대상: 일본에서 공식 야키니쿠킹 앱에 등록한 사람, 그리고 회원제 앱을 운영하는 모든 사람. 이 글은 Monogatari Corporation의 공식 공지를 바탕으로 하며, 공격 기법은 다루지 않습니다.
회원이 오늘 해야 할 일
야키니쿠킹을 사칭한 이메일, 문자, 전화의 링크나 지시를 따르지 마십시오
유출된 데이터에는 이름, 전화번호, 이메일 주소, 회원번호가 함께 들어 있습니다. 이 정보가 있으면 사기꾼은 정확한 이름과 회원번호를 넣어 메시지를 보낼 수 있습니다.
"사과 쿠폰", "보너스 포인트", "캠페인 당첨", "환불 절차" 같은 메시지를 받으면 링크를 열지 마십시오. 대신 앱을 직접 열어 확인하십시오. 가짜 문자(스미싱)도 같은 방식으로 대응하십시오(참고: 피싱이란?).
링크로 연결된 페이지에 카드 정보나 비밀번호를 입력하지 마십시오
회사는 비밀번호나 신용카드 정보를 요구하지 않겠다고 밝혔습니다. 또한 결제 데이터는 애초에 보유하지 않는다고 밝혔습니다.
이름과 회원번호를 알고 있는 사람이라고 해서 진짜라는 증거가 되지는 않습니다. 바로 그 정보가 유출되었습니다. 환불이나 사과를 명목으로 카드 번호를 요구하면 가짜로 간주하십시오.
다른 곳에서 같은 비밀번호를 쓰고 있다면 분리하십시오
회사는 로그인 비밀번호가 유출되지 않았다고 밝혔습니다. 공지에 따르면 앱 비밀번호를 당장 바꿀 필요는 없습니다.
다만 다른 서비스에서도 같은 비밀번호를 쓰고 있다면 지금 분리하십시오. 현실적으로 사용 중인 비밀번호를 정리하는 가장 좋은 방법은 비밀번호 관리자를 사용하는 것입니다.
당분간 모르는 전화와 문자에 주의하십시오
이메일 주소는 새로 만들 수 있지만, 전화번호는 일상생활과 밀접하게 연결되어 있어 바꾸기 쉽지 않습니다. 유출된 번호는 야키니쿠킹과 전혀 관계없는 내용을 포함해 오랫동안 스팸 전화와 문자를 받을 수 있습니다.
휴대폰의 스팸 전화 및 스팸 문자 차단 기능을 켜면 걸러지는 메시지를 줄일 수 있습니다(배경: 스마트폰 보안 기초).
공개된 번호로만 회사에 문의하십시오
문의는 회사의 앱 콜센터(0120-795-775, 일본 시간 10:00–18:00, 주말 및 공휴일 포함)로 하십시오. 받은 메시지에 적힌 번호가 아니라 Monogatari Corporation 공식 웹사이트의 번호를 사용하십시오.
무슨 일이 있었나 (Monogatari Corporation 공지 기준)
Monogatari Corporation은 2026년 10월 5일 사과문과 공지를 게시했습니다. 아래 내용은 모두 회사 공지에 밝힌 내용입니다.
2026년 10월 2일 (금)
공식 야키니쿠킹 앱의 회원 관리 시스템에서 제3자의 무단 접근이 확인되었습니다. 회사는 통신을 차단하고 방어 조치를 시행했습니다. 10월 20일 공지에 따르면, 외부 제3자의 간헐적 공격이 그날 오전 9시부터 시작되었습니다.10월 3일 (토)
회원 데이터 유출이 확인되었습니다.10월 5일
사과문과 공지 게시. 회사는 개인정보보호위원회에 보고하고 경찰에 피해 신고를 하는 등의 조치를 진행 중이라고 밝혔습니다.10월 20일
보안 및 개인정보 보호 강화 조치 발표: 모니터링 강화 지속, AI 기반 탐지 시스템 검토, 그룹 공식 앱 11개를 이름과 전화번호를 보유하지 않는 새 시스템으로 이전 계획(2027년 상반기). 회사는 경찰에 신고했으며 개인정보보호위원회에 보고를 진행 중이라고 밝혔습니다.
- 대상
- 10,788,963건, 공식 야키니쿠킹 앱 등록 10,808,784건 중
- 유출 항목
- 회원번호, 이름(앱에 등록된 이름), 이메일 주소, 전화번호
- 유출되지 않은 항목
- 로그인 비밀번호, 생년월일, 성별, 우편번호, 포인트를 포함한 매장 방문 이력. 회사는 신용카드 등 결제 데이터를 보유하지 않습니다
- 공개 또는 악용
- 지금까지 일반에 공개되거나 악용된 사실은 확인되지 않았습니다
- 원인
- 공개되지 않음. 개발 회사 및 관련 회사의 협력 아래 상세 조사 중입니다. 10월 20일 공지에 따르면 외부 제3자의 간헐적 공격이 2026년 10월 2일 오전 9시부터 시작되었습니다
- 추가 조치(10월 20일)
- 관련 회사와 협력해 외부 침입에 대한 추가 조치를 취하고 모니터링을 계속 강화합니다. AI 기반 탐지 시스템을 검토 중입니다
- 보유 데이터(10월 20일)
- 야키니쿠킹을 포함한 그룹의 공식 앱 11개를 개인정보를 더 적게 보유하는 새 시스템으로 옮길 예정입니다. 이름과 전화번호는 더 이상 보유하지 않습니다. 2027년 상반기 계획입니다. 예약을 위해 이메일 주소는 계속 수집하며, 장기적으로는 이메일 주소도 보유하지 않는 것을 목표로 합니다
- 신고(10월 20일)
- 경찰에 신고했습니다. 개인정보보호위원회에 보고를 진행 중입니다. 관련 정부 부처에도 상황을 보고하고 공유했으며, 2차 피해에 대비해 관련 기관과 체계를 마련했습니다
- 서비스
- 공식 앱은 계속 운영되며, 외부의 무단 접근에 대한 방어 조치가 적용되어 있습니다
- 다른 브랜드
- 회사의 다른 브랜드 공식 앱에도 같은 조치가 적용되었으며, 회사는 그곳에서 유출이 발생하지 않았다고 밝혔습니다
- 문의
- 앱 콜센터 0120-795-775(일본 시간 10:00–18:00, 주말 및 공휴일 포함)
유출된 항목이 조합되면 무엇에 쓰일 수 있나
이 항목들은 하나만으로는 드문 정보가 아니지만, 함께 있으면 사기 메시지를 진짜처럼 보이게 만듭니다. 이번 유출에는 생년월일과 주소가 포함되지 않았습니다. 다만 이름과 전화번호, 이메일이라는 연락 수단 세 가지가 함께 유출되었다는 점이 특히 중요합니다.
이름 + 이메일 + 회원번호
↓→
정확한 이름과 회원번호가 담긴 가짜 쿠폰 또는 환불 이메일
→ 링크를 열지 말고 공식 앱에서 확인
이름 + 전화번호
↓→
이름을 사용한 가짜 문자와 전화
→ 카드 정보를 절대 주지 말고 스팸 문자 차단 기능 사용
회사 발표 기준 유출되지 않은 정보
- 로그인 비밀번호
- 생년월일, 성별, 우편번호
- 매장 방문 이력, 포인트 포함
- 결제 데이터(보유하지 않음)
유출된 정보
- 회원번호
- 이름(앱에 등록된 이름)
- 이메일 주소(변경 가능하지만 번거로움)
- 전화번호(바꾸기 어려움)
해석 주의: '악용이 발견되지 않음'이 '앞으로도 안전하다'는 뜻은 아닙니다
회사는 지금까지 유출 데이터의 공개나 악용이 발견되지 않았다고 밝혔습니다. 이는 아직 찾지 못했다는 뜻이지, 데이터가 앞으로 쓰이지 않는다는 뜻이 아닙니다.
전화번호는 여러 해 동안 그대로인 경우가 많으므로, 몇 달 또는 몇 년 뒤에도 사기 메시지에 쓰일 수 있습니다. 이번 사고를 연락의 이유로 삼는 메시지에 계속 주의하십시오.
유출된 이름은 "앱 등록 이름"으로 기재되어 있습니다. 닉네임으로 등록했는데 그 닉네임으로 메시지를 받는다면, 이번 유출 데이터를 사용하고 있을 수 있습니다.
회원제 앱을 운영하는 분들을 위해
유출된 기록은 앱 등록의 99% 이상을 차지합니다. 사실상 거의 모든 회원의 연락처가 하나의 회원 관리 시스템에서 유출된 것입니다. 원인은 공개되지 않았으므로, 이 섹션은 비슷한 구조를 가진 모든 서비스가 점검할 수 있는 사항에 한정합니다. 10월 20일 회사는 재발을 막기 위해 앱이 이름과 전화번호를 더 이상 보유하지 않겠다고 발표했습니다. 보유하지 않은 데이터는 유출될 수 없으므로, 읽기 제한과 경고보다 먼저 각 항목이 정말 필요한지 묻는 것이 중요합니다. 앱 서버가 읽을 수 있는 범위를 제한하는 방법은 Seicomart 앱 유출 사고에서 다루고 있으며, 여기서는 이번 사고 규모에 특화된 점을 추가합니다.
한 번의 작업이나 한 계정이 읽을 수 있는 레코드 수를 제한하십시오
관리자 화면이나 관리 기능도 일상 업무에서 수백만 건을 한 번에 읽을 필요는 거의 없습니다. 한 번의 검색이나 내보내기로 반환되는 레코드 수에 상한을 설정하고, 전체 내보내기는 별도 절차(승인 또는 제한된 시간대)로 옮기십시오.
한도를 설정하고 도달 시 경고를 보내는 방법은 요청 횟수 제한과 남용 대책에서 다룹니다.
시간당 읽은 행 수를 기록하고 평소와의 차이를 경고하십시오
첫 단계로 회원 데이터베이스에서 매시간 읽히는 행 수를 기록하고, 그 수가 평소보다 몇 배를 넘으면 담당자에게 알리십시오. 많은 클라우드 데이터베이스와 감사 로그 기능에서 행 수나 실행 시간에 대한 경고를 설정할 수 있습니다.
건수뿐 아니라 비정상적인 시간대나 비정상적인 출처에서 읽기가 발생하는지도 살펴보면 이상 징후를 더 쉽게 찾을 수 있습니다.
모든 회원 데이터를 읽을 수 있는 경로를 나열하고 줄이십시오
앱이 사용하는 경로 외에도 회원 관리 시스템에는 관리자 화면, 개발, 유지보수용 연결이 있는 경우가 많습니다. 전체 회원 데이터를 읽을 수 있는 경로를 나열하고, 사용하지 않는 연결을 차단하며, 나머지에는 다단계 인증과 접속 출처 제한을 적용하십시오(배경: 인증 대 권한 부여(Authentication vs. authorization)).
출처 (공개 기록)
이 글의 사실은 아래 공개 출처에서 가져왔습니다. 공개되지 않은 침입 방법이나 원인에 대해서는 추측하지 않습니다.
- Monogatari Corporation, 공식 야키니쿠킹 앱의 회원 관리 시스템에 대한 제3자의 무단 접근으로 인한 개인정보 유출에 관한 사과문(2026년 10월 5일, 일본어) — monogatari.co.jp
- 같은 회사, 공식 야키니쿠킹 앱의 향후 보안 및 개인정보 보호 조치에 관한 공지(2026년 10월 20일, 일본어) — monogatari.co.jp
- ITmedia NEWS(2026년 10월 5일, 일본어) — itmedia.co.jp
- Nikkei, 1,000만 건 이상의 야키니쿠킹 고객 데이터 유출 보도(2026년 10월 5일, 일본어) — nikkei.com
- ASCII, 앱 등록자 거의 전체를 포함한 1,078만 명의 데이터 유출 보도(2026년 10월 5일, Yahoo! News Japan 경유, 일본어) — news.yahoo.co.jp
업데이트 기록
2026-10-22: 10월 20일 Monogatari Corporation 공지를 추가했습니다. 10월 2일 오전 9시부터의 간헐적 무단 접근, 모니터링 강화 등 조치, 그룹 공식 앱 11개를 이름과 전화번호를 보유하지 않는 새 시스템으로 옮기는 계획(2027년 상반기), 경찰 신고 및 개인정보보호위원회 보고 상황을 반영했습니다. 원인에 대한 자세한 내용은 아직 공개되지 않았습니다.
2026-10-05: 10월 5일 Monogatari Corporation 공지를 바탕으로 한 첫 번째 버전입니다. 회사는 원인과 접근 경위를 조사 중이라고 밝혔으며, 공개되면 이 글을 업데이트하겠습니다.
다음으로 읽을 글
- 후속 사기: 피싱이란? / 스마트폰 보안 기초
- 비밀번호: 비밀번호 관리자 선택하기
- 같은 시기 일본의 다른 사고: Seicomart 앱 유출 사고 / Abahouse 유출 사고 / MrMax 앱 및 온라인 스토어 유출 사고 / Bookoff 회원 데이터 유출(최대 약 643만 건) / infoQ 설문 사이트 유출 사고 / Burger King Japan 앱 유출 사고(약 1,118만 건)
- 식당 체인의 주문 시스템: Pizza Hut Japan 온라인 주문 유출 사고
- 2026년 기타 사고: 일본 및 전 세계 유출 및 사이버 공격 목록