수를 697,209명(정보가 유출되었을 수 있음)으로 밝혔습니다. Mannoya도 공지를 게시했습니다.10월 28일
ScanNetSecurity가 이용자 697,209명의 등록 정보가 유출되었을 수 있다고 보도했습니다.
- 유출되었을 수 있는 정보
- 전화번호와 사용자 ID 등의 식별자. 등록된 경우 이름, 이름의 가나 표기, 이메일 주소, 생년월일, 성별, 주소(어떤 항목이 등록되어 있는지는 사람마다 다르며, 모든 사람의 모든 정보가 유출된 것은 아님)
- 포함되지 않음(회사 발표)
- 비밀번호 등의 로그인 정보, 신용카드 번호 등의 결제 정보, 포인트, 매장 방문 이력, 구매·이용 이력(다른 공지 페이지는 비밀번호 해시, 인증 토큰, 세션 정보도 들고 있음)
- 보유하지 않음(회사 발표)
- 신분증 이미지, 마이넘버 등은 자사 서비스가 보유하지 않음
- 탈퇴한 사람
- 유출이 발생한 시점에 이미 탈퇴한 사람은 유출이 확인되지 않음(회사 발표)
- 지금까지의 대응(회사 발표)
- 결함 수정. 다른 곳에 비슷한 문제가 없는지 점검, 접근 제어 재검토, 감시와 탐지 강화. 제3자 보안 진단 준비 중. 개인정보보호위원회에 보고. 다른 공지 페이지는 접근에 쓰인 계정의 정지와 로그 보존도 들고 있음
- 문의처
- Toypo Inc. 고객 문의: 0120-546-030, 평일 9:00–18:00 일본 시간. 콜센터는 10월 30일(금) 18:00까지 전화를 받고 이후는 앱 내 문의(회사 발표)
이 앱을 쓰는 매장의 공지
이 앱은 각 매장의 회원 앱으로 쓰이며, 매장마다 해당 인원 수를 따로 발표했습니다. 아래는 이 사이트가 직접 연 공식 공지의 내용입니다. 숫자는 매장별로 따로이며 합산하지 않았고, 합쳐서 Toypo의 697,209명이 된다는 발표는 없습니다.
| 매장 / 기업 | 공지 내용 | 상태 |
|---|---|---|
| JR Kyushu Food Service(10월 13일) | 대상 24개 매장에 등록된 회원 약 61,500명 중 약 26,900명의 정보가 유출되었을 수 있음. 신규 회원 모집 중지 | 가능성 있음(회사) |
| Nishitetsu Wellness(Nishijin Palace Dome, 10월 13일) | 회원 앱 "Toypo"의 이용자 정보 일부가 유출됨. 인원 수는 밝히지 않음 | 유출 확인(Toypo의 통지에 따름) |
| Mannoya(10월 14일) | 개발에 관여하는 브랜드 "Kineya Mannoya" 공식 앱 회원 212명 중 12명의 등록 정보가 해당됨. 신규 회원 등록 일시 중지 | 해당(회사) |
Toypo의 공지는 그 밖에 어떤 매장이나 기업이 이 앱을 쓰는지 밝히지 않습니다.
확인된 것과 확인되지 않은 것
2026년 10월 29일 기준입니다. 더 많은 내용이 공개되면 이 표를 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 무단 접근 발생 | 10월 4일 확인. 로그상 제3자가 결함을 이용해 이용자 정보를 취득 | 확인(회사) |
| 전화번호, 사용자 ID 등의 식별자 | 유출됨 | 가능성 있음(Toypo, 10월 14일자 공지). 다른 공지 페이지는 "유출되었다"고 적음 |
| 이름, 이름의 가나 표기, 이메일, 생년월일, 성별, 주소 | 등록된 경우 유출됨 | 가능성 있음(Toypo, 10월 14일자 공지). 다른 공지 페이지는 "유출되었다"고 적음 |
| 비밀번호 등의 로그인 정보 | 포함되지 않음(다른 공지 페이지는 비밀번호 해시, 인증 토큰, 세션 정보도 들고 있음) | 포함되지 않음(회사) |
| 신용카드 번호 등의 결제 정보 | 포함되지 않음 | 포함되지 않음(회사) |
| 포인트, 매장 방문 이력, 구매·이용 이력 | 포함되지 않음 | 포함되지 않음(회사) |
| 해당 인원 수 | 697,209명(10월 14일자 공지). ScanNetSecurity도 같은 수치를 보도. 다른 공지 페이지에는 없음 | 발표됨(회사) |
| 해당 여부를 아는 방법 | 앱 공지에 이 사건에 관한 알림이 있으면 해당, 없으면 해당되지 않음(10월 14일자 공지) | 확인(회사) |
| 관련 매장과 기업 | 전체 목록 없음. JR Kyushu Food Service, Nishitetsu Wellness, Mannoya가 각자 공지를 게시 | 밝히지 않음 |
| 원인 | 접근 제어 결함(인증된 이용자가 다른 이용자의 정보를 얻을 수 있음). 그 이상의 상세 내용 없음 | 확인(회사, 개요만) |
| 결함 수정 | 완료. 이 방법으로는 더 이상 정보를 얻을 수 없음 | 확인(회사) |
| 다른 곳에 비슷한 문제가 있는지 | 추가 점검 진행 중 | 조사 중 |
| 제3자 진단 | 제3자 보안 진단을 준비 중(10월 14일자 공지) | 준비 중(회사) |
| 악용이나 2차 피해 | 구체적인 2차 피해는 확인되지 않음. 수상한 연락이 있을 수 있다고 경고 | 확인되지 않음(회사) |
| 보상 | 밝히지 않음 | 밝히지 않음 |
주의: 697,209는 건수가 아니라 사람 수이며, 정보가 유출되었을 수 있는 사람의 수입니다
Toypo의 10월 14일자 공지는 "이번 무단 접근에 해당하는 이용자 수는 697,209명"이며 정보가 "유출되었을 수 있다"고 밝혔습니다. 단위는 건수가 아니라 사람입니다. 다른 공지 페이지(날짜 없음)에는 인원 수가 없고 정보가 "유출되었다"고 적혀 있습니다. 이 사이트는 이 차이를 고려해 "유출되었을 수 있다"고 씁니다. 매장별 수치(JR Kyushu Food Service의 약 26,900명 등)가 전체 697,209명이 되는지는 발표되지 않았습니다.
유출된 항목의 조합으로 할 수 있는 일
아래는 이 항목 조합으로 일반적으로 일어날 수 있는 일입니다. 이번 사건에서 실제로 일어났다는 발표는 없습니다. Toypo는 구체적인 2차 피해는 확인되지 않았다고 밝혔습니다.
- 전화번호 + 이름: 이름을 불러 아는 사람처럼 보이게 하며 매장이나 서비스를 사칭하는 문자나 전화
- 이메일 주소 + 이름과 주소: 진짜처럼 보이는 "회원 정보 갱신" 또는 "포인트 만료" 가짜 이메일
- 생년월일 + 이름 + 주소: 다른 서비스의 본인 확인 질문에 답하는 데 쓰일 수 있음. Toypo도 다른 서비스의 본인 확인에 주의해 달라고 요청함
- 사용자 ID + 전화번호: Toypo는 비밀번호 등은 포함되지 않았다고 밝혔으므로, 이 정보만으로 곧바로 서비스에 로그인할 수는 없음
일반적으로 전화번호와 이메일을 이용한 가짜 메시지의 대부분은 그 안의 링크나 번호를 쓰지 않고 직접 확인하는 것으로 막을 수 있습니다.
운영자가 점검할 것
Toypo가 공개한 것은 인증된 이용자가 다른 이용자의 정보를 얻을 수 있었던 접근 제어 결함입니다. 자세한 내용은 공개되지 않았으므로, 이 섹션은 공개된 경과와 일반적으로 말할 수 있는 내용만 다룹니다.
- 일반적으로 로그인했다는 것만으로는 충분하지 않음: 서버는 요청마다 "이 이용자가 로그인했는가"뿐 아니라 "이 사람에게 이 데이터를 볼 권한이 있는가"를 확인해야 합니다(IDOR란?). 일반론이며, 이번 사건의 원인이 같다고 발표된 것은 아닙니다.
- 많은 매장의 이용자가 한 플랫폼에 있음: 한 플랫폼의 결함은 많은 매장과 기업의 이용자에게 한꺼번에 영향을 줍니다. 이번 사건에서는 각 매장이 따로 공지를 냈고 문의는 Toypo에 모였습니다. 플랫폼 제공자가 감지하는 즉시 매장에 알릴지, 누가 어떤 경로로 이용자에게 알릴지를 미리 정해 두면 매장이 스스로 대비할 수 있습니다.
- 갖고 있지 않은 데이터는 유출될 수 없음: Toypo는 비밀번호 등의 로그인 정보, 카드 번호, 방문 이력, 신분증이 유출된 정보에 포함되지 않았다고(또는 보유하지 않는다고) 밝혔습니다. 기능에 필요한 항목만 수집하면 문제가 생겼을 때 범위가 좁아집니다.
출처 (공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 원인의 상세 내용이나 전체 매장 목록은 추측하지 않았습니다.
- Toypo Inc., "무단 접근에 의한 개인정보 유출에 관한 사과와 안내"(일본어, 2026년 10월 14일자, 해당 이용자 697,209명, 10월 29일 확인) — toypo.notion.site
- Toypo Inc., "Toypo 앱에 대한 무단 접근에 의한 개인정보 유출에 관한 사과와 안내"(일본어, 날짜와 인원 수 표시 없음, 10월 29일 확인) — toypo.notion.site
- Toypo Inc., "Toypo 앱 무단 접근에 관한 Q&A"(일본어, 위 페이지에서 링크됨)
- JR Kyushu Food Service Co., Ltd., "Toypo Inc.에서 발생한 무단 접근에 따른 고객 정보 유출 안내"(일본어, 2026년 10월 13일) — jrfs.co.jp / 공지 본문(PDF)
- Nishitetsu Wellness Co., Ltd., "Nishijin Palace Dome 회원 앱 Toypo에 대한 무단 접근으로 인한 개인정보 유출 가능성 안내와 주의 요청"(일본어, 2026년 10월 13일) — nishitetsu-wellness.com(공지 목록)
- Mannoya Co., Ltd., "Toypo에 대한 무단 접근에 따른 'Kineya Mannoya' 공식 앱 회원 정보 유출 안내"(일본어, 2026년 10월 14일) — mannoya.com
- ScanNetSecurity, "행동 데이터 플랫폼 Toypo 앱에 대한 무단 접근, 이용자 697,209명의 등록 정보가 유출되었을 가능성"(일본어, 2026년 10월 28일, 언론 보도, 697,209명) — scan.netsecurity.ne.jp
- 니시닛폰신문, 고객 관리 앱 운영사에서 약 69만 7천 명의 정보가 유출되었을 가능성에 관한 보도(일본어, 게재일 미확인, 유료 기사로 도입부만 확인, 약 69만 7천 명으로 보도) — nishinippon.co.jp
업데이트 기록
2026-10-29: 첫 버전. Toypo의 공지 페이지 두 개(10월 14일자 하나, 날짜 없는 하나, 모두 10월 29일 확인), 이 앱을 쓰는 매장 세 곳의 공지, 언론 보도 두 건을 바탕으로 작성했습니다. 원인의 상세 내용, 제3자 진단 결과, 보상이 발표되면 업데이트하겠습니다.
다음으로 읽을 글
- 같은 항목(이름, 전화번호, 이메일)이 유출된 일본 사건: MrMax / 숙박 예약 시스템 TEMAIRAZU 사건
- 같은 시기의 일본 사례: Joshin(구 Joshin Denki) 무단 접근
- 가짜 메시지 대비: 피싱이란? / 스마트폰 보안 기본
- 접근 제어 유형의 결함: IDOR란?
- 계정 지키기: 비밀번호 관리자 고르기 / 다단계 인증 고르기
- 2026년 기타 사건: 2026년 데이터 유출과 사이버 공격(일본과 해외)