야마토·사가와 데이터 유출 (2026): 영향 범위와 대응

사가와익스프레스의 2026년 10월 23일 다섯 번째 공지에 따르면 세 가지 범주가 포함된다. (1) 회사가 취급한 택배의 송장 데이터: 2026년 6월 21일부터 9월 30일까지(약 100일, 시스템이 송장 데이터를 보관하는 기간 기준)의 발송인과 수취인 이름, 주소, 전화번호. (2) 운임 계약 고객의 계약 데이터: 이름, 주소, 전화번호. (3) 웹 서비스 '스마트클럽' 회원 데이터: 이름, 주소, 전화번호, 이메일 주소, 스마트클럽 회원 ID. 손글씨 송장으로 접수된 택배는 포함되지 않는다. 유출되었을 수 있는 개인정보 건수는 현재 중복을 포함해 최대 약 5,323만 건이다. 신용카드 정보와 비밀번호는 포함되지 않는다. 택배 내용물(품목명)이나 배송 이력이 포함되는지는 데이터의 다른 세부 사항과 함께 여전히 확인 중이다(FAQ Q3-4).

아니다. 다섯 번째 공지에서 사가와는 같은 고객의 중복 기록을 일부 병합한 뒤의 현재 최대치라고 밝혔다. 특히 송장 데이터에는 여전히 중복이 많아 실제 피해자 수를 나타내지 않는다. 또한 회사 밖으로 실제 유출된 것으로 확인된 기록 수도 아니다. 법인 고객의 경우 담당자 이름처럼 개인을 식별할 수 있는 정보는 집계되지만, 회사명만 있는 기록은 집계되지 않는다. 사가와는 (1)–(3) 범주별 건수를 공개하지 않으며, 중복이 많아 실제 사람 수를 보여주기 어렵다고 설명했다.

야마토운송의 2026년 10월 16일 네 번째 공지에 따르면, 외부 보안 업체와 함께 한 조사에서 다음 데이터가 탈취된 것으로 확인되었다. (1) 쿠로네코 후불결제 서비스(쿠로네코 다이킨 아토바라이) 일부 이용자의 이름, 주소, 전화번호, 이메일 주소, 상품 정보(상품명, 수량, 단가 등), 내부 관리 데이터(신청번호, 주문일, 신용심사 번호 등). 2018년 10월 1일부터 2026년 9월 28일까지이며 약 526만 건이고, 그중 약 49만 건에는 이메일 주소가 포함된다. (2) 일부 이용자의 배송지 정보: 수취인 이름, 주소, 전화번호, 송장 번호. 2021년 2월 5일부터 2026년 9월 28일까지이며 약 5만 건이다. (3) 일부 참여 가맹점: 가맹점명과 가맹점 코드. 약 4,100건이다. 신용카드 정보와 비밀번호는 포함되지 않는다. 두 번째 공지에서 유출 가능성이 언급되었던 청구 금액, 미납 잔액, 직원 이름은 탈취된 것으로 확인되지 않았다.

야마토는 네 번째 공지에서 데이터가 탈취된 사람들에게 순차적으로 개별 연락하겠다고 밝혔다. 등록 정보가 바뀌는 등의 이유로 연락이 닿지 않는 사람에게는 네 번째 공지 자체가 통지를 대신한다고 설명했다. 메시지를 받지 않았더라도 2018년 10월 이후 온라인 주문에서 쿠로네코 후불결제를 이용했다면 영향을 받았을 수 있다고 보고, 가짜 메시지에 대비해야 한다. 문의는 공지 페이지의 이메일 창구(scmail2@kuronekoyamato.co.jp)로 하면 된다.

그렇다. 야마토운송의 2026년 10월 9일 세 번째 공지에 따르면, 2026년 9월 28일 이후가 납부 기한인 납부표는 서비스 중단을 고려해 17일이 추가로 연장된다. 예를 들어 납부 기한이 10월 1일인 납부표는 이제 10월 18일까지다. 연장된 기한 내에 납부하면 된다. 결제가 연체되었으니 즉시 내야 한다는 메시지가 오면 그 링크나 전화번호를 사용하지 마라.

그렇다. 사가와의 공지는 취급한 택배의 발송인과 수취인을 모두 포함한다. 온라인에서 주문한 물건이 사가와로 배송되었다면, 사가와 서비스에 가입한 적이 없어도 수취인으로서 이름, 주소, 전화번호가 포함되었을 수 있다. 기간은 회사가 2026년 6월 21일부터 9월 30일까지 취급한 택배(약 100일)다. 손글씨 송장으로 접수된 택배는 포함되지 않는다.

각 회사의 공지는 자사 서비스만 다루며, 어느 쪽도 다른 사고를 언급하지 않는다. 발견 날짜(야마토 9월 28일, 사가와 9월 30일)와 영향을 받은 서비스도 다르다. 이 글은 두 사고를 별개로 다룬다.

아니다. 사가와익스프레스의 FAQ(Q1-4)에 따르면, 7월 사고는 시스템 장애 후 복구 작업 중 설정 오류로 발생했으며 제3자의 부정 접근이 원인이 아니었다. 이번에는 제3자의 부정 접근이 확인되었다.

야마토운송은 배송 불가나 예정 배송 안내를 문자로 보내지 않으며, 재배송과 관련해 주소 확인이나 결제를 요구하는 이메일이나 문자를 보내지 않는다고 공식적으로 밝혔다. 사가와익스프레스는 집하와 배송에 관한 문자 안내를 보내지 않는다고 밝혔다. 두 회사 이름으로 배송 불가나 알 수 없는 주소에 대한 문자를 받으면, 링크를 열지 말고 삭제하라.

메시지에 있는 링크나 전화번호를 사용하지 마라. 물건을 구매한 쇼핑몰의 주문 내역을 열어 결제 수단, 금액, 주문일이 일치하는지 확인하라. 야마토는 이 서비스를 상품을 받은 뒤 편의점 등에서 납부표 또는 스마트폰으로 받은 안내에 따라 나중에 결제하는 방식이라고 설명한다. 인식할 수 없는 청구서나 금액 또는 결제 수단이 다른 청구서는 해당 쇼핑몰에 직접 문의하라.

두 회사 모두 비밀번호는 유출되었을 수 있는 데이터에 포함되지 않았다고 말한다. 다만 스마트클럽 회원의 이메일 주소와 회원 ID는 포함되었으므로, 같은 비밀번호를 다른 곳에서도 쓰고 있다면 지금이 바꿀 좋은 시점이다.

2026년 10월 24일 현재 두 회사 모두 부정 접근이 어떻게 일어났는지, 그 원인이 무엇인지 공개하지 않았다. 야마토는 10월 16일 네 번째 공지에서 탈취된 데이터와 건수를 밝혔지만, 원인은 제3자의 부정 접근이라고만 설명했다. 이미 시행한 조치에 더해 외부 전문가의 조언에 따라 중장기 대책으로 보안을 강화하겠다고 밝혔다. 사가와는 10월 23일 다섯 번째 공지에서, 제3자 전문가의 조사를 바탕으로 접근 관리와 모니터링 강화를 포함해 정보 보안을 점검하고 있으며 원인 규명을 계속하겠다고 밝혔다(FAQ Q1-2에는 여전히 원인을 조사 중이라고 되어 있다).

그렇다. 사가와익스프레스는 필요한 보안 조치를 마치고 안전을 확인한 뒤, 2026년 10월 23일(금)에 택배 조회 서비스(인터넷 화물 조회)를 재개했으며, 이전과 같이 웹사이트에서 이용할 수 있다고 밝혔다. 자세한 내용은 가까운 영업소에 문의할 수 있다. 여덟 개 서비스는 재개 날짜 없이 여전히 중단된 상태다. 택배 조회 API, 히키야쿠 택배 온라인 예약, 왕복 배송과 골프 왕복 배송, 상품 반품·환불 서비스, 배송지 변경 서비스 2종, 그리고 카이슈군이다. 택배 조회는 문자나 이메일의 링크를 통하지 말고, 직접 연 공식 사이트에 송장 번호를 입력해서 하라.

2026년 10월 8일 추가되고 10월 23일 갱신된 FAQ 답변에서 사가와익스프레스는 2026년 10월 1일 일본 개인정보보호위원회(PPC)에 속보를 제출했으며, 사가와 자신의 명의와 화주(사가와에 배송을 위탁하는 사업자)의 명의로 공동 보고서를 제출할 준비 중이라고 밝혔다. 공동 보고에 동의하지 않는 화주는 각자 속보와 확정 보고서를 제출해야 한다. 공동 보고가 화주의 개별 보고를 막지는 않으며, 이미 개별 보고한 화주도 공동 보고로 전환할 수 있다. 사가와는 영향을 받은 건수 등 필요한 사항이 확인되면 영향을 받은 화주에게 절차를 안내하고, 조사 진행에 따라 보고 내용을 갱신하겠다고 밝혔다.