대상 독자: MOS Burger 체인의 선불카드 MOS Card 등 매장 선불카드(자사 전자화폐)를 보유한 사람과 이러한 카드 시스템을 외주로 운영하는 기업. 이 글은 PayCloud Holdings, Value Design, MOS Food Services의 공식 발표를 바탕으로 하며, 공격 방식은 다루지 않습니다.
진행 중: 기업이 추가 내용을 발표하면 이 글을 업데이트합니다
2026년 10월 26일 기준아직 알려지지 않음
- 영향을 받은 다른 발행사 및 카드
- MOS Card 수치와 Value Card 총계의 관계
- 카드 소지자가 새 PIN을 설정하는 방법
- 미발급 및 미유통 카드의 처리 방식
- 악용된 취약점
PayCloud Holdings는 10월 23일 발표에서 새로 확인된 사실을 신속히 공개하겠다고 밝혔습니다. MOS Food Services도 공개가 필요한 새로운 사실을 자사 웹사이트에 신속히 게시하겠다고 밝혔습니다. 10월 26일 각 회사의 뉴스 목록을 확인했을 때 후속 발표는 없었습니다.
카드 소지자가 오늘 해야 할 일
MOS Card 이용 내역을 확인하십시오
MOS Food Services는 카드 소지자에게 잔액 차감 등 알 수 없는 사용이 있는지 확인할 것을 요청하고 있습니다. 있다면 MOS Card 전용 문의 번호로 연락하십시오.
문의 번호는 9:00–22:00에 운영됩니다. 번호는 10월 26일(월)까지 03-3496-8322이며, 10월 27일(화)부터 0120-395-126(일본 내 수신자 부담)입니다.
온라인 잔액 조회가 되지 않으면 문의 번호로 전화하십시오
회사에 따르면 유출된 카드 번호와 연결된 PIN은 강제로 재설정되었습니다. 매장, 온라인 주문, "테이블에서 주문" 기능에서의 사용은 영향을 받지 않습니다.
다음 중 하나라도 할 수 없다면 회사는 문의 번호로 연락할 것을 요청합니다.
- 온라인으로 잔액 확인
- 공식 앱에 카드 등록
- 온라인 주문의 게스트 구매에 MOS Card 사용
문의 번호에서는 이용하는 매장이나 잔액 등 간단한 본인 확인 질문을 할 수 있습니다.
PIN이나 카드 번호를 요구하면 응답하지 마십시오
이번 유출에서는 이름이나 연락처가 유출되지 않았습니다. 그럼에도 사고가 보도되면 회사나 카드사를 사칭해 "PIN을 재설정하라" 또는 "잔액을 보호하라"며 번호를 요구하는 전화나 메시지를 받는 일이 흔히 있습니다.
전화, 이메일, 문자로 PIN이나 카드 번호를 요구받으면 응답하지 마십시오. 공식 공지에 있는 번호로 직접 전화해 확인하십시오(사기를 식별하는 방법: 피싱이란 무엇인가?).
다른 매장 선불카드는 발행사의 공지를 확인하십시오
Value Card는 Value Design이 여러 카드 발행사에 제공하는 시스템입니다. Value Design은 무단 접근이 확인된 일부 고객사에게 경과를 보고하고 있다고 밝혔지만, MOS 이외에 어느 발행사가 영향을 받았는지는 공개되지 않았습니다.
매장 선불카드를 가지고 있다면 발행한 매장이나 회사의 공식 사이트에서 공지를 확인하고, 카드 재발급이나 PIN 변경 여부에 대한 안내를 따르십시오. 10월 26일 기준으로 MOS Food Services는 카드 재발급을 발표하지 않았습니다.
카드 번호와 PIN이 중요한 이유
많은 선불카드는 이름이 아니라 카드 번호와 PIN으로 소지자를 확인합니다. MOS Food Services의 공지는 PIN 재설정으로 영향을 받는 기능으로 온라인 잔액 조회, 앱 등록, 온라인 주문의 게스트 구매를 들고 있습니다. 회사는 악용을 막기 위해 PIN을 재설정했다고 밝혔습니다. 일반적으로 이름과 주소가 없더라도 상황에 따라 카드 번호와 PIN만으로 잔액을 사용할 수 있습니다.
발생한 일(회사 발표 기준)
2026년 10월 23일 세 회사가 공지를 발표했습니다. Value Card를 운영하는 Value Design Inc., 모회사인 PayCloud Holdings, Inc.(도쿄증권거래소 성장시장 상장), 그리고 MOS Card를 발행하고 MOS Card 서버의 운영 및 유지보수를 Value Design에 위탁한 MOS Food Services, Inc.입니다. MOS Food Services의 공지에는 "Value Card"라는 이름이 언급되지 않습니다. Value Design의 공지는 자세한 내용을 모회사의 공시에서 확인하도록 안내합니다. 아래 내용은 모두 이 발표에서 나온 것입니다.
2026년 10월 14일(수)–10월 18일(일)
Value Design은 MOS Card 관리 시스템에 대한 의심스러운 접근과 무단 로그인 시도를 탐지했고, 접근 차단 등 긴급 조치를 즉시 시행했습니다(MOS Food Services 발표).10월 19일(월)
PayCloud Holdings가 사고가 확인되었다고 밝힌 날짜입니다.10월 22일(목)
Value Design은 PHP 취약점에 대한 예방 조치로 다른 서비스(Arara Cashless 및 온라인 충전 서비스)를 일시 중단했다는 공지를 게시했습니다. 이 공지는 Value Card ASP 서비스는 운영 중이었다고 밝혔습니다. 이번 사고와의 연관성을 밝힌 발표는 없습니다.10월 23일(금)
PayCloud Holdings(증권거래소 공시), Value Design, MOS Food Services가 사고를 발표했습니다. MOS Food Services는 유출된 카드 번호와 연결된 PIN을 강제로 재설정했다고 밝혔습니다(재설정 날짜는 밝히지 않음).10월 27일(화)
MOS Card 문의 번호가 0120-395-126(일본 내 수신자 부담)으로 전환될 예정입니다.
- 영향을 받은 시스템
- Value Design이 카드 발행사에 제공하는 자사 전자화폐 발행 서비스 Value Card의 서버
- 유출된 데이터
- ID 번호, PIN, 잔액 정보
- 레코드
- 1,424,748건(발급 ID 569,224건, 미발급 ID 855,524건). 미발급 ID는 아직 사용자가 구입하지 않은 ID를 뜻함
- 개인정보
- 없음
- 이용자에 대한 영향
- 발급된 ID의 악용 위험이 있었으며, 이는 처리되었습니다. 악용으로 인한 실제 피해는 없음. 대응으로 인해 일부 이용자가 불편을 겪을 수 있음
- 원인
- 제3자가 자회사 시스템 환경 일부의 웹 서버 취약점을 악용
- 대응
- 발견 직후 접근 경로를 차단하고 관계 당국에 보고. 외부 전문가와 함께 모든 서비스의 취약점을 다시 점검할 예정
- 유출된 데이터
- MOS Card 번호(16자리), PIN(6자리), 잔액 정보
- 레코드
- 발급된 약 380만 장 중 1,133,070건(유통 중 약 570,000건, 미유통 약 560,000건)
- 포함되지 않은 항목
- 이름, 주소, 전화번호, 신용카드 정보 등 개인정보
- 발견 경위
- 외부 프로그램을 이용한 무단 접근으로 인해 유출이 발생한 것으로 확인됨
- 피해
- 이번 사고로 인한 피해에 관한 고객 문의 없음(10월 23일 기준)
- 초기 대응
- 유출된 카드 번호와 연결된 PIN 강제 재설정
- 문의처
- MOS Card 전용 문의 번호(9:00–22:00): 10월 26일까지 03-3496-8322, 10월 27일부터 0120-395-126
Value Card 플랫폼(Value Design)
ID 번호, PIN, 잔액 유출: 1,424,748건(PayCloud Holdings)
↓ Value Design 고객사 중 카드 발행사
MOS Card(MOS Food Services)
1,133,070건. PIN 강제 재설정
기타 발행사
이름, 카드, 수치 미공개
↓ 카드 소지자
이용 내역 확인, 발행사 안내 준수, PIN 절대 공유 금지
확인된 사실과 확인되지 않은 사실
세 회사의 발표(모두 10월 23일자)를 기준으로 2026년 10월 26일 현재의 내용입니다. 후속 발표가 나오면 상태 항목을 갱신하겠습니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| ID(카드) 번호, PIN, 잔액 | Value Card 및 MOS Card에서 관리되는 데이터 | 유출 확인(PayCloud Holdings, MOS Food Services) |
| Value Card 합계 | 1,424,748건(발급 569,224건, 미발급 855,524건) | 확인됨(PayCloud Holdings) |
| MOS Card 합계 | 1,133,070건(유통 중 약 570,000건, 미유통 약 560,000건) | 확인됨(MOS Food Services) |
| 이름, 주소 등 개인정보 | 없음. MOS는 이름, 주소, 전화번호, 신용카드 정보를 열거 | 포함되지 않음(두 회사 모두) |
| 악용 | 발급 ID의 악용 위험은 처리되었으며 실제 피해 없음. MOS는 피해 문의를 받지 않음 | 실제 피해 없음(PayCloud HD); 피해 문의 없음(MOS) |
| MOS Card PIN | 유출된 카드 번호와 연결된 PIN 강제 재설정 | 확인됨(MOS Food Services) |
| 원인 | 제3자가 악용한 웹 서버 취약점. 어떤 취약점인지는 명시되지 않음 | 확인됨(PayCloud Holdings); 세부 내용 명시되지 않음 |
| 기타 발행사 | 일부 고객사에 경과를 보고 중이나 회사명이나 카드명은 제시되지 않음 | 명시되지 않음 |
| MOS Card 수치와 합계의 관계 | 회사마다 구분 방식이 다름(발급/미발급 대 유통/미유통). MOS 수치가 합계에 포함되는지 명시되지 않음 | 명시되지 않음 |
| PHP 취약점으로 인한 10월 22일 다른 서비스 중단과의 관계 | 10월 23일 발표에서 언급되지 않음 | 명시되지 않음 |
| 미발급 및 미유통 카드 처리 | 언급되지 않음 | 명시되지 않음 |
수치를 합산하지 않는 이유
1,424,748건은 PayCloud Holdings가 밝힌 Value Card 합계이고, 1,133,070건은 MOS Food Services가 밝힌 MOS Card 수치입니다. 두 회사는 수치를 다르게 구분하고 있으며, 어느 쪽도 MOS Card 수치가 합계에 포함되는지 밝히지 않았습니다. 이 글은 두 수치를 따로 제시하며 더하거나 빼지 않습니다.
카드 번호, PIN, 잔액이 유출되면 생길 수 있는 일
일반적으로 누군가 선불카드의 번호와 PIN을 알게 되면 다음과 같은 일이 생길 수 있습니다(이번 사고에서 이런 일이 발생했다는 발표는 없습니다. PayCloud Holdings는 실제 피해가 없다고 밝혔고, MOS Food Services는 피해 관련 문의를 받지 않았다고 밝혔습니다).
일반적으로 생길 수 있는 일
- 누군가 카드 번호와 PIN으로 소지자인 것처럼 온라인에서 잔액을 사용
- 뉴스를 이용해 번호를 얻기 위해 "PIN을 재설정해야 한다"고 말하는 사기 전화나 메시지
할 수 있는 일
- 이용 내역에서 인식하지 못하는 차감이 있는지 확인
- 발행사의 안내(PIN 재설정, 재발급)를 따르기
- 누구에게도 PIN이나 카드 번호를 알려주지 않기
이름과 연락처가 열람된 선불 및 포인트 사례는 Seicomart 앱 침해를 참고하십시오. 이번 사례는 반대로 이름은 유출되지 않았지만 카드를 실제로 사용하는 데 필요한 번호가 유출되었습니다.
선불카드 시스템을 외주로 운영하는 기업을 위한 내용
공개된 유일한 원인은 "웹 서버 취약점"이며, 어떤 제품이나 취약점인지는 알려지지 않았습니다. 이 섹션은 공개된 사건 경과와 유출 항목만을 다룹니다.
자사 데이터 중 제공업체 플랫폼에 있는 것을 파악하십시오
이번 사고에서 플랫폼 운영사는 전체 수치를, 발행사인 MOS Food Services는 자사 카드 수치를 발표했습니다. 발행사는 자사 고객에게 누가 영향을 받았고 무엇을 해야 하는지 자신의 언어로 설명해야 합니다. 평소에 판매되지 않은 카드를 포함해 카드 번호, PIN, 잔액 중 얼마나 많은 부분이 제공업체 플랫폼에 보관되는지 점검하십시오.
PIN을 일괄 재설정하는 절차를 준비하십시오
MOS Food Services는 유출된 카드 번호와 연결된 PIN을 강제로 재설정했으며, 매장 사용에는 영향이 없다고 밝혔습니다. 반면 일부 카드 소지자는 온라인 잔액 조회나 앱 등록이 불가능해져 회사가 문의 번호를 통해 응대하고 있습니다. PIN 일괄 재설정 후 카드 소지자가 잃게 되는 기능과 새 PIN 설정 방법을 미리 정해 두면 공지를 더 빠르게 낼 수 있습니다.
아직 판매되지 않은 카드의 데이터를 보호하십시오
두 회사의 내역에 따르면 유출된 레코드의 약 50–60%가 아직 판매되지 않은 카드였습니다. 미판매 카드의 번호와 PIN은 판매 후 사용할 수 있게 됩니다. 사용 중인 카드와 마찬가지로, 미판매 카드 데이터가 어디에 보관되는지, 판매 전에 PIN을 변경할 수 있는지 검토하십시오.
MOS Food Services는 재발 방지 조치로 협력업체 보안 감사 강화, API를 통한 무단 접근에 대한 통제 강화, 단순하거나 위험도가 높은 비밀번호 제한, 관리자 계정의 접속 IP 주소 제한, 협력업체 환경을 포함한 모니터링 강화를 열거했습니다. 이는 회사가 실시하겠다고 밝힌 조치이며, 이번 사고의 원인을 설명하는 내용은 아닙니다.
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 세부 내용이나 원인은 추측하지 않았습니다.
- PayCloud Holdings, Inc., 연결 자회사가 제공하는 시스템의 무단 접근에 관한 공지(2026년 10월 23일, 증권거래소 공시, 일본어) — release.tdnet.info (PDF)
- Value Design Inc., 제공 시스템의 무단 접근에 관한 공지(2026년 10월 23일, 일본어) — valuedesign.jp
- MOS Food Services, Inc., 무단 접근으로 인한 선불카드 정보 유출에 관한 공지(2026년 10월 23일, 증권거래소 공시, 일본어) — eir-parts.net (PDF)
- MOS Burger 공식 사이트, MOS Card 정보 유출에 관한 중요 공지(2026년 10월 23일, 일본어) — mos.jp
- Value Design Inc., 중대한 PHP 취약점 대응으로 일부 서비스를 중단한다는 공지(2026년 10월 22일, 일본어; 이번 사고와의 연관성은 명시되지 않음) — valuedesign.jp
업데이트 기록
2026-10-26: PayCloud Holdings, Value Design, MOS Food Services의 10월 23일 발표를 바탕으로 한 첫 번째 버전입니다. 다른 발행사나 원인이 발표되면 업데이트하겠습니다.
다음으로 읽을거리
- 선불 및 포인트 사례: Seicomart 앱 침해
- 후속 사기: 피싱이란 무엇인가?
- 서비스 제공업체를 통한 침해: Temairazu 침해
- 2026년 주요 사고: 2026년 일본 주요 데이터 침해 / 침해 및 사이버 공격 목록(일본 및 전 세계)
- 운영자를 위한 내용: 조직을 위한 최소 보안 기준선