대상 독자: 기업과 기관으로부터 뉴스레터나 알림 이메일을 받는 사람, 그리고 Ymirlink, Inc.의 이메일 발송 서비스 Cuenote FC를 사용하는 기업과 기관입니다. 이 글은 Ymirlink와 영향을 공개한 고객사의 공식 공지를 바탕으로 작성했습니다. 공격이 어떻게 이루어졌는지는 다루지 않습니다.
진행 중: 조직이 더 많은 내용을 발표하면 이 글을 업데이트합니다
2026년 10월 23일 기준아직 알려지지 않음
- 추출된 항목
- 사람 수(누적 약 900만 건의 세부 내역)
- 5개 시스템이 속한 고객사
- 프로그램 종류와 취약점
- 데이터 오용 등 2차 피해 발생 여부
Ymirlink, Inc.는 외부 전문가와 함께 상세히 조사 중이며, 새로운 사실이 확인되면 다시 보고하겠다고 밝혔습니다. 2026년 12월 종료 회계연도 실적에 대한 영향은 "검토 중"이며, 공개가 필요한 사항이 있으면 신속히 공개하겠다고 밝혔습니다. 10월 23일 현재 두 번째 보고는 게시되지 않았습니다.
뉴스레터 수신자가 지금 해야 할 일
발신자를 사칭한 이메일의 링크를 열지 마세요
Cuenote FC는 기업과 기관이 뉴스레터와 공지를 보낼 때 사용하는 시스템입니다. 수신자는 Ymirlink가 아니라 발신 기업이나 기관에 이메일 주소를 등록합니다. 따라서 데이터가 악용된다면 가장 가능성 높은 형태는 발신 기업의 이름을 사용한 가짜 이메일입니다.
"이용 내역을 확인해 주세요", "고객 정보를 확인해 주세요", "포인트가 곧 소멸됩니다" 같은 이메일이라도 메시지 안의 링크, 첨부 파일, QR 코드를 열지 마세요. 확인하려면 공식 앱이나 즐겨찾기에 등록해 둔 공식 사이트를 여세요(가짜를 식별하는 방법: 피싱이란?).
받고 있는 뉴스레터 회사의 공지를 확인하세요
아래 "영향을 공개한 고객사" 표에서 뉴스레터를 받는 회사의 공지를 확인하세요. 표에 없는 회사는 공식 사이트의 뉴스 섹션을 확인하세요. 대일본인쇄는 영향이 확인되면 개인에게 개별적으로 연락하겠다고 밝혔습니다.
비밀번호나 카드 번호를 요구받아도 입력하지 마세요
Ymirlink, Inc.의 공지에는 비밀번호나 신용카드에 대한 언급이 없습니다. 대일본인쇄는 이메일 발송 시스템에 비밀번호, 신용카드 정보, 구매 이력이 보관되지 않는다고 밝혔습니다. 그럼에도 이름과 이메일 주소를 아는 사람은 이런 정보를 입력하라는 이메일을 쓸 수 있습니다. 이메일이 이런 정보를 요구하면 이메일이 아니라 공식 사이트에서 확인하세요.
읽지 않는 뉴스레터는 공식 사이트에서 구독을 해지하세요
구독 중인 뉴스레터가 많을수록 그중의 가짜 이메일을 알아채기 어렵습니다. 이메일의 링크가 아니라 각 회사의 공식 사이트에 로그인해서 읽지 않는 뉴스레터의 구독을 해지하면, 오지 않아야 할 이메일을 더 쉽게 알아챌 수 있습니다.
발신자로 @cuenote.jp를 표시한 스팸도 주의하세요
10월 20일 Ymirlink, Inc.는 자사 도메인을 발신자로 표시하고 제3자를 사칭하는 스팸 이메일이 여러 건 확인되었다고 경고했습니다. 예로는 신용카드 회사를 사칭하며 "이용 내역을 확인해 주세요", "이용 명세 확인 요청" 같은 제목으로 info@cuenote.jp에서 발송된 이메일을 들었습니다. 회사는 이러한 이메일을 보내도록 지시한 적이 없다고 밝혔습니다. 공지는 이 스팸이 무단 접근과 관련이 있는지는 밝히지 않았습니다. 회사는 수신자가 이런 이메일에 답장하거나, URL을 클릭하거나, QR 코드를 스캔하지 말고 삭제할 것을 요청하며, 이미 대화를 시작했다면 경찰에 신고하라고 안내했습니다.
영향을 공개한 고객사
Cuenote FC를 사용하는 기업과 기관은 자체 공지를 게시했습니다. 아래 표는 이 사이트가 각 기관의 공식 페이지를 열어 확인한 공지 중 Ymirlink 또는 Cuenote FC를 명시한 것만 정리했습니다(2026년 10월 23일 기준).
각 상태 표현은 해당 기관의 문구를 따릅니다. Ymirlink, Inc.는 영향받은 5개 시스템이 어느 고객사의 것인지 밝히지 않았으므로, 이 표에 있는 기관이 반드시 5개 시스템 중 하나인 것은 아닙니다.
| 기관 | 서비스 이용 목적(공지 기재 내용) | 영향을 받을 수 있는 데이터(공지 기재 내용) | 상태 | 날짜 |
|---|---|---|---|---|
| 대일본인쇄(honto) | honto 서점의 뉴스레터(수신에 동의한 사람) | 이름, 이메일 주소, 내부 시스템 ID. 비밀번호, 신용카드 정보, 구매 이력은 이메일 발송 시스템에 보관되지 않음. 건수는 조사 중 | 가능성 있음(회사) | 10월 21일 |
| 사이타마현 | 현의 스마트 농업 사이트 "Plat Saitama" 뉴스레터(사이트를 운영하는 위탁업체가 사용) | 669개 대상. 기관의 경우 기관명, 담당자명, 이메일 주소, 업종. 개인의 경우 이름, 이메일 주소, 업종 | 가능성 있음(현) | 10월 20일 |
| Kakuyasu | 법인 고객(음식점)용 뉴스레터 | 음식점명, 회사명, 이름, 이메일 주소. 자사 데이터가 대상에 포함되는지는 확인되지 않음 | 가능성 있음(회사) | 10월 20일 |
| NTTPC Communications | 자사 서비스의 이메일 발송 | 서비스 이용자의 연락처 이메일 주소 등. 영향은 확인되지 않았지만 완전히 배제할 수는 없음 | 가능성 있음(회사) | 10월 20일 |
| Katabami | 자사 이메일 발송 | 명시되지 않음(서비스에 등록된 데이터가 영향을 받았을 가능성을 배제할 수 없음) | 가능성 있음(회사) | 10월 20일 |
| 산요신문 | 뉴스 사이트 "Sandeji"의 속보, 날씨, 열차 지연 알림 등 이메일 서비스 6종 | 명시되지 않음. Ymirlink는 산요신문이 사용하는 환경에서 유출이 확인되지 않았다고 알렸음 | 미확인(회사) | 10월 19일–21일(보고 2–4) |
표의 '가능성 있음'은 해당 기관이 영향을 받은 것으로 확인되었다는 뜻이 아닙니다
Kakuyasu는 고객사의 데이터가 대상에 포함된다는 정보를 확인하지 못했지만, 그 데이터를 보호하는 것을 최우선으로 삼아 대응하고 있다고 밝혔습니다. NTTPC Communications는 영향을 확인하지 못했지만 고객에게 주의를 환기하기 위해 공지를 게시했다고 밝혔습니다. 대일본인쇄는 Ymirlink가 honto 고객 데이터가 유출되었을 수 있다고 보고했다고 밝혔습니다. 산요신문은 10월 18일 약 14:15부터 발송 시스템의 장애로 이메일 발송이 중단되었고, 10월 21일의 네 번째 보고에서 복구되었다고 발표했습니다. 받고 있는 뉴스레터의 회사가 표에 있는지 확인한 뒤, 그 회사의 후속 공지를 확인하세요.
무슨 일이 있었는가(Ymirlink, Inc.의 공지 기준)
아래 내용은 Ymirlink, Inc.의 2026년 10월 19일 공지(같은 날 19:05에 Cuenote 사이트에서 추가 설명과 함께 업데이트된 버전)와 같은 날 제출된 적시 공시를 바탕으로 합니다. 적시 공시 문서에는 "이메일 발송 서비스"라고만 되어 있습니다. Cuenote 사이트의 업데이트 버전에는 영향받은 시스템이 "Cuenote FC 전용 ASP 플랜의 총 5개 시스템"이라는 내용이 추가되었습니다.
2026년 10월 16일(금) 새벽
회사 직원이 일부 시스템에서 무단 접근을 확인했습니다. 무단 접근이 발견된 서버는 즉시 네트워크에서 분리되었습니다.발견 이후(날짜 미기재)
접근 로그에 따르면 프로그램 취약점을 이용해 회사의 지원 및 품질관리 직원의 자격 증명을 얻었고, 악성 프로그램이 설치되어 데이터베이스에서 데이터가 추출되었으며, 해당 자격 증명이 다른 시스템에 대한 인증 시도에 사용되었습니다. 회사는 취약점에 대한 수정 프로그램을 만들어 적용했고, 다른 시스템에서 지원 및 품질관리 직원의 정보를 삭제했습니다.10월 19일
공지(1차 보고) 및 적시 공시. 19:05에 공지가 업데이트되어 영향받은 시스템(Cuenote FC 전용 ASP 플랜의 5개 시스템)을 명시했습니다. 고객사들은 같은 날부터 자체 공지를 게시하기 시작했습니다.10월 20일
회사 도메인을 발신자로 표시한 스팸에 대한 경고 게시(무단 접근과의 연관성은 밝혀지지 않음).
이메일 수신자
발신 기업에 이메일 주소를 등록함(이름이나 회원번호를 함께 등록한 경우도 있음)
할 일: 발신자를 사칭한 이메일의 링크를 열지 않기
발신 기업 및 기관(고객사)
메일링 리스트를 관리하고 Cuenote FC에 등록해 이메일을 발송하며, 개인 데이터에 대한 책임을 짐
할 일: 영향 여부 확인, 신고 및 통지 여부 결정
Ymirlink (Cuenote FC)
전용 ASP 플랜 시스템 5개에서 이메일 주소를 포함해 누적 약 900만 건의 레코드가 추출됨(회사 추정)
영향받은 고객사와 항목은 조사 중
- 서비스
- Cuenote FC 이메일 발송 서비스의 전용 ASP 플랜 시스템 총 5개
- 확인 사항
- 외부에서의 무단 접근을 통해 개인정보가 유출됨. 시스템 5개에 대한 무단 접근과 데이터 추출
- 건수
- 5개 시스템에서 이메일 주소를 포함해 누적 약 900만 건의 레코드가 추출된 것으로 추정
- 항목
- "이메일 주소를 포함한 정보". 세부 내용은 조사 중
- 밝혀진 원인
- 프로그램 취약점을 이용해 회사의 지원 및 품질관리 직원의 서비스 자격 증명을 얻음. 취약점의 세부 내용은 공개되지 않음
- 대응
- 서버 연결 해제, 취약한 프로그램 수정, 직원 자격 증명 삭제, 악성 프로그램 탐지 설정, 수사기관 신고
- 향후 계획
- 외부 전문가와 상세 조사 진행, 새로운 사실 확인 시 보고. 2026년 12월 종료 회계연도 실적에 대한 영향은 검토 중
- 문의처
- 무단 접근 관련 전용 문의처(전화 03-6820-0088, 평일 9:00–20:00. 이메일 문의처는 공지 페이지에 기재)
Cuenote FC 제품 페이지에 따르면 전용 ASP 플랜은 "전용 리소스"를 제공하며, 공유 환경에서 운영되는 Premium 플랜, 고객 자체 환경에 설치되는 온프레미스 플랜과는 별개입니다. 공지는 영향받은 시스템으로 전용 ASP 플랜의 5개 시스템만 밝혔고, 다른 플랜에 대해서는 언급하지 않았습니다.
확인된 사항과 확인되지 않은 사항
2026년 10월 23일 기준 상태입니다. 후속 공지가 나오면 이 표의 상태 열을 업데이트합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 개인정보 유출 | 외부에서의 무단 접근을 통해 개인정보가 유출되었음을 확인 | 유출 확인(회사) |
| 영향받은 시스템 | Cuenote FC 전용 ASP 플랜의 시스템 총 5개 | 확인됨(회사) |
| 건수 | 이메일 주소를 포함해 누적 약 900만 건의 레코드가 추출된 것으로 추정. 사람 수는 아님 | 가능성 있음(회사, 추정치) |
| 추출된 항목 | "이메일 주소를 포함한 정보". 세부 내용은 조사 중 | 조사 중 |
| 비밀번호와 신용카드 | Ymirlink의 공지에는 언급 없음(대일본인쇄는 이메일 발송 시스템에 보관되지 않는다고 밝힘) | 명시되지 않음 |
| 5개 시스템이 속한 고객사 | 공개되지 않음 | 조사 중 |
| 다른 플랜(Premium, 온프레미스)에 대한 영향 | 공지에 언급 없음 | 명시되지 않음 |
| 원인 | 프로그램 취약점을 통해 직원 자격 증명을 얻음. 취약점의 세부 내용은 명시되지 않음 | 조사 중 |
| 2차 피해(데이터 오용) | Ymirlink의 공지에는 언급 없음. 대일본인쇄와 사이타마현은 지금까지 오용이 확인되지 않았다고 밝힘 | 미확인(대일본인쇄, 사이타마현) |
| 수사기관 신고 | 신고 완료 | 확인됨(회사) |
| 사업 실적에 대한 영향 | 검토 중 | 조사 중 |
고객사 건수는 900만 건과 직접 비교할 수 없습니다
약 900만은 Ymirlink, Inc.가 5개 시스템 전체에 대해 추정한 수치입니다. 사이타마현의 669개는 현이 자신의 사이트를 통해 데이터를 얻은 대상(기관과 개인)입니다. 두 수치는 서로 다른 기준으로 집계되므로 더하거나 뺄 수 없습니다.
이메일 주소와 관련 데이터는 어떻게 악용될 수 있는가
일반적으로 아래와 같은 데이터가 함께 있을 때 다음 유형의 악용이 일어날 수 있습니다. 이번 사건에서 이런 일이 일어났다는 뜻은 아닙니다.
- 이메일 주소와 발신 기업명: 그 회사를 사칭한 가짜 이메일이 실제 뉴스레터와 같은 주소로 도착하고, 수신자는 "늘 뉴스레터를 보내던 회사"라고 쉽게 믿을 수 있음
- 이름과 이메일 주소: 가짜 이메일에 수신자의 실명이 들어갈 수 있어, 불특정 다수에게 보내는 스팸보다 설득력이 높아짐
- 기관명, 담당자명, 업종(법인 고객용 뉴스레터): 거래처를 사칭해 가짜 청구서나 결제 정보 변경을 요구하는 이메일의 재료가 될 수 있음
- 내부 시스템 ID: "고객님 회원번호 ..."처럼 회원번호로 보이게 하여 진짜처럼 꾸밀 수 있음
하나의 발송 서비스가 여러 기관 수신자의 주소를 노출한 또 다른 사례로는 2026년 10월의 SpeeCAN RAIDEN 재해 알림 서비스 무단 접근이 있습니다. 그때도 사람들은 이메일을 보낸 기관의 공지를 통해 자신이 영향을 받았는지 확인했습니다.
Cuenote FC를 사용하는 기업과 기관이 해야 할 일
Ymirlink, Inc.의 공개 공지에는 고객사에 대한 구체적인 요청 사항이 없습니다. 고객사 공지에 따르면 Ymirlink는 고객사에 개별적으로 보고해 왔습니다(NTTPC Communications와 대일본인쇄는 10월 19일 보고를 받았다고 밝혔고, 산요신문은 자사 환경에서 유출이 확인되지 않았다는 통보를 받았다고 밝혔습니다). 아래 단계는 고객사들이 이미 하고 있는 조치와 개인정보보호위원회(PPC)의 안내를 따른 것입니다.
Ymirlink에 자사 환경이 5개 시스템 중 하나인지 확인하세요
Ymirlink, Inc.는 무단 접근 관련 전용 문의처를 마련했습니다(전화 03-6820-0088, 평일 9:00–20:00. 이메일 문의처는 공지 페이지에 있음). 전용 ASP 플랜을 사용하는지, 개별 보고를 받았는지 확인하세요. 받지 않았다면 문의하세요.
발송 시스템에 등록한 항목을 정리하세요
영향 범위는 발송 시스템에 등록한 항목에 따라 달라집니다. 이메일 주소만 등록했는지, 이름, 회원번호, 속성(업종, 지역 등)도 등록했는지 확인하세요. 대일본인쇄는 이메일 발송 시스템에 비밀번호, 신용카드 정보, 구매 이력이 보관되지 않는다고 밝혔습니다. 보관하지 않는 항목을 명확히 말할 수 있으면 수신자에게 드리는 설명이 짧아집니다.
수신자에게 주의를 알리세요
영향을 받을 수 있는 많은 기관이 사람들에게 자신들을 사칭하는 의심스러운 이메일을 주의하고 URL을 열지 말라고 요청하고 있습니다. 사이타마현은 영향을 받을 수 있는 669개 대상에게 이메일로 사과와 주의 안내를 보냈고, Kakuyasu는 음식점 고객사에 차례로 주의를 안내하고 있습니다. 가짜 이메일과 구별하기 쉽게 주의 안내 이메일 자체에는 링크를 넣지 말고, 사용하는 발신 주소를 밝혀 두세요.
개인정보보호위원회에 신고하고 개인에게 통지해야 하는지 결정하세요
메일링 리스트의 개인 데이터는 이메일을 발송하는 회사(위탁 당사자)가 관리하는 개인 데이터입니다. 개인정보보호위원회의 안내에 따르면, 불법적인 목적으로 이루어졌을 수 있는 유출(또는 유출 가능성)이나 1,000명을 초과하는 사람에 관한 유출(지방자치단체 등 행정기관의 경우 100명을 초과)은 신고해야 합니다. 발견 즉시 신속히 신고하고, 불법적인 목적이 의심되는 경우에는 발견일로부터 60일 이내에 신고해야 합니다. 개인정보보호위원회는 위탁업체에서 발생한 사고에 대한 신고서 예시도 공개하고 있습니다(유출 대응 및 유용한 자료, 일본어).
이는 일반적인 안내이며, 귀사에 적용되는지는 Ymirlink가 귀사에 보고하는 내용에 따라 달라집니다. 확신이 서지 않으면 개인정보보호위원회 상담창구, 변호사 또는 다른 전문가와 상담하세요.
발송을 일시 중단할지 결정하고, 재개 시 알리세요
대일본인쇄는 추가 피해를 막기 위해 honto 시스템과 이메일 발송 시스템의 연결을 끊었다고 밝혔습니다. 발송을 중단한다면 공식 사이트에 발송 중단 사실과 재개 시점을 알려, 중단 기간에 도착하는 이메일이 가짜임을 수신자가 알 수 있게 하세요.
이 사이트의 관점: 발송 시스템에 있는 항목이 적을수록 설명이 짧아집니다
고객사 공지를 나란히 보면 영향을 받을 수 있는 데이터의 범위에 큰 차이가 있습니다. 대일본인쇄는 발송 시스템에 이름, 이메일 주소, ID만 두었다고 했고, 그 안에 비밀번호, 카드 정보, 구매 이력이 없다고 말할 수 있었습니다. 반면 법인 고객이나 등록 회원을 대상으로 한 뉴스레터는 기관명, 담당자명, 업종도 함께 저장하고 있었습니다.
이메일을 보내려면 발송 시스템에 주소와 개인화에 필요한 최소한의 항목이 있어야 합니다. 구매 이력이나 회원 속성을 발송 대상 선정에 사용하더라도, 해당 발송에 필요할 때만 전달할 수 있는지 검토할 가치가 있습니다.
발송 시스템에 등록된 항목을 나열하세요
주소 외에 이름, 회원번호, 속성, 구매 관련 데이터를 저장하고 있는지 확인하세요. 개인화나 대상 선정에 쓰지 않는 항목의 등록은 중단하세요.
발송 업체 지원 직원이 접근할 수 있는 범위를 확인하세요
이번 사건에서는 발송 업체의 지원 및 품질관리 직원의 자격 증명이 얻어져 다른 시스템에 대한 인증 시도에 사용되었습니다. 사용하는 서비스에 대해 계약서나 관리자 콘솔에서 업체 직원이 자사 환경에 접근할 수 있는지, 그리고 직원의 작업 로그를 직접 확인할 수 있는지 살펴보세요.
업체의 사고 보고를 누가 받을지 미리 정하세요
이번 사건에서 고객사들은 발송 업체로부터 보고를 받은 뒤 공지를 게시했습니다. 이런 보고를 누가 받고, 누가 개인정보보호위원회 신고와 개인 통지를 결정할지 미리 정해 두세요(업체 사고를 어떻게 생각해야 하는지는 웹 호스팅 업체가 침해당했을 때도 참고하세요).
출처(공개 기록)
이 글의 사실은 아래 공개 정보를 바탕으로 합니다. 공개되지 않은 공격 방법에 대해서는 추측하지 않았습니다. 제목은 일본어 원문을 번역한 것입니다.
- Ymirlink, Inc., "당사 시스템에 대한 무단 접근 보고(1차 보고, 2026년 10월 19일 19:05 업데이트 버전)"(2026년 10월 19일) — cuenote.jp
- Ymirlink, Inc., "당사 시스템에 대한 무단 접근 보고(1차 보고)"(2026년 10월 19일, 적시 공시) — ssl4.eir-parts.net
- Ymirlink, Inc., "경고: 당사 도메인을 사용해 제3자를 사칭하는 스팸에 주의하세요"(2026년 10월 20일) — ymir.co.jp
- Ymirlink, Inc., Cuenote FC 제품 페이지(플랜 차이, 10월 23일 확인) — cuenote.jp
- Dai Nippon Printing Co., Ltd., "위탁업체의 무단 접근으로 인한 honto 고객 정보 유출 가능성"(2026년 10월 21일) — dnp.co.jp
- Saitama Prefecture, "Ymirlink, Inc.에서 발생한 무단 접근으로 인한 개인정보 유출 가능성"(2026년 10월 20일) — pref.saitama.lg.jp
- Kakuyasu Co., Ltd., "당사가 사용하는 이메일 발송 서비스의 무단 접근과 대응"(2026년 10월 20일) — kakuyasu.co.jp
- NTTPC Communications, "Ymirlink, Inc.에서 발생한 무단 접근으로 인한 이메일 주소 등 데이터 유출 가능성"(2026년 10월 20일) — nttpc.co.jp
- Katabami Co., Ltd., "당사가 사용하는 이메일 발송 서비스의 무단 접근"(2026년 10월 20일) — katabami.co.jp
- The Sanyo Shimbun, "이메일 발송 일시 중단"(2026년 10월 18일), "이메일 발송 중단(2차 보고) 및 위탁업체의 무단 접근"(10월 19일), "(3차 보고)"(10월 20일), "이메일 발송 재개 및 위탁업체의 무단 접근(4차 보고)"(10월 21일) — 중단(10월 18일) / 2차 보고 / 3차 보고 / 4차 보고
- 개인정보보호위원회, "유출 대응 및 유용한 자료" — ppc.go.jp
- 언론 보도(상장 시장 및 실적 전망): ITmedia NEWS(2026년 10월 20일) — itmedia.co.jp
업데이트 기록
2026-10-23: 첫 버전. Ymirlink, Inc.의 10월 19일 공지(19:05 업데이트 버전)와 적시 공시, 10월 20일 경고, 고객사 6곳의 공지를 바탕으로 작성했습니다. 추출된 항목, 영향받은 고객사, 원인 조사 결과가 공개되면 이 글을 업데이트합니다.
다음으로 읽을 글
- 유사 사례: SpeeCAN RAIDEN 재해 알림 서비스 무단 접근 / JR East, View Card, JR Kyushu 이메일 주소 유출 / Studio 웹사이트 빌더 무단 접근
- 가짜 이메일 식별: 피싱이란? / 내 이메일 주소로 스팸이 온다
- 발신자 확인(운영자용): SPF, DKIM, DMARC 기본 개념
- 2026년 기타 사고: 2026년 데이터 유출 및 사이버 공격 (일본 및 전 세계)