전자상거래
이 태그가 달린 문서 10건
전자상거래 물류(보관과 배송)를 맡은 업체에 대한 무단 접근으로 여러 온라인 숍의 배송 데이터(이름, 주소, 전화번호 등)가 유출되었을 수 있음 — 구매자가 해야 할 일
2026년 11월 11일, 전자상거래 숍의 물류(보관과 배송)를 맡은 업체는 11월 8일부터 9일 사이에 외부 제3자가 시스템에 무단으로 접근해 배송 데이터 일부가 반출되었다고 발표했습니다. 대상은 2026년 4월 8일부터 11월 8일까지 의뢰된 배송 데이터이며, 유출되었을 수 있는 정보는 수취인의 이름, 주소, 전화번호, 이메일 주소(등록된 경우), 상품 정보입니다. 회사는 신용카드 번호를 보유하지 않아 영향이 없다고 밝혔습니다. 인원수는 조사 중이며 11월 11일 기준 악용이나 2차 피해는 확인되지 않았습니다. 이 업체에 물류를 위탁한 온라인 숍들이 각자의 고객에게 미치는 영향을 공식 사이트에 공표했습니다(이 글은 공식 안내를 읽을 수 있었던 여섯 곳을 나열하며, 건수는 각 숍이 밝힌 대로이고 합계는 내지 않습니다). 이 사이트의 결론: 구매자는 택배 업체, 구매한 숍, 주문을 사칭한 연락이 진짜처럼 보일 수 있다고 생각해야 하며, 내 연락처와 구매 내용을 아는 상대의 결제 요구나 확인에는 응하지 마세요.
Fandango 결제 페이지 카드 데이터 유출(2026년 10월): 무단 접근 가능성, 카드 번호, CVV, 유효 기간, 청구지 우편번호, 이메일이 영향을 받았을 수 있음. 할 일
영화 티켓 판매 회사 Fandango Media는 2026년 11월 13일 캘리포니아 법무장관에게 안내문을 제출했습니다. 안내문에 따르면 회사는 티켓 결제 페이지의 문제를 인지하고 외부 사이버 보안 전문가와 조사해 해결했습니다. 조사에서 무단 당사자가 2026년 10월 8일부터 11일까지 결제 페이지의 일부 거래에 관련된 결제 카드 정보에 접근할 수 있었다는 증거가 확인되었고, 10월 30일에 특정 사람의 정보가 영향을 받았을 수 있다고 판단했습니다. 영향을 받았을 수 있는 정보는 결제 카드 번호, CVV, 유효 기간, 청구지 우편번호, 이메일 주소입니다. 안내문은 이름(성과 이름), 정부 발급 신분증 정보, 사회보장번호, 기타 계정 정보는 관련되지 않았다고 밝힙니다. Fandango는 정보가 부정 사용된 사례는 현재 알지 못한다고 밝혔으며, 모니터링 서비스 업체를 통해 24개월 신용 모니터링, 다크웹 모니터링, 복구 비용을 보상하는 신원 도용 보험(최대 100만 달러, 보험 약관에 따름), 관리형 신원 도용 복구를 제공합니다. 견본에는 2027년 2월 13일까지 활성화하라고 되어 있습니다. 영향을 받은 사람의 수는 명시되지 않았고 회사의 별도 발표는 찾지 못했습니다. 이 사이트의 견해: 해당 시기에 Fandango 결제 페이지에서 티켓을 샀다면 카드 명세서를 확인하고, 기억에 없는 청구는 카드사에 알리고, 카드를 교체해야 하는지 카드사에 문의하세요.
에디온(Edion) 온라인 스토어 무단 접근(주문 정보 최대 9,554명 등): 카드 정보, 기프트 카드 PIN, 로그인 정보가 유출됐을 수 있음, 이용자가 해야 할 일
2026년 11월 6일 Edion Corporation은 온라인 스토어를 운영하는 서버에 대한 무단 접근으로 일부 고객의 개인정보가 유출됐을 수 있다고 발표했고, 11월 9일 제2보에서 이를 정정하고 내용을 추가했습니다. 제1보는 로그 파일에 기록된 정보(이름, 이메일 주소, 전화번호, 생년월일, 주소, 고객 번호 등)가 최대 4,131명, 주문 정보(이름, 주문 번호, 주문 금액, 신용카드 유효기간, 기프트 카드 번호 등)가 최대 9,554명이며, 신용카드 번호와 로그인 비밀번호는 포함되지 않았다고 밝혔습니다. 제2보는 이를 정정해, 주문 시 오류 로그에 기록된 신용카드 정보(번호, 유효기간, 카드 명의, 보안 코드) 최대 5건, 에디온 기프트 카드 5,360장의 정보(번호, PIN, 이용 이력), 최대 1,141명의 로그인 ID와 비밀번호가 포함돼 있었다고 밝혔습니다. 또한 외부 제3자가 결제 관련 처리에 악성 프로그램을 심어 11월 4일 19시 직후부터 작동하고 있었다고 밝혔습니다. 결제 입력 화면에서 PC로 새로 입력된 카드 정보(최대 556건)는 제3자에게 직접 유출됐을 가능성을 부정할 수 없으며, 스마트폰은 영향을 받지 않았습니다. 회사는 11월 7일 22시에 온라인 스토어와 관련 서비스를 중단했고, 온라인 스토어의 재개일은 정해지지 않았습니다. 이 사이트의 결론: 11월 4일 19시 이후 PC에서 에디온 온라인 스토어에 카드를 새로 입력했다면 명세서를 확인하고 카드사에 카드 번호 변경을 문의하세요.
니토리 무단 접근: 최대 3,762만 건의 개인정보(이름, 주소, 전화번호, 생년월일)가 유출되었을 수 있음, 개인 회원과 법인 회원이 해야 할 일
2026년 11월 9일, Nitori Holdings Co., Ltd.(니토리)는 11월 6일 자사가 관리하는 시스템에 대한 제3자의 무단 접근을 확인했으며, 서버에 보관된 개인정보 최대 3,762만 건이 외부로 유출되었을 수 있다고 발표했습니다. 대상은 니토리 그룹의 개인 회원과 구매자(회원 번호, 이름과 후리가나, 이메일 주소, 주소, 전화번호, 생년월일, 성별), 법인 회원(회원 번호, 회사명, 부서명, 대표자 이름, 회사 주소와 전화번호, 담당자의 이름, 이메일 주소, 전화번호), 그리고 Nitori Net과 전자상거래 몰의 니토리 공식 숍에서 이루어진 주문 데이터입니다. 회사는 로그인 비밀번호와 신용카드 정보는 포함되지 않는다고 밝혔습니다. 10월 중순부터 하순에도 제3자가 접근했을 가능성이 있으며, 경로는 조사 중이고 건수는 바뀔 수 있습니다. 회사는 영향을 받은 고객에게 이메일이나 우편으로 순차적으로 연락할 예정입니다. 2026년 11월 10일 기준 후속 공지는 찾지 못했습니다. 이 사이트의 결론: 주소, 전화번호, 이름이 모두 들어 있으므로, 정확한 주소나 주문 내용을 알고 있다고 해서 니토리나 택배사를 사칭한 전화, 문자, 이메일이 진짜인 것은 아닙니다.
Euglena의 akyrise 온라인 스토어 무단 접근(최대 약 90만 건): 이름, 주소, 전화번호가 유출되었을 수 있음 — 구매자가 해야 할 일
2026년 11월 5일 Euglena Co., Ltd.는 화장품 브랜드 akyrise의 온라인 스토어에 11월 4일 제3자가 무단 접근했으며 회원 정보가 유출되었다고 발표했습니다. 회사는 같은 날 스토어를 닫고 일본 개인정보보호위원회에 속보를 제출했습니다. 유출되었을 수 있는 정보는 두 그룹입니다. 로그인 계정 정보(고객 ID, 이메일 주소, 해시 처리되어 저장된 로그인 비밀번호)는 최대 약 49만 건, 등록·구매 정보(이름, 주소, 전화번호, 생년월일, 성별, 이메일 주소, 구매 및 배송 정보)는 최대 약 90만 건입니다. 두 수치는 모두 확인 중이며, 회사가 두 그룹이 어떻게 겹치는지 밝히지 않았으므로 더할 수 없습니다. 신용카드 번호는 회사 서버에 보관하지 않으므로 포함되지 않습니다. 같은 안내에는 이메일 발송 서비스 업체와 택배사에서 일어난 별개의 무단 접근도 담겨 있으며, 회사는 이를 독립된 사건으로 설명합니다. 2026년 11월 9일 기준 후속 안내는 확인되지 않았습니다. 이 사이트의 결론: akyrise 이름을 쓴 메시지, 문자, 전화는 이름이나 주소를 안다고 해서 진짜가 아닙니다. 링크를 열지 말고, akyrise 비밀번호를 다른 곳에서도 썼다면 그곳에서 먼저 변경하세요.
Good Smile Company 공식 쇼핑몰 정보 유출(2,800명은 카드 정보 전체 유출 가능성, 402,466건은 카드 일부 정보, 최대 202건의 주문이 열람되었을 가능성): 그룹별로 해야 할 일
Good Smile Company Co., Ltd.는 2026년 10월 23일 공식 쇼핑몰에 제3자가 접근했다고 발표했고, 10월 30일의 4차 보고까지 피해 대상을 세 그룹으로 정리했습니다. B그룹(2,800명)은 2026년 10월 21일 13:55부터 10월 23일 7:00까지 설치되어 있던 악성 프로그램에 의해 결제 페이지에 입력한 카드 명의, 카드 번호, 유효기간, 보안 코드가 수집되었을 수 있습니다. A그룹(카드를 한 번이라도 등록한 사람, 402,466건이며 인원수는 확인 중)은 카드 번호 끝 4자리와 유효기간에 한정되며, 회사는 이것만으로 부정 사용될 가능성은 매우 낮다고 보고 있습니다. C그룹(5,356명)은 미발송 주문 데이터(이름, 주소, 전화번호, 이메일 주소, 주문 내용 등)이며, 실제로 열람되었을 수 있는 주문은 최대 202건입니다. 회사는 원인이 최근 보고된 PHP 취약점이 아니라고 밝혔습니다. 이 사이트의 결론: B그룹은 카드 발급사에 연락해 카드 번호 변경을 문의하세요. 이메일이 오지 않았더라도 쇼핑몰에 카드를 등록한 적이 있다면 대상 범위에 속하므로 명세서를 확인하세요. 회사를 사칭하는 예상치 못한 메시지의 링크는 열지 마세요.
Revolve 고객 계정 침해: 저장된 카드 번호와 유효기간에 접근됨(인디애나 법무장관 목록 기준 1,515,073명) — 고객이 해야 할 일
미국 패션 소매업체 Revolve는 The Record의 보도에 따르면 2026년 10월 29일 미국 증권 공시에서, 승인되지 않은 제3자가 자동화된 수단으로 이름, 연락처, 저장된 결제 카드 번호와 유효기간을 포함한 고객 계정 데이터에 접근했다고 밝혔습니다. 초기의 주 기록에는 텍사스 주민 127,200명처럼 주별 인원만 나와 있었습니다. 인디애나 법무장관의 데이터 침해 목록(2026년 11월판)에는 이제 Revolve Group, Inc가 통지일 10월 29일, 유출일 9월 11일, 인디애나 주민 10,534명, 전체 1,515,073명으로 게재되어 있습니다. SecurityWeek에 따르면 다른 다섯 개 주(아이오와, 매사추세츠, 사우스캐롤라이나, 텍사스, 버몬트)에 대한 통지를 합쳐도 약 197,000명에 그쳤습니다. 카드 보안 코드(CVV)가 관련되었는지는 우리가 읽은 자료에 나와 있지 않습니다. 이 사이트의 판단: Revolve 계정에 카드를 저장했다면 명세서에서 낯선 소액 결제를 살피고, 카드사에 재발급이 필요한지 물어보며, 주문 내역을 언급하는 메시지는 직접 확인하기 전까지 의심하세요.
Drupal Commerce Core CVE-2026-118539: 비인증 접근 우회, 악용 중(8.x-2.41 또는 3.3.13으로 업데이트)
2026년 10월 28일 Drupal 보안 팀은 Commerce Core 모듈(CVE-2026-118539)에 대한 SA-CONTRIB-2026-254를 게시했습니다. 이 모듈은 특정 경로와 엔티티 필드를 충분히 보호하지 않아 접근 우회가 가능하며, 이는 상점 소유자에게 금전적 영향을 줄 수 있습니다. Drupal은 인증이 필요 없는 Highly critical(21/25)로 평가하고 실제로 적극적으로 악용되고 있다고 밝혔습니다. 영향 버전은 8.x-2.41 미만과 3.0.0부터 3.3.13 미만까지이며, 수정 버전은 8.x-2.41과 3.3.13입니다. NVD 기록에는 CISA ADP가 추가한 더 낮은 CVSS v3.1 점수 6.5가 있으며 아직 분석을 기다리고 있습니다. 10월 31일 기준 CISA의 KEV 카탈로그에는 없습니다. 우리의 결론: Drupal Commerce로 온라인 상점을 운영한다면 지금 업데이트하고, 최근 주문과 결제에서 일치하지 않는 것이 없는지 감사하세요.
Adobe Commerce 및 Magento 취약점 CVE-2026-48356: CISA가 악용 확인(KEV), 7월 수정과 침입 여부 확인 방법
2026년 10월 27일, CISA는 Adobe Commerce와 Magento Open Source의 파일 업로드 취약점 CVE-2026-48356을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 미국 연방 민간 기관의 대응 기한은 11월 10일입니다. Adobe는 2026년 7월 14일 보안 공지 APSB26-73에서 이 결함을 다른 13개 결함과 함께 수정했습니다. Adobe Commerce 2.4.4부터 2.4.9, Magento Open Source 2.4.6부터 2.4.9, Adobe Commerce B2B, Adobe Commerce Events가 영향을 받습니다. 수정은 각 릴리스 계열의 2026-jul 보안 수정입니다(Events는 1.21.0). Adobe 공지의 표는 CVSS 9.6으로 평가하지만 Adobe의 CVE 레코드와 NVD는 9.3으로 평가하며, 차이는 가용성 영향뿐입니다. Adobe의 공지(8월 11일 업데이트)는 여전히 Adobe가 악용 사실을 알지 못한다고 밝히고 있습니다. 10월 24일, 한 전자상거래 보안 업체는 이 결함(업체는 PolyShell이라고 부름)과 다른 결함을 통해 설치된 웹 셸이 상점 페이지에 JavaScript를 삽입하는 데 쓰였으며, 이 캠페인이 2025년 7월 이후 대부분 Magento인 953개 상점에 이르렀고, 패치된 상점에서도 삽입된 코드를 발견했다고 보고했습니다. 10월 28일 기준 일본 공공 기관의 경보는 없으며 피해를 공개한 일본 상점도 없습니다. 이 사이트의 결론: Adobe Commerce와 Magento 상점은 오늘 7월 수정이 적용되었는지 확인하고, 적용되어 있더라도 업로드 폴더, CMS 블록, 관리자 계정에서 침입 흔적을 확인해야 합니다.
PhotoGoods(Daiko Printing) 결제 페이지 카드 정보 탈취 프로그램: 2026년 8월 6일–9월 11일 결제한 사람이 해야 할 일
2026년 9월 16일 Daiko Printing Co., Ltd.는 운영 중인 서비스 PhotoGoods(photo-goods.com)에 권한 없는 제3자가 접근했다고 발표했으며, 결제 페이지에 입력된 신용카드 정보를 불법으로 빼낼 수 있는 프로그램이 설치되었다고 밝혔습니다. 해당 프로그램은 8월 6일부터 9월 11일 제거될 때까지 작동했습니다. 이 기간에 결제 페이지에 카드를 입력한 사람(구매를 완료하지 않은 사람 포함)은 카드번호, 유효기간, 보안코드와 이름, 주소, 전화번호, 이메일 주소, 회원 비밀번호에서 파생된 정보(변환된 형태로 저장)가 노출되었을 수 있습니다. 회사는 시스템 취약점과 파일 업로드 기능의 악용을 통해 권한 없는 접근이 확인되었다고 밝혔습니다. 영향을 받은 사람의 수와 실제 범위는 조사 중이며, 10월 7일 기준 후속 공지는 없었습니다. 이 사이트의 견해: 해당 기간에 카드를 입력한 사람은 카드사에 카드번호 변경을 요청하고, PhotoGoods 비밀번호를 함께 쓰는 다른 서비스의 비밀번호도 변경하며, ‘사과’나 ‘환불’ 메시지의 링크는 무시해야 합니다.