피싱
이 태그가 달린 문서 125건
Sharefull 내부 관리 시스템 무단 접근(최대 약 750만 계정): 이름, 은행 계좌 정보, 긴급 연락처 등 유출 가능성 — 근로자가 해야 할 일
Sharefull은 2026년 11월 9일, 제3자가 내부 관리 시스템에 무단으로 접근해 이용자의 개인정보가 유출됐을 수 있다고 발표했습니다. 접근은 11월 4일 23:30경에 일어났고 11월 5일 9:45경에 감지됐으며, 같은 날 경로를 차단했습니다. 최대 약 750만 개인 계정이 해당될 수 있습니다. 유출됐을 수 있는 정보는 이름과 가나 표기 이름, 전화번호, 이메일 주소, 주소, 생년월일, 급여 지급용 은행 계좌 정보(PIN과 비밀번호는 포함되지 않음), 얼굴 사진의 URL, 긴급 연락처(이용자와의 관계와 전화번호), 체류 자격 관련 정보, 등록일·근무 횟수·희망 사항 등 계정 속성입니다. 급여·포인트, 계약·근무 데이터, 신분증 이미지는 해당되지 않으며, 회사는 마이넘버와 신용카드 정보를 보유하지 않는다고 밝혔습니다. 같은 날 별도 공지에서 고용 기업의 담당자 연락처(최대 약 7,500개 사)도 다뤘습니다. 2026년 11월 11일 기준 후속 공지는 확인되지 않았습니다. 이 사이트의 결론: 은행 계좌 정보, 긴급 연락처, 체류 자격이 포함됐을 수 있으므로 Sharefull이나 대행 기관을 사칭한 연락, 가족의 긴급 상황을 가장한 전화, 착오 송금을 가장한 입금, 체류 자격을 구실로 한 금전 요구에 대비하십시오.
Mitsui Direct General Insurance 웹사이트 무단 접근(약 234,000건): 이름, 주소, 차량 정보 유출 — 견적을 받았거나 가입한 사람이 해야 할 일
2026년 11월 6일 Mitsui Direct General Insurance Co., Ltd.는 제3자가 자사 웹사이트에 무단 접근해 고객 정보 일부가 유출되었다고 발표했습니다. 회사는 11월 4일 이른 시각에 접근을 감지했고 웹사이트와 앱의 모든 절차를 중지했습니다. 영향을 받은 사람은 견적을 받았거나 가입한 고객이며 약 234,000건(11월 6일 13시 기준)입니다. 유출된 항목은 계약자와 피보험자 정보(이름, 주소, 전화번호, 생년월일, 이메일 주소 등), 차량 정보(차량 이름, 등록번호, 소유자 등), 계약 내용과 보장입니다. 신용카드 정보, 은행 계좌 정보, 마이페이지 로그인 비밀번호는 포함되지 않습니다. 11월 9일 회사는 도로 서비스(로드서비스) 위탁업체 서버에 대한 무단 접근도 속보로 별도 발표했습니다. 약 45,000명의 고객(11월 6일 9시 기준)이며 이쪽에는 은행 계좌 정보가 포함됩니다. 2026년 11월 10일 기준 원인은 공개되지 않았습니다. 이 사이트의 결론: Mitsui Direct의 이름을 쓴 메시지가 주소, 차량, 계약 내용을 알고 있다고 해서 진짜인 것은 아닙니다. 절차가 중지된 동안 도착한 메시지의 링크는 열지 말고 공식 사이트나 문의처를 확인하세요.
니토리 무단 접근: 최대 3,762만 건의 개인정보(이름, 주소, 전화번호, 생년월일)가 유출되었을 수 있음, 개인 회원과 법인 회원이 해야 할 일
2026년 11월 9일, Nitori Holdings Co., Ltd.(니토리)는 11월 6일 자사가 관리하는 시스템에 대한 제3자의 무단 접근을 확인했으며, 서버에 보관된 개인정보 최대 3,762만 건이 외부로 유출되었을 수 있다고 발표했습니다. 대상은 니토리 그룹의 개인 회원과 구매자(회원 번호, 이름과 후리가나, 이메일 주소, 주소, 전화번호, 생년월일, 성별), 법인 회원(회원 번호, 회사명, 부서명, 대표자 이름, 회사 주소와 전화번호, 담당자의 이름, 이메일 주소, 전화번호), 그리고 Nitori Net과 전자상거래 몰의 니토리 공식 숍에서 이루어진 주문 데이터입니다. 회사는 로그인 비밀번호와 신용카드 정보는 포함되지 않는다고 밝혔습니다. 10월 중순부터 하순에도 제3자가 접근했을 가능성이 있으며, 경로는 조사 중이고 건수는 바뀔 수 있습니다. 회사는 영향을 받은 고객에게 이메일이나 우편으로 순차적으로 연락할 예정입니다. 2026년 11월 10일 기준 후속 공지는 찾지 못했습니다. 이 사이트의 결론: 주소, 전화번호, 이름이 모두 들어 있으므로, 정확한 주소나 주문 내용을 알고 있다고 해서 니토리나 택배사를 사칭한 전화, 문자, 이메일이 진짜인 것은 아닙니다.
Raksul 인쇄 데이터 입고 시스템 무단 접근(건수 집계 중): 인쇄 데이터에 담긴 이름, 주소, 전화번호가 유출됐을 수 있음 — 고객과 인쇄물에 이름이 실린 사람이 해야 할 일
2026년 11월 9일 Raksul Inc.는 Raksul 서비스의 데이터 입고 처리와 관련된 시스템에 제3자가 무단 접근해 개인 정보가 외부로 유출됐을 수 있다고 발표했습니다. 접근은 2026년 11월 8일 0시 20분경에 드러났습니다. 회사는 자사 시스템의 자격 증명이 부정하게 취득되어 저장된 데이터의 일부에 외부에서 접근할 수 있는 상태였다고 밝힙니다. 유출됐을 수 있는 정보는 서비스에 입고된 인쇄 데이터와 청구서, Web Yubin(온라인 우편) 같은 데이터에 담긴 이름, 회사 이름, 주소, 전화번호, 이메일 주소 등입니다. 명함이나 엽서 같은 인쇄 데이터에는 주문한 본인 외의 정보가 담겨 있을 수도 있습니다. 건수는 집계 중입니다. 회사는 신용카드 정보, 로그인 ID, 비밀번호는 유출되지 않았음을 확인했다고 밝힙니다. 11월 8일 일부 서비스를 중지했고 11월 9일 7시부터 순차적으로 복구하기 시작했습니다. 2026년 11월 10일 기준 건수와 원인의 세부 사항은 공개되지 않았습니다. 이 사이트의 결론: 명함이나 엽서를 주문한 사람뿐 아니라 거기에 이름이 실린 거래처나 수신자도 영향을 받을 수 있습니다. 고객은 인쇄물에 넣은 사람들에게 어떤 일이 생길 수 있는지 알고, 그들에게 설명하는 것을 고려하세요.
밴더빌트 대학교 사이버 보안 사고(진행 중): Wi-Fi, Okta, 이메일, CampusPrint 복구, 나머지 시스템은 제한, 완전 복구까지 수 주, 학생과 교직원이 해야 할 일
2026년 11월 9일 미국 테네시주의 밴더빌트 대학교는 대학 기기, 시스템, 클라우드 서비스에 영향을 줄 수 있는 진행 중인 사이버 보안 사고에 대응하고 있다고 밝혔습니다. 대학은 11월 10일 오후 6시 업데이트에서 교내 Wi-Fi, Okta(다요소 인증은 계속 사용), 밴더빌트 이메일(대학 기기와 개인 기기), CampusPrint, Brightspace, Zoom, YES(모든 수강 신청은 예정대로 진행)를 쓸 수 있다고 밝혔습니다. 그 밖의 모든 시스템과 애플리케이션은 계속 제한됩니다. 모든 시스템에서 정상 운영을 완전히 복구하는 데 수 주가 걸릴 수 있다고 예상하며, 봉쇄와 어떤 데이터에 접근이 있었을 수 있는지 파악하는 데 집중하고 있다고 합니다. 학생, 교수, 직원은 다시 대학 기기를 쓸 수 있으며, 아직 신고하지 않은 비정상적이거나 수상한 활동이 있으면 즉시 VUIT 헬프 데스크에 티켓을 등록해 달라고 합니다. 수업은 평소 일정대로 진행됩니다. 대학은 데이터가 접근되거나 손실되거나 침해되었는지 밝히지 않았습니다(11월 10일 오전 9시 업데이트는 이를 「해킹 사고」라고 불렀습니다). 언론은 한 집단이 책임을 주장했다고 전하지만 대학은 이를 확인하지 않았습니다. 다음 업데이트는 11월 11일 오전 10시까지로 예정되어 있습니다. 본 사이트의 판단: 쓸 수 있는 서비스는 쓰되 나머지는 제한이 계속되고 완전 복구에 수 주가 걸릴 수 있으니, 과제 마감은 담당 교수에게, 연구비 신청 마감은 대학 연구처에 확인하세요. 개인 정보 노출은 확인되지 않았으니 공식 업데이트를 기다리고, 그동안 재사용하는 비밀번호를 바꾸고 대학 IT를 사칭하는 메시지를 경계하세요.
Euglena의 akyrise 온라인 스토어 무단 접근(최대 약 90만 건): 이름, 주소, 전화번호가 유출되었을 수 있음 — 구매자가 해야 할 일
2026년 11월 5일 Euglena Co., Ltd.는 화장품 브랜드 akyrise의 온라인 스토어에 11월 4일 제3자가 무단 접근했으며 회원 정보가 유출되었다고 발표했습니다. 회사는 같은 날 스토어를 닫고 일본 개인정보보호위원회에 속보를 제출했습니다. 유출되었을 수 있는 정보는 두 그룹입니다. 로그인 계정 정보(고객 ID, 이메일 주소, 해시 처리되어 저장된 로그인 비밀번호)는 최대 약 49만 건, 등록·구매 정보(이름, 주소, 전화번호, 생년월일, 성별, 이메일 주소, 구매 및 배송 정보)는 최대 약 90만 건입니다. 두 수치는 모두 확인 중이며, 회사가 두 그룹이 어떻게 겹치는지 밝히지 않았으므로 더할 수 없습니다. 신용카드 번호는 회사 서버에 보관하지 않으므로 포함되지 않습니다. 같은 안내에는 이메일 발송 서비스 업체와 택배사에서 일어난 별개의 무단 접근도 담겨 있으며, 회사는 이를 독립된 사건으로 설명합니다. 2026년 11월 9일 기준 후속 안내는 확인되지 않았습니다. 이 사이트의 결론: akyrise 이름을 쓴 메시지, 문자, 전화는 이름이나 주소를 안다고 해서 진짜가 아닙니다. 링크를 열지 말고, akyrise 비밀번호를 다른 곳에서도 썼다면 그곳에서 먼저 변경하세요.
Rohto Pharmaceutical 통신판매 사업에 대한 무단 접근(고객 관리 시스템 2,797,545명, 통화 녹음 속 카드 번호 9,715명): 전화 주문 고객과 그 밖의 모든 사람이 해야 할 일
2026년 11월 6일 Rohto Pharmaceutical Co., Ltd.는 통신판매 사업에 쓰는 전화 시스템에 대한 무단 접근의 조사 결과를 발표했습니다. 고객 관리 시스템에 있던 2,797,545명의 이름, 주소, 전화번호(항목은 사람마다 다름)와, 통화 녹음에 담긴 9,715명의 신용카드 번호와 유효기간이 탈취되었습니다. 카드 보안 코드와 비밀번호는 포함되지 않았습니다. 원인은 전화 시스템의 계정 자격 증명을 제3자가 무단으로 사용한 것입니다. 전화 시스템에 대한 외부 전문가 조사는 10월 16일에 끝났으며, 해당자에게는 우편, 이메일 등으로 순차적으로 개별 통지하고 있습니다. 이번 사고에 따른 2차 피해는 확인되지 않았습니다. 이 사이트의 결론: 통신판매 통화에서 카드 번호를 말한 적이 있다면 통지를 받았는지와 상관없이 카드 명세서를 확인하고, 불안하면 카드사와 상담하세요. 그 밖의 모든 사람은 이름, 주소, 전화번호를 아는 사람의 전화, 이메일, 문자 메시지를 경계해야 합니다.
SMBC Consumer Finance 대출 보증 시스템 유출(최대 320,118명): 운전면허 번호, 근무처 정보, 소득 유출 — 은행 카드론 이용자가 해야 할 일
2026년 11월 5일 SMBC Consumer Finance Co., Ltd.는 대출 보증 사업에 쓰는 시스템에 제3자가 무단 접근해 데이터가 시스템 밖으로 전송되었다고 발표했습니다. 회사는 11월 2일에 접근을 감지하고 그날 바로 해당 시스템에 대한 접근을 차단했으며, 추가 조사 중에 유출을 확인했습니다. 영향을 받는 사람은 최대 320,118명입니다. 회사는 지방은행, 신용금고(신킨 은행), 인터넷 은행이 취급하는 카드론을 보증하므로, 영향을 받는 사람은 주로 이런 금융기관에서 이 회사를 보증인으로 하여 카드론을 받은 사람일 가능성이 높습니다(회사는 대상자를 정의하지 않았습니다). 유출된 정보는 이름, 성별, 생년월일, 주소, 집 전화번호, 휴대전화 번호, 이메일 주소, 운전면허 번호, 근무처 정보(전화번호, 소득 등), 계약 정보(금융기관 코드, 고객 번호, 보증 금액, 보증 시작일 등)입니다. 운전면허증 등 신분증의 이미지는 포함되지 않습니다. 회사는 범위를 파악한 뒤 제휴 금융기관과 협의해 이메일, SMS 등으로 해당자에게 개별 통지할 예정이며, 시기는 밝히지 않았습니다. 11월 6일에 수신자 부담 번호가 추가되었습니다. 2026년 11월 9일 기준 후속 안내는 확인되지 않았습니다. 이 사이트의 견해: 대출 기관이나 보증 회사를 자칭하는 전화, 이메일, 문자가 면허 번호나 소득을 안다고 해서 진짜인 것은 아닙니다.
크레디 뮈튀엘 아르케아(프랑스) 사이버 공격: 서비스 제공업체 플랫폼을 통한 자사 계좌의 부정 이체, 고객 자산은 영향 없음
2026년 11월 4일, 프랑스 금융그룹 크레디 뮈튀엘 아르케아(Crédit Mutuel Arkéa)는 부정 거래를 가능하게 한 공격을 받았다고 밝혔습니다. 그룹에 따르면 공격자는 서비스 제공업체의 플랫폼을 통해 그룹에 도달했고, 아르케아 자사 계좌에서 다른 은행 관계자로 자금을 보냈으며, 이 돈은 전문 플랫폼을 통해 암호화폐로 바뀌었을 수 있습니다. 산하 연합회와 자회사 고객의 계좌는 사용되지 않았고, 고객 자산은 영향을 받지 않았으며, 일부 이체만 늦게 실행되었고 대부분의 업무는 11월 4일 오전에 재개되었습니다. 그룹은 인적 오류를 부인했고, 침입이 온라인 은행 자회사를 통해 이루어졌다는 보도도 부인했습니다. 관련 금액은 아직 평가 중입니다. 보충 설명이 질문으로 제기한 1억 1,800만 유로(1억 3,300만 달러)에 대해 그룹은 규모(order of magnitude)는 타당하다고 했지만 최종 금액을 공표할 단계는 아니라고 했습니다. 자금 일부는 차단되었고 회수가 진행 중입니다. 그룹은 피싱을 경고합니다. 이 사이트의 결론: 고객은 그룹을 사칭하는 메시지의 링크를 열지 말고 직접 연 공식 경로로 확인하세요. 기업은 서비스 제공업체가 결제 시스템에 가진 연결과 권한을 점검하세요.
DigiCert(인증 기관) 내부 업무 시스템 침해: 고객 담당자의 연락처와 일부 신분 증명 문서, 고객이 할 일
DigiCert는 Mozilla Bugzilla에 올린 사고 보고서(전체 보고서는 2026년 11월 2일경 일본 시간에 게시)에서, 고객이 신원을 검증하기 위해 제공한 정보를 보관하는 내부 업무 시스템에 무단 접근이 있었다고 밝혔습니다. 데이터에 접근한 기간은 2026년 6월 27일부터 7월 2일까지입니다. 대부분은 업무용 연락처(이름, 업무용 이메일 주소, 전화번호, 업무용 주소)였고, 소수의 고객 계정에는 운전면허증, 여권, 공과금 고지서 같은 고객 제공 문서도 있었습니다. 접근은 읽기 전용이었습니다. DigiCert는 영향을 받은 인증서가 0건이며, CA 시스템, CertCentral, DigiCert ONE은 영향이 없고, 유효한 인증서에 대해 필요한 조치는 없다고 밝혔습니다. 영향을 받은 기록 수나 인원은 공개하지 않았습니다. 이 사이트의 판단: 고객 관리자는 검증 정보를 아는 듯한 메시지를 직접 연 포털에서 확인하기 전까지 검증되지 않은 것으로 다루고, 신분 증명 문서를 제출한 사람은 신원 도용에 주의하세요.
NTT DOCOMO 'docomo Online Shop'·'My docomo' 정보 유출(최대 약 30만 건): 본인확인서류 번호 유출, 이용자가 해야 할 일
NTT DOCOMO는 2026년 11월 4일 docomo Online Shop과 My docomo에 대한 외부로부터의 부정 접근을 확인했고, 11월 5일 오전 1시 5분경부터 두 서비스의 각종 절차를 중단하고 긴급 점검에 들어갔습니다. 회사는 11월 5일 제2보에서 긴급 점검 전에 부정 접근으로 일부 고객 정보가 유출됐다고 밝혔고, 11월 6일 제3보에서 그 규모를 최대 약 30만 건으로 제시했습니다. '모든 대상 고객'의 유출 정보는 이름, 생년월일, 나이, 주소, 연락처 전화번호, 이메일 주소, 본인확인서류 번호, 휴대전화 번호, 계약 개시일, 요금제·옵션·할인입니다. '일부 고객'은 법정대리인 또는 절차 대리인의 이름과 연락처, 근무처 또는 회사 이름과 주소, 금융기관·지점·계좌번호·예금주, 육아 지원 제도 관련 정보도 포함됩니다. 원인은 외부로부터의 부정 접근이며, 침입 경로와 정확한 범위·건수는 조사 중이고, 새로운 유출은 확인되지 않았으며, 복구 시점은 미정입니다. 2026년 11월 7일 기준 제4보는 확인되지 않았습니다. 이 사이트의 결론: 이름, 주소, 계약 내용을 말한다고 해서 DOCOMO가 보낸 연락이라는 증거는 아닙니다. 링크를 열지 말고, PIN, 비밀번호, 카드 정보를 알려주지 마십시오. 본인확인서류 번호가 유출됐다면 명의 도용 계약에 주의하십시오.
Hotto Motto 뉴스레터 발송 서비스 무단 접근(최대 약 700만 건): 이름, 생년월일, 전화번호 유출, 회원이 해야 할 일
Plenus Co., Ltd.는 2026년 11월 4일, 외부 위탁업체가 제공하는 Hotto Motto 뉴스레터 발송 서비스가 제3자의 무단 접근을 받아 고객의 이메일 주소를 포함한 회원 정보가 유출됐다고 발표했습니다. 회사는 11월 2일 위탁업체로부터 보고를 받았습니다. 사고는 10월 28일부터 31일까지 발생했으며, 규모는 최대 약 700만 건입니다. 유출된 정보는 이메일 주소, 이름, 생년월일, 전화번호를 포함한 회원 정보입니다. 신용카드 정보는 포함되지 않았으며, 회사는 카드 정보를 보유하고 있지 않다고 밝혔습니다. 온라인 주문 서비스에 대한 영향은 확인되지 않았고, 계속 이용할 수 있습니다. 뉴스레터 발송 서비스는 전면 중단됐으며 재개 시점은 정해지지 않았습니다. 2026년 11월 7일 기준 후속 공지는 확인되지 않았습니다. 이 사이트의 결론: Hotto Motto 이름을 쓴 이메일이 이름이나 생일을 안다고 해서 진짜라는 증거는 아닙니다. 발송이 중단된 동안 뉴스레터처럼 보이는 메일에 특히 주의하고, 링크를 누르지 말고 공식 사이트나 앱에서 확인하십시오.
Iris Plaza 무단 접근(약 770만 명분 정보): 이름, 주소, 암호화된 비밀번호 유출 가능성, 회원과 구매자가 해야 할 일
Iris 그룹 소속 Iris Plaza Co., Ltd.는 2026년 11월 5일 제2보에서, Iris Ohyama 공식 온라인 스토어인 Iris Plaza에 대한 무단 접근으로 고객 개인정보 일부가 유출됐을 가능성이 있다고 밝혔습니다. 회사는 10월 28일 이용 중인 외부 클라우드 서비스에서 수상한 파일을 발견해 즉시 Iris Plaza와 관련 시스템을 중단하고 조사를 시작했으며, 제3자의 무단 접근을 확인했습니다. 외부 클라우드 서비스에 저장된 개인정보는 약 770만 명분이며, 회사는 이 정보가 열람 또는 취득됐을 가능성이 있음을 확인했습니다. 실제로 유출된 건수와 인원은 아직 조사 중입니다. 유출됐을 가능성이 있는 정보는 회원 정보(탈퇴 회원 포함 약 580만 명)의 경우 이름, 주소, 전화번호, 이메일 주소, 성별, 비밀번호(탈퇴 회원 제외), 생년월일 등이고, 비회원 정보(회원 등록 없이 구매한 사람과 캠페인 응모자 포함 약 190만 명)의 경우 이름, 주소, 전화번호, 이메일 주소입니다. 비밀번호를 포함한 일부 항목은 암호화되어 있습니다. 회사는 신용카드 정보는 해당 클라우드 서비스에 저장되어 있지 않았으며 영향이 없음을 확인했다고 밝혔습니다. 같은 비밀번호를 다른 곳에서 쓰는 사람에게는 변경을 요청했습니다. 2026년 11월 7일 기준 제3보는 확인되지 않았습니다. 이 사이트의 결론: Iris Plaza 비밀번호를 다른 서비스에서도 쓰고 있다면 오늘 바꾸십시오. 탈퇴 회원과 회원 등록 없이 구매한 사람도 대상입니다.
산토리 그룹 개인정보 유출(직원 및 파트너사 직원 약 90,000명, 그 밖의 그룹): 외부 클라우드 서비스 무단 접근으로 이름·이메일 주소 등 유출, 지원자와 고객이 할 일
산토리 그룹은 2026년 11월 2일, 그룹이 이용하는 외부 클라우드 서비스에 대한 제3자의 무단 접근을 확인했으며, 제3자가 내려받은 파일 일부에 개인정보가 포함되어 있었다고 발표했습니다. 10월 28일 이상을 감지해 접근을 차단했고, 10월 29일 개인정보가 포함된 것을 확인했습니다. 11월 1일까지 유출이 확인된 개인정보는 7개 그룹입니다. 그룹 직원과 파트너사 직원 약 90,000명의 이름·이메일 주소, 기업 활동 체험 프로그램 Mar de Shine에 2023년 말 시점 등록된 7,323명의 이메일 주소, 산토리 홀딩스 2026년 신입 채용 비즈니스 부문 오픈 전형 지원자 7,173명의 지원자 마이페이지 등록 정보 등(이름·이메일 주소·전화번호 등), Suntory Beverage Solution의 업무용 휴대전화 2대에 저장된 1,097명의 이름·전화번호, Monte Bussan 직원과 파트너사 직원 324명의 이름·이메일 주소·전화번호, Izutsu Maisen 택배 주문 고객과 배송 직원 96명의 이름·배송지 위치 정보, 산토리 거래처 직원 25명의 이름·직책입니다. 신용카드 등 결제 정보는 포함되지 않았습니다. 발표 시점에 부정 이용은 확인되지 않았습니다. 회사는 대상자에게 개별 연락하고 있다고 밝혔습니다. 이 사이트의 결론: 산토리나 그룹사를 사칭하는 전형·내정·배송·거래 관련 연락의 링크는 열지 말고, 직접 연 공식 사이트나 공지 페이지의 창구에서 확인하세요.
Arara의 이메일 발송 서비스 Arara Message에 대한 무단 접근(이메일 주소 약 8,130만 건): 이름 등 회원 데이터도 포함. 뉴스레터 수신자와 고객사가 해야 할 일
2026년 11월 6일, Arara Inc.(PayCloud Holdings의 자회사)는 3차 보고에서 별도 클라우드 환경(환경 B)에서 반출된 이메일 주소 3,249,492건을 더하면, 이메일 발송 서비스 Arara Message에 대한 무단 접근으로 반출된 이메일 주소가 구분 간 중복을 제외하고 81,329,467건(약 8,130만 건, 사람 수가 아닌 이메일 주소 수)이라고 밝혔습니다. 환경 B는 새로운 침입이 아니라 10월 28일부터 31일까지 이어진 같은 일련의 접근 중에 발생했으며, 이메일 주소만 반출되었습니다. 내역은 환경 A의 서비스 경유 78,102,937건(이메일 주소만 31,346,375건, 속성 포함 46,756,562건), 공유 환경 2,842,400건(2차 보고의 3,386,187건에서 수정), 환경 B 3,249,492건이며 겹치는 부분을 뺀 수치입니다. 영향받은 고객사는 최대 약 380곳입니다(2차 보고의 추정이며, 3차 보고는 공유 환경의 61곳과 환경 B의 고객사를 포함한다고 설명). 10월 27일은 사전 조사로 보이는 접근이었고, 무단 로그인과 반출은 10월 28일에 시작되어 10월 31일 중지까지 이어졌습니다. 서비스에는 신용카드 번호가 없습니다(2차·3차 보고). 10월 28일부터 30일까지 서비스가 악용되어 발신 주소 news@arara.com으로 신용카드 회사를 사칭한 가짜 이메일이 최대 약 713만 통 발송되었습니다. 서비스는 10월 31일부터 전면 중지되었으며 재개 시점은 정하지 않았습니다. Workman, Asoview, Kakaku.com, Matsui Securities, MOS Food Services, Bic Camera·Kojima·Sofmap, TKC, IIJmio, Zaif, Bank of the Ryukyus 등 고객사가 각자 공지를 게시했습니다. 이 사이트의 결론: news@arara.com이나 카드 회사 이름으로 온 가짜 이메일은 열지 말고, 카드 정보를 입력했다면 카드 회사에 연락하세요. 이용 중인 서비스는 이 글의 표에서 확인하고, 고객사는 개인정보보호위원회 공동 보고 신청 마감(11월 9일 18시)에 유의하세요.
아소비! 회원 정보 유출(15,821,184건): 이메일 발송 위탁업체를 통해 이름, 전화번호, 티켓 구매 내역이 유출됐습니다. 회원이 해야 할 일
레저 예약 서비스 아소비!를 운영하는 Asoview Inc.는 2026년 11월 3일, 이메일 발송에 사용하던 위탁업체의 서비스에 제3자가 무단으로 접근해 회원 정보 일부가 유출되었다고 발표했습니다. 회사는 원인이 자사 시스템이 아니라 위탁업체의 서비스에 있다고 밝혔습니다. 건수는 15,821,184건입니다. 항목은 이메일 주소, 회원 ID 및 번호, 이름, 성별, 생년월일, 등록일, 최종 로그인일, 전화번호, 우편번호, 거주 지역, 티켓 구매 일시, 티켓 종류, 수량, 이용 시설, 이용일, 참가 인원, 예약 취소 여부 등입니다. 비밀번호와 신용카드 정보는 위탁업체에 맡긴 적이 없어 포함되지 않았다고 회사는 밝혔습니다. 유출된 이메일 주소가 어느 회원의 것인지는 아직 특정되지 않았으며, 위탁업체가 조사 중입니다. 위탁업체가 11월 2일 회사에 보고했고, 회사는 같은 날 해당 서비스를 통한 모든 이메일 발송을 중단하고 인증 정보를 무효화했습니다. 발표 시점에 악용 피해는 확인되지 않았습니다. 영향을 받은 회원에게는 개별적으로 연락할 예정입니다. 이 사이트의 결론: 환불, 취소, 당첨, 본인 확인을 이유로 아소비!를 사칭한 메시지의 링크는 열지 말고, 예약은 직접 연 공식 앱이나 사이트에서 확인하세요.
세븐일레븐 재팬 7NOW 고객 정보 유출(이름만 164,180건 등): 배송 위탁업체 침해로 노출된 정보와 이용자가 해야 할 일
세븐일레븐 재팬은 2026년 11월 3일, 배달 서비스 7NOW의 배송 일부를 맡은 위탁업체가 운영하는 서비스에 제3자가 무단으로 접근해 7NOW 주문자(배송 받는 사람) 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면 위탁업체의 조사에서 11월 1일에 접근이 확인되었고, 11월 3일에 7NOW 정보도 유출된 것이 확인되었습니다. 확인된 항목은 이름(가타카나)만 164,180건, 이름(가타카나)과 주소 4,762건, 이름(가타카나), 주소, 전화번호, 우편번호 209건입니다. 일부 건에서는 주문일, 매장명과 매장 주소, 상품명도 유출되었습니다. 회사는 신용카드 정보와 ID, 비밀번호는 유출되지 않았다고 밝혔습니다. 위탁업체의 조사에서 회사의 인증 정보나 연동 설정의 유출이나 변조는 확인되지 않았으며, 7NOW는 정상 운영 중이라고 합니다. 영향을 받은 고객에게는 등록된 전화번호로 SMS를 순차적으로 보내 연락하고 있으며, 개인정보보호위원회에는 보고했습니다. 이 사이트의 결론: 7NOW 주문을 아는 것처럼 보이는 전화, 문자, 이메일의 링크는 열지 마세요. 공지 범위에서는 비밀번호 변경이 요청되지 않았습니다.
WorkOS(개발자용 SSO 및 디렉터리 동기화 플랫폼) 내부 영업 앱 침해: 회사는 보안 연구자의 AI 에이전트 때문이라고 밝힘, 유출된 연락처와 지원·Slack 이력에 대해 고객이 해야 할 일
WorkOS는 2026년 11월 2일 영업 및 고객 대응 팀이 쓰는 내부 애플리케이션에 대한 무단 접근 공지를 게시했고 11월 6일 업데이트했습니다. 업데이트에 따르면 최초의 무단 접근은 10월 25일에 확인되었고, 10월 30일에 기록이 대량으로 추출되었으며, 회사는 그 뒤 공개 접근을 제거했습니다. 11월 3일에서 5일 사이에 한 보안 연구자가 나섰고, 회사와 독립 포렌식 업체가 연구자의 증거를 회사 로그와 대조해 검증했습니다. 회사는 평가를 실행하던 연구자의 AI 에이전트가 격리된 테스트 환경을 벗어나 의도치 않게 WorkOS와 상호작용했다고 밝혔습니다. 연구자는 모든 데이터를 삭제했고 누구와도 공유하지 않았다고 말합니다. 영업 및 고객 지원 시스템의 데이터만 관련되었습니다. 업무용 연락처, 계정 이력, 영업 통화·지원 논의·고객 Slack 대화의 요약과 발췌, 운영 메타데이터입니다. 일부 지원 커뮤니케이션에는 최종 사용자의 이메일 주소가 포함되어 있었습니다. 회사는 원인으로 API가 노출된 레거시 플랫폼의 도구, 프로덕션에 배포된 약하고 예측 가능한 개발용 자격 증명, 요청 제한 부재, 늦은 감지를 듭니다. 업데이트는 고객이 취할 조치도 건수도 제시하지 않습니다. 이 사이트의 결론: 과거 대화를 아는 듯한 연락은 이미 알고 있는 경로로 확인하기 전까지 검증되지 않은 것으로 다루세요.
Chainstack(블록체인 노드·API 플랫폼) 운영 환경 침해: 개발자와 dApp 운영자가 계정 데이터와 노드 자격 증명에 대해 해야 할 일
Chainstack은 2026년 11월 3일자 공지에서 외부 공격자가 제3자 구성 요소를 통해 인프라 일부에 접근했다고 밝혔습니다. 10월 26일에는 개발 환경, 10월 29일에는 운영 환경 일부였고, 10월 31일에 감지해 차단했으며 11월 2일에 조사를 마쳤습니다. 고객 계정 데이터베이스에서 노출되었을 수 있는 정보는 조직 이름, 계정 소유자 이름, 조직 구성원의 이메일 주소, 비밀번호 해시입니다. 노드 자격 증명을 보관하는 시스템에도 접근이 있었으며, 회사는 이를 읽었다는 증거는 없지만 노출된 것으로 취급합니다. 결제 수단 정보는 저장하지 않으며, 노드, 콘솔, API는 변경되지 않았고 서비스는 계속되었다고 합니다. 고객 수는 밝히지 않았습니다. 이 사이트의 결론: 사용자는 비밀번호를 바꾸고, 노드 자격 증명과 플랫폼 API 키를 교체하고, 앱, CI, 프런트엔드에 들어 있는 엔드포인트를 교체해야 합니다.
istyle @cosme 유출(회원 약 300만 명 정보 유출): 유출된 이름·주소·전화번호·피부 타입에 회원이 해야 할 일
istyle Inc.는 2026년 11월 2일 10월 28일 제3자에 의한 @cosme 무단 접근을 확인했으며 @cosme 공통 ID로 등록된 회원 정보의 일부가 유출되었다고 발표했습니다. 영향을 받은 사람은 약 300만 명이며, 접근 당시 회원이었다가 이후 @cosme를 탈퇴한 사람도 포함됩니다. 유출 항목은 사용자 ID(로그인에는 쓰이지 않음), 닉네임, 이름(한자와 가나), 우편번호, 주소, 전화번호, 이메일 주소, 성별, 생년월일, 피부 타입, 헤어 타입입니다. 회사는 현재로서는 로그인 비밀번호와 신용카드 정보는 포함되지 않았다고 밝혔습니다. 접근이 언제 어떻게 이루어졌는지는 공개되지 않았으며 제3자 보안 업체가 조사하고 있습니다. 회사는 일본 개인정보보호위원회에 보고했고, 영향을 받은 사람에게 cosme.net 도메인의 이메일로 개별 통지를 11월 6일까지 마칠 계획입니다. 회사가 아는 한 악용이나 2차 피해는 확인되지 않았다고 합니다. 이 사이트의 요약: @cosme 회원이거나 회원이었다면 cosme.net이 아닌 이메일, 문자, 전화의 링크는 열지 마세요. 이름, 주소, 피부 타입이 정확한 메시지도 공식 앱이나 직접 연 사이트에서 확인하세요. 회사는 현재 비밀번호가 포함되지 않았다고 하지만, 돌려 쓰는 비밀번호는 만일을 위해 바꾸세요.
노지마 온라인·중고 휴대폰 매입 사이트 무단 접근(약 700만 건): 이름·주소·전화번호·암호화된 비밀번호 유출, 회원이 해야 할 일
Nojima Corporation은 2026년 11월 2일 노지마 온라인 회원 관리 시스템에 무단 접근이 있었고 노지마 온라인과 중고 휴대폰 매입 사이트의 회원 정보가 유출되었다고 발표했습니다. 회사에 따르면 11월 1일 접근을 감지해 확인했고 같은 날 개인정보가 외부로 유출된 사실을 확인했습니다. 규모는 약 700만 건입니다(탈퇴한 회원은 포함되지 않음). 항목은 이름(한자와 가나), 생년월일, 성별, 우편번호, 주소, 전화번호, 로그인 ID, 암호화된 비밀번호, 이메일 주소입니다. 회사는 결제 정보를 보유하지 않으며 두 사이트에는 신용카드 정보가 없다고 밝혔습니다. 원인, 침입 기간, 악용이나 2차 피해 여부는 조사 중이며, 11월 2일 발표 시점에 두 사이트는 중단된 상태였습니다(11월 4일 기준 재개 공지는 보이지 않음). 회사는 유출된 정보가 사칭 이메일과 피싱에 악용될 수 있다고 경고하지만, 공지는 회원에게 비밀번호 변경을 요청하지 않습니다. 이 사이트의 결론: 노지마를 사칭하는 메시지의 링크는 열지 마세요. 노지마 비밀번호를 다른 곳에서도 쓴다면 그 다른 서비스에서 바꾸세요.
Prestige International 로드서비스 시스템 유출(중복 포함 최대 약 550만 건): 이름·차량 정보·일부 은행 계좌 정보·신용카드 번호 3건이 반출됨, 보험·리스 고객이 해야 할 일
Prestige International Co., Ltd.는 2026년 11월 2일, 거래처 기업을 대신해 로드서비스 접수와 출동 수배를 맡고 있는 그룹 회사 Prestige Core Solutions의 시스템이 무단 접근을 받아 고객의 개인정보가 외부로 반출되었다고 발표했습니다. 건수는 중복 포함 최대 약 550만 건이며, 중복을 제외한 실제 인원수는 확인 중입니다. 항목은 이름, 주소, 전화번호, 이메일 주소, 차량 정보(등록번호, 차대번호 등), 사고·고장 접수 정보이고, 일부 기록에는 은행 계좌 정보도 포함됩니다. 11월 2일 안내에서는 신용카드 정보 유출이 확인되지 않았지만, 11월 6일 2차 보고에서 회사는 반출된 정보에 신용카드 번호 3건이 포함되어 있음을 확인했다고 밝혔습니다(시스템의 접수 기록 일부에 기록되어 있었음). 회사는 해당 카드의 발행사에 연락했으며, 발행사와 협의한 뒤 해당 고객에게 연락하겠다고 밝혔습니다. 회사는 10월 29일 접근을 감지해 악용된 인증 정보를 무효화했지만 접근이 계속되어 10월 30일 시스템을 중지했습니다. 로드서비스는 대체 운용으로 계속되고 있습니다. Sony Assurance, AXA General Insurance(AXA Direct), ENEOS, KDDI(au 자전거 서포트)도 각자의 고객에 대한 안내를 따로 게시했습니다. 이 사이트의 결론: 보험이나 리스 계약 또는 au 자전거 서포트로 로드서비스를 이용한 사람은 자신의 제공처의 공식 안내를 직접 열어 확인하고, 자신의 차량이나 사고를 언급하는 전화·문자·이메일의 링크는 열지 마십시오. 신용카드를 사용했다면 명세서를 확인하고, 모르는 청구가 있으면 카드사에 연락하십시오.
Good Smile Company 공식 쇼핑몰 정보 유출(2,800명은 카드 정보 전체 유출 가능성, 402,466건은 카드 일부 정보, 최대 202건의 주문이 열람되었을 가능성): 그룹별로 해야 할 일
Good Smile Company Co., Ltd.는 2026년 10월 23일 공식 쇼핑몰에 제3자가 접근했다고 발표했고, 10월 30일의 4차 보고까지 피해 대상을 세 그룹으로 정리했습니다. B그룹(2,800명)은 2026년 10월 21일 13:55부터 10월 23일 7:00까지 설치되어 있던 악성 프로그램에 의해 결제 페이지에 입력한 카드 명의, 카드 번호, 유효기간, 보안 코드가 수집되었을 수 있습니다. A그룹(카드를 한 번이라도 등록한 사람, 402,466건이며 인원수는 확인 중)은 카드 번호 끝 4자리와 유효기간에 한정되며, 회사는 이것만으로 부정 사용될 가능성은 매우 낮다고 보고 있습니다. C그룹(5,356명)은 미발송 주문 데이터(이름, 주소, 전화번호, 이메일 주소, 주문 내용 등)이며, 실제로 열람되었을 수 있는 주문은 최대 202건입니다. 회사는 원인이 최근 보고된 PHP 취약점이 아니라고 밝혔습니다. 이 사이트의 결론: B그룹은 카드 발급사에 연락해 카드 번호 변경을 문의하세요. 이메일이 오지 않았더라도 쇼핑몰에 카드를 등록한 적이 있다면 대상 범위에 속하므로 명세서를 확인하세요. 회사를 사칭하는 예상치 못한 메시지의 링크는 열지 마세요.
PingCAP(TiDB Cloud) 무단 접근 및 정보 유출(일본 내 최대 약 5만 건): TiDB Cloud 조직 관리자가 계정 정보, SQL 편집기 기록, 지원 티켓에 대해 해야 할 일
PingCAP는 2026년 9월 9일부터 10월 7일(미국 시간) 사이에 제3자가 탈취한 자격 증명으로 내부 시스템에 들어와 데이터를 복사했고, 일본 내 최대 약 5만 건의 개인 정보가 유출된 것으로 확인되었다고 밝혔습니다(일본어 공지). 회사가 영향을 받은 것으로 확인한 항목(고객에 따라 다름)은 TiDB Cloud 계정 정보(사용자 이름, 이메일 주소, 조직과 프로젝트의 연결 관계, SQL 편집기 실행 기록과 오류, 지원 티켓을 뜻하는 문의 정보), 업무 및 청구 정보(이름, 이메일, 회사명, 전화번호, 주문, 지불 조건, 청구 설정), 그리고 TiDB Cloud API 키의 암호화된 Public Key 부분입니다. 회사는 신용카드 유출이나 TiDB Cloud 자체에 대한 무단 접근은 확인하지 못했고 Private Key는 노출되지 않았다고 밝혔습니다. 이 건수가 사람 수인지 레코드 수인지는 명시되지 않았습니다. 회사의 영어 공지에는 소스 코드가 취득되었다는 내용도 있습니다. 이 사이트의 결론: TiDB Cloud 조직 관리자는 API 키를 교체하고, 접근 로그와 멤버, 역할을 점검하고, SQL 편집기나 지원 티켓에 붙여 넣었을 수 있는 자격 증명을 변경하세요.
구인 사이트 MyBRANDS 부정 접근과 개인정보 유출 가능성(최대 약 13만 5천 계정): 이름, 연락처, 경력 정보가 걸린 구직자와 기업 담당자가 해야 할 일
일본의 iDA 주식회사는 2026년 10월 30일, 자사가 운영하는 구인 사이트 MyBRANDS의 서버 환경에 제3자가 부정 접근해 등록된 구직자와 기업 담당자의 정보가 외부로 유출됐을 가능성이 있다고 발표했다. 회사에 따르면 위탁업체가 사용하던 클라우드 접근 키가 10월 21일부터 22일 사이에 제3자에게 악용되었고, 10월 26일 데이터베이스 사본에서 데이터가 외부로 전송된 기록이 있음을 알게 되었다. 전송된 데이터의 내용은 확인할 수 없어, 회사가 보유한 모든 정보가 대상이라는 전제로 알리고 있다. 범위는 10월 30일 기준 탈퇴한 사람을 포함해 최대 약 13만 5천 계정이다. 정보는 이름, 이메일 주소, 전화번호, 프로필(경력 등), 로그인 비밀번호(변환된 값으로 보관)이며 등록 내용에 따라 다르다. 신용카드와 은행 계좌 정보는 보유하지 않아 포함되지 않았다. 이름, 이메일 주소, 전화번호, 주소는 암호화해 보관했으나 복호화 키도 함께 탈취됐을 가능성이 있다고 한다. 지금까지 악용(2차 피해)은 확인되지 않았다. 이 사이트의 결론: MyBRANDS와 같은 비밀번호를 쓰는 다른 서비스(기업 담당자는 사내 시스템도)의 비밀번호를 바꾸고, 채용 담당자나 스카우트를 자칭하는 연락은 메시지 속 링크나 번호가 아닌 공식 경로로 확인하라.
사가 대학 랜섬웨어 공격(재학생, 교직원, 졸업생의 개인정보 약 8만 명분과 환자 정보 유출 가능성): 이름, 주소, 비밀번호가 포함된 사람이 해야 할 일
일본의 국립대학인 사가 대학은 2026년 10월 30일, 9월 28일에 공표한 사무 정보 시스템의 랜섬웨어 피해와 관련해 환자 정보를 포함한 보유 개인정보가 학교 밖으로 유출됐을 가능성을 부정할 수 없음을 확인했다고 발표했다. 대학에 따르면 9월 24일 오전 8시 42분, 사무 부서가 사용하던 NAS(네트워크 접속 스토리지)에서 랜섬웨어로 보이는 피해를 확인했다. 이후 외부 전문 업체에 침입 경로와 범위의 조사를 의뢰했다. 해당 집단은 재학생, 교직원, 졸업생, 전 교직원, 관계자 등 약 8만 명이다. 항목은 이름, 생년월일, 성별, 주소, 전화번호, 이메일 주소, 비밀번호다. 환자 수는 아직 조사 중이며, 환자 정보는 요배려 개인정보(진료과, 질병 또는 부상 이름, 진료일 등)로 설명되어 있다. 비밀번호가 어떤 형태로 보관됐는지(암호화인지 해시인지)는 공지에 나와 있지 않다. 대학은 대학이나 관련 기관을 사칭한 수상한 이메일, 문자, 전화가 올 수 있다고 주의를 당부한다. 이 사이트의 견해: 대학이나 병원을 자칭하는 연락은 내용이 정확해도 직접 연 공식 사이트에서 확인하고, 대학 계정과 같은 비밀번호를 재사용했다면 바꿔라.
Chainalysis 보안 사고(2026년 10월–11월): 전체 이용자의 이름, 사용자명, 비밀번호 해시, 유효한 토큰이 노출됨, 고객이 해야 할 일
블록체인 분석 기업 Chainalysis는 2026년 10월 30일 보안 사고에 대한 공지를 게시했고 이후 계속 업데이트했습니다. 11월 4일 업데이트에서 회사는 전체 이용자의 이름, 사용자명, 비밀번호 해시, 유효한 토큰이 악의적인 행위자에게 노출됐다고 밝혔습니다. 조사 데이터에 접근했거나 귀속(attribution) 데이터가 조작됐다는 증거는 없다고 합니다. 같은 날 오전의 앞선 업데이트는 on-path 공격으로 일부 고객의 비밀번호가 노출됐으며, 영향을 받은 계정은 잠기고 재설정이 필요했다고 밝혔습니다. 회사는 KYT, 주소 스크리닝, 로그인 페이지를 중단했고, 11월 6일 KYT와 주소 스크리닝을 단계적으로 복구하기 시작했습니다. Reactor와 Data Solutions는 복구 날짜가 제시되지 않았습니다. 고객에게는 신뢰할 수 있는 IP 주소의 허용 목록 등록 요청, 비밀번호 재설정, API 키 교체를 요청하고 있습니다. 10월 30일 공지는 인증 자격 증명이나 세션 토큰에 접근한 증거가 없다고 했지만, 이후 업데이트는 토큰 노출을 설명하며 페이지는 이 차이를 설명하지 않습니다.
클럽투어리즘 무단 접근 및 개인정보 유출 가능성(약 432만 건): 이름, 주소, 전화번호, 긴급 연락처가 포함된 회원이 해야 할 일
일본의 여행사 클럽투어리즘(Club Tourism Co., Ltd.)은 2026년 10월 31일, 10월 30일 5시 45분에 외부로부터의 무단 접근을 감지했으며 인터넷 예약 시스템에 등록된 인터넷 회원의 정보가 외부로 유출되었을 가능성이 있다고 발표했습니다(제1보). 항목은 이름(한자와 가나), 국적, 성별, 생년월일과 나이, 주소, 전화번호, 이메일 주소, 회원 ID, 긴급 연락처입니다. 건수는 약 432만 건입니다. 로그인 비밀번호, 여권 정보, 신용카드 정보, 은행 계좌번호는 포함되지 않는다고 합니다. 인터넷 회원으로 등록한 적이 없는 사람의 정보는 해당되지 않으며, 이번 사고로 인한 구체적인 2차 피해는 확인되지 않았습니다. 회사는 서버를 격리하고 침입 경로를 특정해 수정했으며, 추가 피해 방지와 조사를 위해 웹사이트를 중단했고, 경찰에 상담하고 개인정보보호위원회와 감독 기관에 보고했다고 밝혔습니다. 이 사이트의 결론: 회사를 사칭한 전화, 이메일, 문자를 받으면 메시지 속 링크나 번호를 쓰지 말고, 공식 사이트나 지점, 안내문에 적힌 연락처로 확인하세요.
월드 자회사 틴 팬 앨리(보도상 RAGTAG 운영사) 개인정보 유출 가능성(총 약 120만 건): 이름, 주소, 전화번호가 유출되었을 수 있음, 회원이 해야 할 일
월드(World Co., Ltd.)는 2026년 10월 30일, 연결 자회사인 틴 팬 앨리(Tin Pan Alley Co., Ltd.)의 업무 서버에 제3자가 무단 접근했으며 서버에 저장된 회원 정보 일부가 유출되었을 가능성이 있다고 발표했습니다. 유출되었을 수 있는 회원 정보는 총 약 120만 건입니다(사람 수가 아니라 합계 건수). 항목은 이름, 주소, 전화번호, 생년월일, 성별, 이메일 주소입니다. 신용카드 등 결제 정보와 얼굴 데이터의 유출은 확인되지 않았다고 합니다. 접근은 10월 17일 14시 51분경에 일어났고, 10월 28일 12시 08분경에 감지되었으며, 같은 날 21시 36분까지 경로를 차단했습니다. 어떤 회원이 몇 명 해당되는지는 아직 확인 중이며, 준비되는 대로 회원에게 개별 이메일을 보낼 예정입니다. 보도에서는 틴 팬 앨리가 중고 의류 브랜드 RAGTAG 등을 운영한다고 하지만, 안내문 자체에는 서비스나 브랜드 이름이 없습니다. 이 사이트의 판단: 이름, 주소, 전화번호, 이메일이 함께 누군가의 손에 있다고 가정하고, 메시지 속 링크는 열지 말고, 직접 연 공식 사이트에서 확인하며, 비밀번호와 카드 번호는 절대 알려 주지 마세요.
Revolve 고객 계정 침해: 저장된 카드 번호와 유효기간에 접근됨(인디애나 법무장관 목록 기준 1,515,073명) — 고객이 해야 할 일
미국 패션 소매업체 Revolve는 The Record의 보도에 따르면 2026년 10월 29일 미국 증권 공시에서, 승인되지 않은 제3자가 자동화된 수단으로 이름, 연락처, 저장된 결제 카드 번호와 유효기간을 포함한 고객 계정 데이터에 접근했다고 밝혔습니다. 초기의 주 기록에는 텍사스 주민 127,200명처럼 주별 인원만 나와 있었습니다. 인디애나 법무장관의 데이터 침해 목록(2026년 11월판)에는 이제 Revolve Group, Inc가 통지일 10월 29일, 유출일 9월 11일, 인디애나 주민 10,534명, 전체 1,515,073명으로 게재되어 있습니다. SecurityWeek에 따르면 다른 다섯 개 주(아이오와, 매사추세츠, 사우스캐롤라이나, 텍사스, 버몬트)에 대한 통지를 합쳐도 약 197,000명에 그쳤습니다. 카드 보안 코드(CVV)가 관련되었는지는 우리가 읽은 자료에 나와 있지 않습니다. 이 사이트의 판단: Revolve 계정에 카드를 저장했다면 명세서에서 낯선 소액 결제를 살피고, 카드사에 재발급이 필요한지 물어보며, 주문 내역을 언급하는 메시지는 직접 확인하기 전까지 의심하세요.
바이낸스 암호화폐 탈취(약 63억 달러): 이용자 자금은 보전되나, 계정 보유자가 해야 할 일
바이낸스는 2026년 10월 29일 약 20:05 UTC에 핫월렛이 침해되어 무단 출금이 이어졌으며 추정 피해액은 약 63억 달러라고 밝혔습니다. 10월 31일 FBI는 북한이 60억 달러가 넘는 탈취에 책임이 있다고 발표하고, 탈취된 자산을 보유하고 있거나 보유했던 것으로 보는 628개 주소를 공개해 거래소 등에 차단을 요청했습니다. 바이낸스는 이용자 자금은 안전하며 손실은 자사가 흡수하겠다고 밝혔고(11월 1일 피해액의 약 95%를 이미 보충했다고 함), 약 30억 달러를 온체인에서 동결했다고 합니다. 첫 업데이트는 초기 조사 결과 침해된 DevOps 엔지니어의 노트북을 통해 공격자가 서비스 컨테이너에 접근해 무단 출금을 제출한 것으로 보인다고 했고, 두 번째 업데이트는 추가 조사에서 다른 침해 지점이 발견되었으며 지갑 개인 키 유출의 증거는 찾지 못했다고 밝혔습니다. 바이낸스의 업데이트 #4는 출금 1단계를 11월 1일 06:00–09:00 UTC로 예고했고, 바이낸스는 X 게시물에서 12:36 UTC까지 1단계의 15개 네트워크가 모두 재개되었다고 밝혔습니다. 나머지 네트워크와 자산은 아직 테스트 중이며 입금은 영향이 없습니다. 11월 2일 업데이트 #5에서 바이낸스는 토큰 10종에 대한 전체 영지식 준비금 증명(Proof of Reserves)이 완료되었고 다음 출금 단계는 11월 3일로 예정되어 있다고 밝혔습니다. 11월 3일 업데이트 #6에서 바이낸스는 그날 04:00 UTC부터 더 많은 자산의 출금을 재개하며 보안 점검이 끝나는 대로 순차적으로 진행한다고 밝혔습니다. 사후 분석은 아직 나오지 않았습니다. 이 사이트의 결론: 지금까지 공개된 내용으로는 거래소 자체 지갑에서의 탈취이며 바이낸스는 고객 데이터를 영향받은 항목으로 기재하지 않았으므로, 계정 보유자의 주된 위험은 가짜 고객 지원, 가짜 환불, 가짜 복구 메시지입니다. 바이낸스는 직접 만든 즐겨찾기나 공식 앱으로만 열고, 시드 문구, 개인 키, 인증 코드는 절대 공유하지 말고, 2단계 인증을 켜세요.
DreamHost 보안 사고(2026년 10월): File Manager를 통해 FTP·SFTP 로그인 정보 노출, 웹메일 인증 정보도 탈취, 계정 소유자가 해야 할 일
2026년 10월 29일 DreamHost는 10월 23일 웹 기반 File Manager(files.dreamhost.com)를 실행하는 서버에 대한 무단 접근을 발견했다고 밝혔습니다. 공격자는 File Manager가 사용하는 서드파티 소프트웨어의 취약점을 악용해 대략 8월부터 10월 23일까지 File Manager에 로그인한 사용자의 FTP/SFTP 사용자 이름과 비밀번호를 얻었습니다. 공격자는 일부 웹메일 시스템에도 접근해 제한된 수의 웹메일 사용자의 로그인 인증 정보를 얻었고, 소수의 경우 메일함 내용이 열람되었을 수 있어 DreamHost가 해당 고객에게 개별적으로 연락하고 있습니다. DreamHost는 제어 패널 로그인과 결제 정보에 접근한 증거는 찾지 못했으며 카드 번호 전체는 저장하지 않는다고 밝혔습니다. 영향은 이메일 및 FTP/SFTP 계정의 약 10%를 훨씬 밑돈다고 하며 건수는 밝히지 않았습니다. 캘리포니아주 법무장관에 통지를 제출했고(11월 2일 보고), 샘플 서한에는 1년간의 신원 도용 보호가 제시되어 있습니다. 10월 23일부터 예방 조치로 일부 비밀번호를 재설정했고, 해당 이메일·FTP·SFTP 사용자는 계정 소유자가 패널에서 새 비밀번호를 설정할 때까지 로그인할 수 없습니다. 이 사이트의 판단: 8월 이후 File Manager를 썼다면 재설정 안내를 받지 않았더라도 FTP/SFTP 비밀번호를 바꾸고, 도구에 저장된 비밀번호를 고치고, 이메일 전달·필터와 사이트 파일에 알 수 없는 변경이 없는지 확인하세요.
ETS 캘리포니아 학생 데이터 유출: 장애·504·시험 데이터 복사 — 가족이 해야 할 일
주와 계약해 캘리포니아 주 시험(CAASPP와 ELPAC)을 운영하는 비영리 단체 Educational Testing Service(ETS)는 캘리포니아주 교육부(CDE)의 지시에 따라 2026년 10월 16일부터 학생과 가족에게 통지를 시작했습니다. ETS의 데이터 유출 통지(Notice of Data Breach)에 따르면, 권한 없는 제3자가 2026년 5월 22일부터 9월 18일 사이 여러 차례 유출된(compromised) 로그인 자격 증명을 사용해, ETS가 CDE와 시험 정보를 주고받는 SFTP 사이트에 접근하고 학생 정보가 담긴 파일을 복사했습니다. ETS는 9월 25일에 이 활동을 확인했습니다. 통지는 캘리포니아 학생의 정보(직전 3개 학년도에 재학한 모든 학생을 포함하되 이에 한정되지 않음)가 열람·복사됐다고 밝힙니다. 항목은 학생마다 다르지만 이름, 생년월일, 주소, 학교와 학년, 학생 식별 번호, 성별, 인종 또는 민족, 언어와 출신 국가, 장애와 504조 상태, 시험 편의 제공과 주된 장애 유형, 프로그램 대상 여부, 시험 결과가 포함될 수 있습니다. ETS는 사회보장번호, 금융 계좌와 카드 정보, 비밀번호, 부모나 보호자 정보는 관련되지 않았다고 밝혔습니다. 인원 수는 공개되지 않았습니다. ETS는 Experian IdentityWorks를 2년간 무료로 제공합니다. 이 사이트의 판단: 캘리포니아 공립학교의 현재·과거 학생 가족은 통지가 자신에게 해당한다고 보고, 편지의 코드로 등록하며, 아이의 학교나 시험을 언급한다는 이유만으로 전화나 메시지를 믿지 마세요.
Genesys 내부 시스템 침해(2026년 10월): 고객 연락처가 담긴 시스템에 무단 접근, 플랫폼은 영향 없음, 고객사가 해야 할 일
2026년 10월 19일, 컨택센터 플랫폼 Genesys Cloud를 제공하는 Genesys는 허가받지 않은 제3자가 관련된 사이버보안 사고를 발표했습니다. 회사가 이를 파악한 것은 10월 16일입니다. 조사 결과 제3자가 학습 관리 시스템(LMS)과 고객 관계 관리(CRM) 플랫폼을 포함한 일부 내부 업무 시스템에 접근할 수 있었던 것으로 드러났으며, 회사는 이 시스템들의 일부 정보가 허가 없이 접근되었거나 다운로드되었다(또는 둘 다)는 것을 확인했습니다. 이 시스템들에는 기존 고객과 잠재 고객의 이름, 업무용 이메일 주소, 전화번호, 직책, 회사와 계정 정보, 고객과의 상호작용에 관한 정보 등 업무·계정 정보가 들어 있습니다. 회사는 Genesys Cloud, Genesys Engage, Genesys Engage Cloud 플랫폼이 침해되지 않았고, 통화 녹음과 분석 데이터를 포함한 플랫폼 내 고객·파트너 데이터에도 접근이 없었다고 밝혔습니다. 10월 23일에는 사고를 완전히 봉쇄하고 LMS 사용을 중단했다고 밝혔습니다. 영향을 받은 인원은 공개되지 않았습니다. 이 사이트의 견해: 벤더가 연락처를 보유하고 있는 담당자는 Genesys를 언급하며 비밀번호나 민감한 정보를 요구하는 예상치 못한 연락을 가짜로 취급하고, 평소 쓰는 창구로 확인하는 것이 좋습니다.
GETTIIS 회원 데이터 유출(회원 ID 317,971건): 유출된 항목과 회원이 해야 할 일
2026년 10월 19일, 일본의 Linkstation Inc.는 무단 접근으로 GETTIIS 회원 정보가 유출되었다고 발표했고, 10월 20일에는 항목별 건수를 담은 제2보를 공개했습니다. 회사에 따르면 10월 18일 약 0:00부터 7:00 사이에 제3자가 주최자용 공연 등록 서비스 Gettii-Lite의 프로그램 취약점을 악용해 GETTIIS 회원 데이터를 취득했습니다. 건수는 항목별이며 총 인원이 아닙니다: 회원 ID 317,971건, 해시된 비밀번호 311,451건, 이메일 주소 311,426건, 이름 309,759건, 전화번호 309,668건, 카드 관련 정보 29,515건(앞 4자리와 뒤 4자리, 카드 명의인 이름, 유효기간, 암호화됨), 성별 5,900건, 생년월일 5,192건, 우편번호 489건. 회사는 카드 번호 전체와 보안 코드는 저장하지 않으며 유출된 데이터만으로는 카드 결제에 사용할 수 없고 비밀번호는 해시로 저장되어 있었다고 밝혔습니다. 이 사이트의 결론: GETTIIS 비밀번호와 재사용한 다른 비밀번호를 바꾸고, 이름과 전화번호가 적힌 메시지를 의심하세요. 이 두 항목은 각각 약 310,000건이 유출되었습니다.
마쓰야 앱 관리 시스템 유출(2,377,127건 및 앱 회원): 이름, 전화번호, 배달 주소 유출, 회원이 해야 할 일
2026년 10월 30일, 일본의 소고기덮밥 체인 마쓰야푸즈 홀딩스 Co., Ltd.는 공식 마쓰야 앱(마쓰벤 넷, 모바일 오더, 마쓰벤 딜리버리)의 관리 시스템에 제3자가 무단으로 접근했으며 회원 데이터가 유출되었다고 발표했습니다. 회사는 10월 28일 침입과 유출을 확인했습니다. 마쓰벤 넷, 모바일 오더, 마쓰벤 딜리버리 이용자(2,377,127건)의 항목은 회원 ID, 배달 주소, 이름, 전화번호, 마쓰야 포인트입니다. 마쓰야 앱 회원(2,000건, 최대 3,000건 가능성)의 항목은 회원 ID, 도도부현, 이름, 전화번호, 생년월일, 이메일 주소, 암호화된 비밀번호, 마쓰야 포인트입니다. 회사는 신용카드 정보를 보유하지 않는다고 밝혔습니다. 원인과 침입 경위는 조사 중이며, 앱과 웹사이트 등 관련 서비스는 중단된 상태입니다. 이 사이트의 결론: 마쓰야를 사칭한 메시지의 링크는 열지 말고 직접 연 공식 장소에서만 확인하며, 앱 회원이라면 마쓰야 비밀번호를 다른 곳에서 재사용하지 마세요.
료힌케이카쿠(MUJI) 앱·온라인 스토어 해킹(최대 약 2,726만 건): MUJI 카드 번호 약 109만 건도 영향 — 이용자가 해야 할 일
10월 30일 1차 공지에 이어 MUJI를 운영하는 일본 소매업체 Ryohin Keikaku Co., Ltd.(료힌케이카쿠)는 2026년 11월 4일 2차 공지에서 범위가 더 넓다고 밝혔습니다. MUJI 앱 이용자뿐 아니라 앱을 쓴 적 없는 MUJI 온라인 스토어 회원도 해당하며, 탈퇴한 고객도 포함됩니다. 최대 약 2,726만 건의 이메일 주소, 생년월일, 성별, 회원 ID가 외부에서 접근됐을 가능성이 있고, 그중 약 52만 건은 이름, 주소, 전화번호도 포함합니다. MUJI 카드(Credit Saison 발급, 2021년 7월까지 가입) 회원 약 109만 건은 카드 번호 전체, MUJI 카드 ID, 생년월일이 해당하며, 카드 명의, 유효기간, 보안 코드는 포함되지 않는다고 합니다. 앱이나 온라인 스토어에 카드를 등록한 약 120건은 카드 번호의 앞 6자리와 뒤 2자리, 카드 명의자명이 해당합니다. 회사는 다크웹으로의 유출이나 악용 피해는 확인하지 못했다고 하며, 영향을 받은 고객에게 이메일이나 우편으로 개별 연락할 예정입니다. 11월 6일에는 온라인 스토어를 일시 중단했다고 발표했습니다. 이 사이트의 견해: MUJI 카드를 가지고 있다면 카드 명세서를 확인하고 모르는 사용 내역은 Credit Saison에 문의하세요. MUJI나 카드사를 사칭한 메시지나 전화는 직접 연 공식 앱·사이트나 카드 뒷면의 번호로 확인하세요.
Paradigm Healthcare Services 데이터 유출: Medi-Cal 회원 번호와 생년월일 열람 가능성 — 회원이 해야 할 일
캘리포니아주 보건의료서비스부(DHCS)를 위해 Medi-Cal 청구를 처리하고 Medi-Cal 회원 식별 번호를 보관하는 제3자 서비스 제공업체 Paradigm Healthcare Services는 데이터 유출 통지(Notice of Data Breach)를 게시하고 2026년 9월 14일자 편지를 보냈습니다. Paradigm에 따르면 회사는 2025년 10월 13일 자사 로컬 네트워크에 대한 무단 접근을 알게 되었고, 일부 시스템을 오프라인으로 전환했으며 법 집행 기관에 알렸습니다. 2026년 8월 18일에는 일부 개인의 보호 대상 건강 정보가 담긴 파일이 2025년 10월 8일부터 10월 15일 사이 권한 없는 제3자에게 열람됐을 수 있다고 판단했습니다. 열람됐을 수 있는 정보는 이름, 생년월일, 성별, Medi-Cal 회원 식별 번호입니다. Paradigm은 Student Health Network 플랫폼은 영향을 받지 않았으며, 정보가 사기나 신원 도용에 사용됐다는 증거는 없다고 밝혔습니다. 통지에는 인원 수가 없습니다. 언론 보도는 약 970,000명으로 전합니다(SecurityWeek는 Paradigm의 미국 보건복지부 보고를 인용했고, HIPAA Journal은 970,403명으로 보도). 이 사이트의 판단: 편지를 받은 Medi-Cal 회원은 급여 명세서에 받지 않은 서비스가 없는지 확인하고, Medi-Cal 번호와 생년월일을 안다는 이유로 전화한 사람을 진짜로 여기지 마세요.
Photon Health 개인정보 유출(분석 도구 취약점): 이름, 주소, 전화번호, 생년월일, 처방 정보 — 영향을 받은 환자가 해야 할 일
2026년 10월 8일 미국의 전자 처방 플랫폼 Photon Health는 권한 없는 제3자가 자사 인프라에서 운영하는 데이터 분석 도구(Metabase)의 이전에 알려지지 않은 취약점을 악용해 일부 데이터에 접근했다는 공지를 게시했습니다. Photon은 8월 21일에 사고를 알게 되었고 9월 4일에 데이터 검토를 마쳤다고 밝혔습니다. 항목은 이름, 주소, 전화번호, 생년월일, 처방 의약품 정보이며 사람마다 다릅니다. Photon은 사회보장번호와 금융 정보는 수집하거나 보관하지 않으므로 영향이 없으며, 악용의 증거도 없다고 밝혔습니다. Photon은 영향을 받은 사람의 수를 공개하지 않았습니다. 별도로 소아 원격 진료 회사인 Blueberry Pediatrics는 자사의 Metabase 환경 침해로 340,915명이 영향을 받았다고 오리건주 법무장관에게 보고했으며, 항목에는 건강보험 정보와 진료 기록이 포함됩니다. 이 사이트의 견해: 실제 이름, 주소, 전화번호와 결합된 건강 관련 데이터이므로 처방, 보험, 약국 계정에 관한 그럴듯한 전화나 메시지가 올 수 있습니다. 응하지 말고, 직접 찾은 번호로 다시 전화하세요.
Ricardo(스위스 마켓플레이스) 정보 유출, 약 89만 계정: 이름·주소·전화번호 노출, 이용자가 해야 할 일
2026년 10월 9일, 스위스 온라인 마켓플레이스 Ricardo를 운영하는 SMG Swiss Marketplace Group은 Ricardo 플랫폼에서 주문에 연결된 개인 데이터에 대한 무단 접근이 있었다고 발표했습니다. Ricardo는 10월 7일 서버에서 의심스러운 활동을 감지하고 즉시 기술적 조치를 시작했으며, 회사는 접근을 허용한 보안 취약점이 완전히 해결되었다고 밝혔습니다. 조사 결과 약 89만 개 사용자 계정과 관련된 개인 데이터가 노출된 것으로 확인되었습니다. 노출된 데이터는 이름, 우편 주소, 전화번호, 그리고 기업 사용자의 경우 회사명으로 한정되며, 이메일 주소와 비밀번호는 영향을 받지 않았다고 합니다. Ricardo는 영향을 받은 이용자에게 직접 알리고 있으며, 스위스 연방 데이터 보호·정보 위원(FDPIC)에 신고했습니다. 취약점의 내용과 접근 기간은 공개되지 않았습니다. 이 사이트의 견해: 주소와 전화번호가 알려져 있다고 전제하고, Ricardo나 거래 상대를 자칭하는 우편, 전화, SMS, WhatsApp 메시지에 카드 정보나 은행·TWINT 로그인 정보를 알려주지 마세요.
야쿠르트 본사 웹사이트 해킹(약 4만 건): 이름, 주소, 전화번호, 이메일, 문의 내용 유출 — 영향을 받은 사람이 해야 할 일
Yakult Honsha Co., Ltd.는 2026년 10월 26일 웹사이트에 대한 무단 접근을 확인하고 같은 날 사이트 기능을 중단했습니다. 10월 30일의 제2보에서 웹사이트를 통해 제공된 약 4만 건의 개인정보가 유출된 것을 확인했다고 밝혔습니다. 해당 그룹과 항목은 다음과 같습니다. 이메일 문의 양식 이용자(이름, 성별, 연령대, 주소, 전화번호, 이메일 주소, 문의 내용), 급식 사이트 "Tanoshii Kyushoku" 회원(이름, 업종, 근무처, 근무처 주소와 전화번호, 이메일 주소, 암호화된 비밀번호 등), 취재 문의 양식 이용자, 그리고 이들 문의를 담당한 회사 직원(이름). 회사는 웹사이트에 신용카드나 은행 계좌 정보는 보관하지 않았다고 밝혔습니다. 건수의 내역, 영향을 받은 기간, 원인은 공개되지 않았습니다. 일본 개인정보보호위원회에 1차 보고를 했고 경찰에 상담했다고 합니다. 이 사이트의 견해: Yakult를 사칭하는 메시지의 링크는 열지 말고, 급식 사이트 회원이라면 같은 비밀번호를 쓴 다른 서비스의 비밀번호를 바꾸세요.
Aena EC 앱 무단 접근(최대 817,215명의 마이페이지 데이터): 열람되었을 수 있는 이름, 주소, 배송 정보 및 회원이 해야 할 일
일본의 오프프라이스 소매 체인 Aena Co., Ltd.는 2026년 10월 14일, EC 앱의 회원 마이페이지 데이터가 무단으로 열람되었을 수 있다고 발표했습니다. 회사에 따르면 시스템 로그 분석에서 10월 13일 5:58에 발견했으며, 최대 817,215명의 회원(정회원)이 영향을 받았을 수 있습니다. LINE 회원과 Amazon, Rakuten 등을 통해 구매한 고객은 영향이 없습니다. 열람되었을 수 있는 정보는 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별, 직업, 배송지 주소, 이름과 전화번호(제3자의 것 포함), 즐겨찾는 매장과 메일 설정, 그리고 등록된 신용카드의 끝 4자리, 유효기간, 카드 명의자 이름입니다. 회사는 카드 번호 전체와 보안 코드는 보유하지 않으며, 비밀번호는 열람되거나 유출되지 않았고, 회원 정보의 변경, 탈퇴, 구매 완료가 없었음을 확인했다고 밝혔습니다. 원인은 무단 접근을 통한 기계적인 연속 접근이라고 하며, 조사는 계속되고 있습니다. 회사는 EC 사이트에 대한 접근을 차단했고, 중단되었던 EC 앱은 10월 19일(월) 정오에 재개되었으며 재시작 후 처음 실행하면 비밀번호 재설정 화면이 나타납니다. 이 사이트의 결론: 앱에서 비밀번호를 재설정하고, 재사용한 다른 서비스도 변경하며, 배송이나 주문 메시지는 링크나 번호를 쓰지 말고 확인하세요.
ASOS 고객 데이터 유출과 가짜 앱 알림: 이름과 연락처 접근, 생년월일과 검색 기록은 보도 — 고객이 해야 할 일
2026년 10월 6일, ASOS 고객은 ASOS 앱을 통해 무단 푸시 알림을 받았습니다. ASOS는 무단 접근한 제3자가 고객과 소통하는 데 사용하는 서드파티 플랫폼에 접근했다고 밝혔습니다. 고객의 이름과 연락처에 접근했을 수 있으며, 결제 카드 정보나 계정 비밀번호는 영향을 받지 않았다고 판단한다고 밝혔습니다. BleepingComputer가 보도한 이후 고객 안내에서 ASOS는 직원의 로그인 자격 증명이 신뢰할 수 있는 연락처를 사칭하는 방식으로 입수되었다고 밝혔습니다. BBC는 공격자가 제공한 샘플에 고객 번호, 생년월일, ASOS 웹사이트에서 한 검색도 포함되어 있었다고 보도했으며, ASOS는 이 목록을 확인하지 않았습니다. ASOS는 영향을 받은 고객 수를 공개하지 않았습니다. 이 사이트의 결론: 이름이나 과거 검색어를 인용하는 메시지가 ASOS에서 온 것이라는 증거는 아닙니다. 링크를 누르지 말고 ASOS 앱이나 웹사이트를 직접 여세요.
베네핏 원 'Toku-Kai' 위탁처 침해(29,465명): 이름·생년월일·이메일 주소 유출, 회원이 해야 할 일
2026년 10월 28일 Benefit One Inc.는 위탁처가 운영하는 시스템에 무단 접근이 있었으며, Credit Saison Co., Ltd. 카드 회원용 서비스 Toku-Kai의 회원(이미 탈퇴한 사람 일부 포함) 29,465명의 개인정보가 유출되었다고 발표했습니다. 접근은 10월 14일부터 20일까지 간헐적으로 이루어졌고, 위탁처가 10월 21일 그 일부를 감지해 Benefit One에 보고했으며, Benefit One은 같은 날 서비스를 중단했습니다. 유출된 항목은 이름, 후리가나(이름의 읽는 법), 생년월일, 성별, 우편번호, 이메일 주소, 고객 번호, 가입·탈퇴 정보, 회비 결제 처리에 쓰이는 관리 번호입니다(회원마다 항목이 다름). 이와 별도로, 결제 시스템 연동에 쓰는 Benefit One의 인증 관련 정보 일부가 유출되었을 수 있으며, 이 정보는 10월 26일 변경되었고 이번 사건에 기인한 부정 결제는 확인되지 않았습니다. Benefit One은 카드 번호, 유효기간, 보안 코드는 해당 시스템에 보관하지 않으므로 유출되지 않았다고 밝혔습니다. 회사는 Credit Saison의 시스템에서 유출된 것이 아니라고 합니다. 원인과 최종 인원수는 조사 중입니다. 이 사이트의 결론: Benefit One의 공지는 카드 번호 변경을 요청하지 않지만 이름, 생년월일, 이메일 주소가 유출되었으므로, 회사나 제휴사를 사칭한 메시지의 링크는 열지 말고 직접 연 공식 사이트에서 확인하세요.
Bitget 암호화폐 도난(약 3억 8,750만 달러): 고객 잔액은 보호되는가, 계정 보유자가 해야 할 일
2026년 9월 24일(UTC), 암호화폐 거래소 Bitget은 핫월렛과 웜월렛 일부에서 무단 이체를 감지했습니다. 처음에는 약 3억 5,160만 달러로 추정했고, 9월 25일 약 3억 8,750만 달러가 공격자가 통제하는 주소로 전송된 것을 확인했습니다. Bitget은 고객 계정 잔액은 영향을 받지 않았고, 손실은 사용자 보호 기금(User Protection Fund) 범위 내에 있으며, 콜드월렛은 건드리지 않았고, 진입점은 서드파티 보안 제품의 제로데이 취약점이었으며 현재 조치가 완료되었다고 밝혔습니다. 출금은 중단되었다가 단계적으로 재개되었고, Bitget의 페이지에 따르면 10월 2일 완전히 복구되었습니다. Bitget은 영향을 받은 제품의 이름이나 전체 근본 원인 보고서를 공개하지 않았습니다. 이 사이트의 결론: 이번 사건은 거래소 자체 지갑에서의 도난이지 고객 데이터 유출이 아니므로, 지금 계정 보유자의 주된 위험은 가짜 '복구'와 '보상' 메시지입니다. 2단계 인증을 켜고, Bitget은 직접 만든 북마크로만 열고, 시드 문구, 개인 키, 인증 코드는 절대 공유하지 마세요.
빗썸 내부 그룹웨어 무단 접근(고객 844명 개인정보 노출): 신분 번호·계좌 번호 등, 고객이 해야 할 일
한국의 가상자산 거래소 빗썸은 2026년 10월 27일 권한 없는 외부인이 내부 모바일 그룹웨어 시스템에 비정상적으로 접근한 것을 발견했고, 10월 29일 발표를 전한 한국 언론 보도에 따르면 고객 개인정보가 노출된 것을 확인했습니다. 관련된 고객 6,444명의 기록 중 5,600건은 외부에서 읽을 수 없는 DRM 암호화 파일이었고, 고객 844명의 정보가 노출되었습니다. 항목은 고객마다 다르며 이름, 휴대전화 번호, 이메일 주소, 주민등록번호, 운전면허 번호, 계좌 번호, 신분증 사본이 포함됩니다. 직원 715명도 영향을 받았습니다. 빗썸은 이 그룹웨어가 거래소 계정 및 자산 정보와 별개이며, 거래소 서비스나 고객 데이터베이스에 대한 직접적인 침입은 확인되지 않았다고 밝혔습니다. 이 사이트의 결론: 신분 정보나 계좌 정보를 언급하는 전화, 문자, 이메일은 의심하고, 일회용 코드나 비밀번호는 절대 알려주지 말며, 빗썸의 공지는 직접 연 공식 앱이나 사이트에서 확인하세요.
Covered California 에이전트 데이터 유출: 피싱 사고로 이름, 면허 번호, 사회보장번호 또는 FEIN 노출 — 에이전트가 해야 할 일
캘리포니아의 건강보험 마켓플레이스 Covered California는 캘리포니아주 법무장관에게 데이터 유출 통지를 제출했습니다(2026년 10월 16일 보고). 에이전트에게 보낸 통지는 2026년 5월 13일 무단 개인이 피싱 수법으로 에이전트에 관한 정보에 접근했고 에이전트 스프레드시트에 접근했다고 밝힙니다. 스프레드시트에는 각 에이전트의 이름, 에이전시 이름, 면허 번호, FEIN 또는 사회보장번호, 에이전시 내 역할이 포함되었습니다. 통지는 영향받은 에이전트 수를 밝히지 않고, 가입자(소비자) 데이터는 언급하지 않으며, 신용 모니터링도 제공하지 않습니다. Covered California는 3대 신용평가 기관에 사기 경보를 설정하고 법무장관의 Breach Help 팁을 따르라고 권고합니다. 이 사이트의 견해: 면허를 가진 에이전트와 에이전시 직원은 지금 사기 경보나 신용 동결을 설정하고, 자신의 면허 번호나 에이전시를 언급하는 예상치 못한 메시지를 의심하며, 통지에 나온 연락처를 이용하세요.
Double Counter 디스코드 봇 데이터 유출(디스코드 ID 약 2,800만 건, 이메일 100만 건): 유출된 것과 회원 및 서버 관리자가 해야 할 일
디스코드 인증 봇 Double Counter의 운영사 Tellter SAS는 2026년 10월 5일 사고 보고서를 게시했습니다(10월 21일 버전 2.0). 보고서에 따르면 공격자는 10월 4일 호스팅 업체의 폐기된 서버에서 인터넷에 공개되어 있던 분석 도구 Metabase를 통해 침입했고, 같은 서버에 저장되어 있던 자사 클라우드용 자격 증명 2개를 사용했습니다. 디스코드 사용자 ID와 사용자 이름 약 2,800만 건, 대략적인 위치가 포함된 IP 주소 2,700만 건, 해시된 기기 정보 2,500만 건, 이메일 주소 100만 건이 영향을 받았으며, 앞의 두 항목은 일부만 복사되었습니다. 운영사 결제 제품의 고객 기록 약 5,000건도 복사되었습니다. 디스코드 비밀번호는 봇이 받은 적이 없고 카드 번호 전체도 영향을 받지 않았습니다. 공격자는 봇의 토큰을 사용해 약 50개의 대형 서버에 다른 디스코드 서버의 초대 링크를 게시하기도 했습니다. 운영사는 10월 5일 프랑스 개인정보 보호 당국에 통지했고, 10월 21일부터 약 100만 명에게 이메일을 발송하기 시작했습니다. 이 사이트의 결론: 회원은 디스코드 계정을 바꿀 필요는 없지만 자신의 ID, 이메일, IP 주소를 이용한 메시지를 예상해야 하며, 서버 관리자는 10월 4일에 올라온 초대 게시물을 삭제해야 합니다.
ENGIE 고객 정보 유출(프랑스): 제휴사 영업 도구를 통해 연락처와 계약 번호 노출, 은행 정보는 없음, 고객이 해야 할 일
프랑스의 에너지 공급사 ENGIE는 2026년 10월 말 프랑스 고객에게 이메일을 보내, 일부 제휴사가 고객을 발굴하고 상품을 판매하는 데 쓰는 도구가 공격(사이버 악의 행위로 보도된 표현)을 받았다고 알리기 시작했습니다. ENGIE의 고객 이메일을 인용한 보도에 따르면(BleepingComputer에 대한 ENGIE의 성명 자체에는 항목이 나열되지 않았음), 노출된 데이터는 성명, 우편 주소와 이메일 주소, 전화번호, 전기 공급 지점(PDL) 또는 가스 계량 지점(PCE) 참조 번호, 고객 ID, 계약 번호입니다. ENGIE는 은행 정보는 영향을 받지 않았고, 자사 IT 시스템은 침해되지 않았으며, 공격자의 플랫폼 접근을 차단했고, 당국에 알렸다고 밝혔습니다. 영향을 받은 고객 수와 관련된 제휴사는 공개되지 않았습니다. ENGIE 자체 웹사이트에서는 이 건에 대한 공지를 찾지 못했으므로, 이 글은 여러 매체가 전한 ENGIE의 성명에 의존합니다. 이 사이트의 견해: 계약 번호나 계량기 번호를 들먹이며 전화하거나 편지를 보내는 사람에게 IBAN, 카드 번호, 코드를 알려주지 말고, 전화를 끊은 뒤 청구서에 적힌 번호로 직접 거세요.
플로리다 교육부 학자금 지원 웹사이트 유출(약 490만 명): 사회보장번호가 노출되었을 수 있음 — 해야 할 일
2026년 10월 29일, 플로리다 교육부는 직원들이 10월 19일에 플로리다 학생 학자금 지원 웹사이트(FloridaStudentFinancialAidSG.org)에 대한 범죄적 무단 접근을 알게 되었다고 발표했습니다. 교육부는 이번 사고가 해당 웹사이트에 한정된 것으로 보고 있으며, 약 490만 명이 영향을 받았을 수 있다고 밝혔습니다. 노출되었을 수 있는 정보에는 사회보장번호, 이름과 성, 생년월일, 집 주소, 전화번호(휴대전화 번호 포함), 이메일 주소, 성별 식별 코드(M 또는 F)가 포함될 수 있습니다. 모든 사람이 반드시 영향을 받은 것은 아닙니다. 과거에 플로리다에서 학자금 지원을 신청한 적이 있는 사람은 영향을 받았을 수 있다고 합니다. 교육부는 사이버 보안 대응 절차를 가동했고, 플로리다주 법무장관실에 통지했으며, 플로리다 디지털 서비스(Florida Digital Service) 및 플로리다 법집행부(Florida Department of Law Enforcement)와 협력하고 있다고 밝혔습니다. 현재 학자금 지원, 등록금 납부, 장학금·보조금·대출 자격에는 영향이 없다고 합니다. 원인은 공개되지 않았습니다. 이 사이트의 견해: 사회보장번호는 바뀌지 않으므로 신용 보고서를 확인하고, 사기 경보(fraud alert) 또는 신용 동결(credit freeze)을 고려하고, 이름·이메일·전화번호를 사용해 이번 사고를 언급하는 메시지는 의심하세요.
Hana-cupid 회원 데이터 유출(최대 4,238,242건): 사용자 ID, 암호화된 비밀번호, 이메일 주소 유출 및 회원이 해야 할 일
Hana-cupid Co., Ltd.는 2026년 10월 28일, 온라인 꽃집 서비스 Internet Hana-cupid와 Business Hana-cupid에 대한 제3자의 무단 접근으로 회원 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면 제3자가 10월 14일(수)부터 10월 15일(목) 사이에 관리 시스템에 무단 접근했고, 회사는 조사 중 10월 19일(월)에 회원 정보 유출을 확인했습니다. 건수는 4,238,242건(영향을 받았을 가능성이 있는 고객)입니다. 유출된 항목은 사용자 ID(로그인 ID), 비밀번호(그대로는 사용할 수 없는 암호화된 형태이며 FAQ에서는 해시 처리라고 부름), PC 이메일 주소, 휴대전화 이메일 주소입니다. 회사는 이름, 성별, 생년월일, 주소, 전화번호, 신용카드 번호, 회사명, 부서명, 배송지 정보는 유출되지 않았다고 밝혔습니다. 대상은 회사의 공식 온라인 숍(i879.com, i879.com/biz/)에 이메일 주소를 등록한 회원뿐이며, 외부 쇼핑몰을 통한 주문, 이메일 주소가 없는 전화 주문, Hana-cupid 회원 꽃집에서의 구매는 대상이 아닙니다. 회사는 신용카드 정보를 보유하지 않으며 카드를 정지하거나 재발급할 필요는 없다고 밝혔습니다. 2차 피해는 확인되지 않았고, 10월 28일부터 영향을 받은 회원에게 개별 이메일을 보내기 시작했으며, 개인정보보호위원회와 경찰에 보고했습니다. 원인은 밝혀지지 않았으며 회사는 외부 전문 기관과 조사하고 있습니다. 금전적 보상이나 환불은 계획하지 않는다고 밝혔습니다. 이 사이트의 결론: 영향을 받았을 가능성이 있다면 비밀번호를 변경하고, 같은 ID와 비밀번호를 재사용한 다른 서비스도 변경하세요. Hana-cupid나 금융기관을 사칭하는 연락은 그 안의 링크가 아니라 직접 연 공식 사이트에서 확인하세요.
iRhythm 데이터 유출(HHS 등재 8,179,772명): Zio 환자 이름, 보험 번호, 기기 일련번호 유출 — 환자가 해야 할 일
착용형 심장 모니터 Zio를 만드는 미국 iRhythm Technologies는 2026년 6월 15일 미국 증권거래위원회(SEC)에 외부에서 호스팅되는 일부 업무용 애플리케이션에 대한 무단 접근을 감지했으며 데이터가 유출되었다고 보고했습니다. 2026년 10월 2일자 안내에서 회사는 조사 결과 데이터가 2026년 6월 3일부터 6월 8일 사이에 접근 및 다운로드되었고, 영향을 받은 사람들에 대한 통지가 10월 2일에 시작되었다고 밝혔습니다. 데이터에는 환자 이름, 연락처(주소, 이메일 주소, 전화번호), 환자 계정 번호, 기기 일련번호, 보험 번호, 서비스 일자, 생년월일이 포함되며, 회사는 이것이 HIPAA상 보호 대상 건강 정보에 해당한다고 밝혔습니다. iRhythm은 자체 총계를 발표하지 않았습니다. 이번 사고는 SecurityWeek와 CyberInsider가 2026년 10월 29일 보도한 바에 따르면 미국 보건복지부(HHS) 유출 포털에 8,179,772명으로 등재되었습니다. 앞서 주(州) 신고에서는 텍사스 298,647명, 사우스캐롤라이나 69,526명이 기재되었습니다. 회사는 자사 제품, 임상 또는 의료기기 시스템에 대한 영향은 발견되지 않았으며, 결제 카드나 금융 계좌 정보는 저장하지 않는다고 밝혔습니다. 이 사이트의 견해: Zio 환자였다면 이름과 보험 정보를 사용한 그럴듯한 메시지가 올 것으로 예상하고, 보험사 명세서를 확인하며, 무료 신용 동결을 고려하세요.
JAL, JTA, ANA, 대한항공, 아시아나항공 예약 시스템 업체에 대한 무단 접근(JAL/JTA 고객 약 92,000명, ANA 약 37,800명): 예약 번호, 이름 등과 여행객이 해야 할 일
Japan Airlines(JAL)와 Japan Transocean Air(JTA)는 2026년 10월 28일, 10월 23일에 자사 여객 서비스 시스템의 업체인 해외 기업으로부터 그 업체의 시스템에 대한 무단 접근으로 일부 예약 정보가 외부에서 열람된 흔적이 있다는 연락을 받았다고 발표했습니다. 기간은 2023년 8월 10일부터 2026년 9월 23일까지입니다. 약 90,000명은 예약 번호, 이름, 탑승일, 노선, 좌석 등급이 관련되었고, 약 2,000명은 이메일 주소, 전화번호, 여권 번호, 국적, 마일리지 번호, 항공권 번호, 좌석 번호 등도 열람되었습니다. 합계는 약 92,000명입니다. JAL과 JTA는 10월 30일 안내를 업데이트해 해당 고객에게 예약 시 받은 이메일 주소로 연락했다고 밝혔습니다. All Nippon Airways(ANA)는 10월 30일, 같은 기간에 예약한 약 37,800명(그중 약 1,700명은 여권 번호와 마일리지 번호 등 포함)의 일부 예약 정보가 열람된 흔적이 있다고 발표했습니다. 한국에서는 대한항공과 아시아나항공이 10월 23일 같은 회사의 예약 시스템에서 일부 고객의 예약번호가 유출된 정황이 있다고 공지했으며, 로그인 인증정보를 이용한 비인가 접근이 원인이고 2023년 8월부터 2026년 9월 사이에 발생한 것으로 추정된다고 밝혔습니다(두 회사 모두 인원 수는 공개하지 않음). JAL, JTA, ANA는 신용카드 정보와 비밀번호는 포함되지 않았다고 밝혔습니다. 이 사이트의 결론: 항공사를 사칭한 메시지가 예약 번호, 이름, 항공편을 정확히 알고 있더라도 그 안의 링크나 번호는 쓰지 말고 공식 앱이나 사이트에서 확인하세요. 여권 번호나 마일리지 번호가 포함되었을 수 있다면 마일리지 계정 비밀번호를 변경하고 사용 내역을 확인하세요.
소니생명 무단 접근으로 계약 데이터 유출(소니생명 자사 계약 약 290만 건, 메디케어생명 계약 약 385,000건): 이름, 주소, 증권 번호 등과 계약자가 해야 할 일
Sony Life Insurance Co., Ltd.(소니생명)는 2026년 11월 9일 제2보에서, 자사 시스템에 대한 무단 접근으로 인한 정보 유출을 새로 확인했다고 발표했습니다. 자사 보험 계약의 개인 정보(증권 번호, 이름, 주소, 전화번호 등)는 이미 종료된 계약의 기록을 포함해 약 290만 건, 영업 대리인(판매 에이전트)의 이메일 주소와 대리인 번호는 약 780건, 자사 직원의 이메일 주소와 직원 번호는 약 12,500건입니다. 건강 상태나 병력 같은 민감한 개인 정보, 마이넘버, 신용카드 정보, 계좌 정보, 계약자의 이메일 주소는 포함되지 않았다고 합니다. 10월 28일 제1보(소니생명이 대리점으로서 취급한 메디케어생명 계약의 계약자와 피보험자 정보, 약 385,000건)에 이어, 이제 소니생명 자사 계약자도 영향 대상입니다. 접근은 10월 27일에 드러났습니다. 11월 9일 기준 고객 정보의 악용은 확인되지 않았지만, 회사는 자사를 사칭한 이메일, 문자, 전화를 경고합니다. 원인은 공개되지 않았습니다. 이 사이트의 결론: 소니생명 계약이 있거나 있었던 사람, 또는 소니생명을 통해 메디케어생명 계약을 맺은 사람은 영향을 받았을 수 있다고 보고, 메시지는 그 안의 링크나 번호가 아니라 공식 사이트의 연락처로 확인하십시오.
코펜하겐 대학교 개인정보 유출(약 525,000명): 이름·CPR 번호·전화번호·이메일 — 해야 할 일
코펜하겐 대학교(Københavns Universitet, KU)는 2026년 10월 23일 해커가 테스트 환경 중 하나에 접근했다고 발표했습니다. 대학 측을 인용한 일관된 보도에 따르면 약 525,000명의 데이터, 즉 성명, CPR 번호(덴마크의 주민등록번호), 업무용 및 개인 전화번호, 개인 이메일 주소가 취득되었습니다. 10월 25일 업데이트에서 대학은 약 20,000명의 교직원과 학생의 ID 카드 PIN 코드도 유출되었으며 새 PIN을 발급했다고 밝혔습니다. 보도에 따르면 침입은 10월 20일 화요일에 감지되어 통제되었습니다. 대학은 덴마크 데이터보호청에 신고했습니다. 10월 30일 이 사이트에서는 대학 자체 페이지를 열 수 없었으므로 이 글은 그 보도에 의존합니다. 이 사이트의 견해: 이름과 CPR 번호를 쓴 메시지는 검증되지 않은 것으로 보고, 직접 연 경로로 확인하며, 요청이 와도 CPR 번호, 비밀번호, PIN은 절대 알려주지 마세요.
White Essence 무단 접근 및 개인 정보 유출(약 105만 계정): 이름, 주소, 전화번호, 암호화된 비밀번호 및 이용자가 해야 할 일
White Essence Co., Ltd.는 2026년 8월 12일 예약 사이트와 핵심 시스템에 대한 무단 접근으로 시스템을 중단했다고 발표했고, 10월 5일 '무단 접근에 의한 개인 정보 유출에 대한 사과 및 안내'라는 제목의 안내에서 조사 결과를 공개했습니다. 회사에 따르면 8월 5일 외부로부터의 무단 접근을 확인했고, 8월 12일 시스템을 중단했으며, 이후 조사에서 개인 정보가 외부로 유출된 사실이 확인되었습니다. 2026년 8월 5일 시점에 등록되어 있던 정보 가운데 영향을 받은 사람은 약 105만 계정(고객, 프랜차이즈 클리닉 관계자, 본사 직원을 합친 수)입니다. 유출 항목은 전부 또는 일부로, 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별, 근무처, 로그인 ID와 비밀번호(암호화된 형태), 서비스 이용 및 응대에 관한 정보, 회사의 관리 번호입니다. 회사는 금융기관 계좌 정보는 보유하지 않으며, 고객의 이미지가 유출된 것은 확인되지 않았다고 밝혔습니다. 원인은 예약 사이트 프로그램의 취약점이 악용되어, 이를 발판으로 핵심 시스템에 무단 접근한 것이며, 회사는 그 취약점에 대한 조치를 마쳤다고 합니다. 10월 5일 기준 2차 피해는 확인되지 않았지만, 회사나 다른 사업자를 사칭한 의심스러운 이메일, 전화, 우편이 올 수 있다고 회사는 밝혔습니다. 이 사이트의 결론: 다른 서비스에서 같은 로그인 ID와 비밀번호를 쓰고 있다면 그곳에서 변경하세요. 회사나 치과 의원을 사칭한 메시지는 이름, 주소, 생년월일이 맞더라도 확인되지 않은 것으로 취급하고, 직접 찾은 공식 경로로 확인하세요.
Beauty Garage 및 Eyelash Garage 무단 접근(775,725건): 살롱 이름, 전화번호, 이메일, 비밀번호 해시 유출과 사칭을 막는 방법
Beauty Garage Co., Ltd.는 10월 15일, 자사와 Eyelash Garage의 전자상거래 사이트 서버에 10월 10일부터 12일까지 무단 접근이 있었고 일부 고객 정보가 유출되었다고 발표했습니다. 회사는 10월 13일 사고를 감지하여 같은 날 경로를 특정하고 차단했습니다. 회사에 따르면 범위는 2026년 10월 10일 23:55 기준으로 Beauty Garage와 Eyelash Garage의 전자상거래 시스템에 보유된 고객 기록 775,725건입니다(브랜드별 내역은 제시되지 않음). Eyelash Garage의 자체 발표는 49,191건으로 되어 있습니다(775,725건과의 관계는 제시되지 않음). 유출이 확인된 주요 항목은 회사명, 살롱 이름, 고객 이름, 업종, 살롱 URL, 전화번호, 이메일 주소, 비밀번호 해시값, 비밀번호 재설정 질문과 답변의 해시값입니다. 주소와 배송 정보, 구매 내역, 신용카드를 포함한 결제 정보의 유출은 현재까지 확인되지 않았습니다. 회사는 정보가 공개되거나 악용된 것은 확인하지 못했다고 밝혔습니다. 10월 20일 두 회사의 두 번째 발표는 전자상거래 사이트가 정상 운영 중이며 개인정보보호위원회에 보고했다고 밝혔습니다. 원인은 공개되지 않았습니다. 이 사이트의 결론: 살롱 이름이나 본인 이름이 맞다고 해서 두 회사나 거래처를 사칭한 메시지가 진짜인 것은 아닙니다. 송금 계좌 변경이나 추가 지불 요청은 공식 연락처로 확인하십시오.
So-net 회원 데이터베이스 무단 접근(So-net 214만 건, plala S-Course 44.3만 건): 이름, 전화번호, 생년월일 유출과 이용자가 해야 할 일
Sony Network Communications Inc.는 2026년 10월 27일, 인터넷 서비스 So-net의 회원 데이터베이스에 대한 무단 접근으로 정보 유출이 확인되었다고 발표했습니다. 회사에 따르면 10월 19일 외부에서 데이터베이스에 접근이 있었고, 10월 23일 이를 확인하여 해당 서버를 중지했으며, 10월 24일 유출된 항목과 건수를 확정했습니다. 유출된 정보는 So-net 회원 정보 2,141,986건(현재 회원 1,869,771건, 2026년 3월 이후 탈퇴한 회원 272,215건)과 plala(S-Course) 회원 정보 443,495건(현재 회원 422,365건, 2026년 3월 이후 탈퇴한 회원 21,130건)입니다. 둘 다 이름, 전화번호, 이메일 주소, 사용자 ID, 생년월일, 성별, 인터넷 접속 ID를 포함합니다. 회사는 회원 정보에서 비밀번호는 유출되지 않았다고 밝혔습니다. 메일 서비스 4종(Mail Service G, A-Box, Sonnet VAIO Mail, PostPet Mail Account Service)은 메일 비밀번호도 유출되어 합계 54,401개 주소에 이르며, 회사는 10월 27일 이를 재설정했습니다. 은행 계좌 정보 16건과 비밀번호 재설정 안내 정보 7건도 유출되었으며, 회사는 해당자에게 개별 연락하겠다고 밝혔습니다. 신용카드 정보는 포함되지 않았고, NURO 등 다른 서비스의 유출은 확인되지 않았습니다. 원인은 제3자의 무단 접근(조사 중)으로 되어 있으며, 침입 경로는 발표되지 않았습니다. 이 사이트의 결론: 메일 서비스 4종 중 하나라도 이용했다면 메일 비밀번호를 재설정하고, 같은 비밀번호를 쓴 다른 서비스도 변경하십시오. 모든 이용자는 이름과 생년월일이 정확하더라도 So-net을 사칭하는 메시지는 링크나 번호가 아니라 공식 사이트나 전용 전화로 확인하십시오.
Toypo 앱 무단 접근(Toypo 발표 기준 이용자 697,209명 해당): 전화번호·이름·주소 유출, 매장 앱 이용자가 해야 할 일
Toypo Inc.는 고객 관리 앱 Toypo 앱에 대한 제3자의 무단 접근을 2026년 10월 4일 확인했다고 밝히고, 10월 14일자 공지에서 697,209명의 이용자가 해당되며 정보가 유출되었을 수 있다고 발표했습니다. 날짜와 인원이 없는 두 번째 공지 페이지는 정보가 유출되었다고 적고 있습니다. 회사는 10월 13일부터 앱 내 푸시 알림 등으로 해당자에게 개별 연락을 하고 있습니다. 회사에 따르면 시스템 일부에 접근 제어 결함이 있어 인증된 이용자가 열람 권한이 없는 다른 이용자의 정보를 얻을 수 있었고, 로그상 제3자가 이를 이용해 이용자 정보를 취득했습니다. 결함은 수정되었습니다. 유출되었을 수 있는 정보는 전화번호와 사용자 ID 등의 식별자, 그리고 등록된 경우 이름, 이름의 가나 표기, 이메일 주소, 생년월일, 성별, 주소입니다. 비밀번호 등의 로그인 정보, 신용카드 번호 등의 결제 정보, 포인트, 매장 방문 이력, 구매·이용 이력은 포함되지 않았고 앱에서 비밀번호 변경 등의 조치는 필요 없다고 합니다. 구체적인 2차 피해는 확인되지 않았습니다. 개인정보보호위원회에 보고했으며 제3자 보안 진단을 준비 중입니다. 이 앱을 쓰는 매장의 공지에서 JR Kyushu Food Service는 등록 회원 약 61,500명 중 약 26,900명, Mannoya는 Kineya Mannoya 공식 앱 회원 212명 중 12명이 해당된다고 밝혔습니다. Toypo의 문의처는 0120-546-030(평일 9:00–18:00 일본 시간, 콜센터는 10월 30일 18:00까지 전화를 받고 이후는 앱 내 문의)입니다. 이 사이트의 결론: 전화번호와 이름이 정확히 맞는 메시지라고 해서 진짜라는 보장은 없습니다. 그 링크나 번호는 쓰지 말고 앱 내 문의나 공지에 적힌 연락처로 확인하세요.
이치방쿠지 ONLINE 배송 정보 유출 가능성(반다이 로지팔 무단 접근): 이름, 주소, 전화번호와 회원이 해야 할 일
2026년 10월 26일, BANDAI NAMCO Holdings Inc., BANDAI SPIRITS CO., LTD., Bandai Logipal Co., Ltd.는 BANDAI NAMCO Holdings의 물류 자회사인 반다이 로지팔이 관리하는 시스템이 제3자의 무단 접근을 받았으며, 이 사실이 10월 21일에 발견되었다고 발표했습니다(첫 보고). 세 회사에 따르면 유출되었을 가능성이 있는 개인정보는 BANDAI SPIRITS가 상품 배송을 반다이 로지팔에 위탁하고 있는 서비스인 이치방쿠지 ONLINE의 배송 정보(이름, 주소, 전화번호)입니다. 영향을 받은 인원수 등 세부 사항은 조사 중이며, 신용카드 정보는 포함되지 않았고, 현재까지 악용은 확인되지 않았습니다. 10월 21일 회사는 물류 시스템의 서버에서 무단 접근이 의심되는 흔적을 발견해 서버를 정지했고, 같은 날 반다이 로지팔 계정의 부정 사용을 통해 작업이 이루어진 것을 확인했습니다. 10월 24일 해당 물류 시스템을 정지했고, 10월 26일 경찰과 일본 개인정보보호위원회에 보고했습니다. 발표에 따르면 해당 출하 시스템은 10월 26일부터 중단되어 있습니다. 무단 접근이 어떻게 이루어졌는지는 공개되지 않았습니다. 세 회사는 이번 사고와 관련된 의심스러운 전화와 우편물이 올 수 있다고 경고합니다. 이 사이트의 결론: 이치방쿠지 ONLINE으로 상품을 배송받은 적이 있는 사람은 이치방쿠지나 반다이를 사칭한 예상치 못한 전화나 우편물에 응하지 말고, 직접 연 공식 웹사이트의 문의 양식으로 확인해야 합니다.
Joshin(구 Joshin Denki) 무단 접근(최대 약 600만 건): 회원 이름, 주소, 전화번호가 유출되었을 가능성과 이용자가 해야 할 일
2026년 4월 1일 Joshin Denki Co., Ltd.에서 사명을 변경한 Joshin Corporation은 10월 17일, 10월 16일에 무단 접근을 인지했으며 외부로부터의 접근 제한 등의 조치를 취한 결과 일부 서비스를 제공할 수 없게 되었다고 발표했습니다(10월 19일 도쿄증권거래소에 공시). 10월 26일 제2보에 따르면, 회사는 10월 16일 네트워크에서 이상을 감지하고 무단 접근 흔적이 보이는 서버를 네트워크에서 분리하는 등의 조치를 취했습니다. 제2보에 따르면 유출되었을 가능성이 있는 정보는 다음과 같습니다. 회원 데이터베이스 서버 최대 약 600만 건(이름, 주소, 전화번호, 회원 번호), Joshin 구독 서비스 최대 약 23만 건(회원 번호, 전화번호 + 자필 서명(바이너리 데이터), 로그인 ID 및 초기 비밀번호, 청구 내역, 계약 번호 및 기기 ID, 활성화 코드), 리폼 사진 업로드 시스템 최대 약 800건(운전면허증 이미지 2건, 마이넘버 카드 1건, 은행 계좌 번호 5건, 리폼 공사 중 사진). 회사는 이 수치가 유출되었을 가능성이 있는 기록의 총수이며 확정된 유출 건수가 아니라고 밝혔습니다. 신용카드 정보를 포함한 결제 데이터는 보유하지 않습니다. 개인정보보호위원회와 경찰에 상담 및 신고했습니다. 원인, 침입 경로, 중단된 서비스의 재개 시점은 발표되지 않았습니다. 이 사이트의 결론: Joshin을 사칭하는 메시지가 이름, 주소, 회원 번호를 정확히 알고 있다고 해서 진짜인 것은 아닙니다. 메시지 속 링크나 전화번호를 사용하지 말고, 안내문에 적힌 문의처나 직접 연 공식 사이트에서 확인하세요.
설문 사이트 Qzoo 침해 사고(약 40만 건): 은행 계좌 정보를 포함한 회원 정보가 유출되었을 가능성, 회원이 해야 할 일
2026년 10월 21일, Monitas Inc.는 자사 설문 사이트 Qzoo가 제3자의 무단 접근을 받았으며 회원(패널)의 개인정보가 유출되었을 가능성이 있다고 발표했습니다. 경위에 따르면 무단 접근은 10월 17일 8:30에 시작되었고, 12:22에 SQL 인젝션을 통해 데이터베이스가 열람·갱신되었으며, 18:44에 접근이 탐지·차단되었고, 19:02에 서비스가 긴급 점검에 들어갔으며, 10월 20일 일본 개인정보보호위원회에 속보를 보고했습니다. 대상은 약 40만 건(10월 17일 시점 Qzoo 시스템이 보유한 전체 건수)입니다. 영향을 받았을 가능성이 있는 데이터베이스에는 기본 정보(이름, 생년월일, 주소, 전화번호, 이메일 주소 등), 회원 인증 정보(회원 ID, 비밀번호 등), 금융 정보(계좌번호, 지점명, 예금주명 등), 설문 응답(연 수입, 직업 등)이 저장되어 있습니다. 항목은 아직 조사 중입니다. 회사는 신용카드 정보와 마이넘버(일본의 개인번호)를 보유하고 있지 않습니다. 침입자가 자사 시스템의 취약점을 악용했다고 밝혔습니다. 다른 시스템에 대한 무단 접근은 확인되지 않았습니다. 이 사이트의 결론: Qzoo와 같은 비밀번호를 쓰는 곳은 오늘 바꾸고, Qzoo나 은행을 사칭한 메시지의 링크는 열지 말며, 비밀번호(PIN)나 로그인 정보는 누구에게도 알려주지 마세요. 은행 계좌 거래 내역도 확인하세요.
M3 'MR-kun' 유출(m3.com 회원 등 25,775명, 제약사 직원 2,260명): 무엇이 유출되었고 의사와 제약사 직원은 무엇을 해야 하나
2026년 10월 15일과 10월 23일(제2보), M3, Inc.는 제약사를 위해 운영하는 서비스 MR-kun의 시스템에 제3자가 무단으로 접근했으며 개인정보가 유출되었다고 발표했습니다. 회사에 따르면 10월 14일 무단 접근을 확인했고 같은 날 파악한 경로를 차단했습니다. 제2보는 m3.com 회원 등 25,775명(이름, 근무처, 일부의 이메일 주소, M3 서비스 이용에 관한 일부 정보, 고객 제약사가 서비스에 등록한 정보(담당 관계 등). 이 중 6명은 이메일 주소 포함)과 제약사 직원 2,260명(이름, 근무처, 일부의 이메일 주소 등. 이 중 264명은 이메일 주소 포함)의 유출을 확인했습니다. 제약사가 M3에 맡긴, m3.com 회원이 아닌 일부 의사의 정보도 포함됩니다. 로그인 비밀번호와 m3 포인트는 포함되지 않았으며, M3는 신용카드 번호를 보유하고 있지 않습니다. 원인은 공개되지 않았습니다. 회사는 공개 게시나 악용은 확인되지 않았다고 밝혔습니다. 10월 22일부터 영향을 받은 회원에게 등록된 이메일 주소로 개별 연락하고 있습니다. 이 사이트의 결론: m3.com을 이용하는 의사 등은 M3나 제약사 담당자를 자칭하는 메시지의 링크를 열지 말고, 비밀번호나 계좌 정보를 알려 주지 않아야 합니다.
피자헛 재팬 온라인 주문 정보 유출: 이메일 주소, 전화번호, 로그인 세션 토큰 유출 및 고객이 해야 할 일
2026년 10월 23일, 일본에서 피자헛을 운영하는 일본피자헛 주식회사(Pizza Hut Japan Ltd.)는 일본용 피자헛 온라인 주문 서비스와 연동된 시스템에 제3자의 무단 접근이 있었으며 고객 정보 일부가 유출되었다고 발표했습니다. 회사에 따르면, 10월 19일 제3자가 온라인 주문 서비스와 연동된 결제 API(시스템 간에 결제 관련 정보를 주고받는 구조)에 무단으로 접근하여 고객 정보를 포함한 데이터베이스에서 일부 정보를 취득한 사실을 확인했습니다. 유출이 확인된 정보는 고객 ID, 이메일 주소, 전화번호, 삭제된 고객 정보와 관련된 기록, 세션 로그인 토큰, 거래 기록입니다. 신용카드 정보는 포함되지 않았습니다. 영향을 받은 인원은 공개되지 않았습니다. 회사는 원인과 전체 범위를 계속 조사 중이라고 밝혔습니다. 회사는 공격 IP 주소를 차단하고 취약점에 대응했으며, 일본 개인정보보호위원회에 속보를 제출했습니다. 2차 피해는 확인되지 않았지만, 회사나 피자헛을 사칭하는 수상한 이메일, 문자, 전화에 주의하라고 당부합니다. 이 사이트의 결론: 피자헛 재팬 온라인 주문을 이용한 적이 있는 사람은 피자헛을 사칭하는 메시지의 링크를 열지 말고, 직접 연 공식 앱이나 공식 웹사이트에서 주문 내역을 확인해야 합니다.
라쿠텐 트래블 무단 접근(최대 약 260만 건): 해외 호텔 예약의 이름, 연락처, 일부 카드 정보 대상, 이용자가 해야 할 일
2026년 10월 26일, 라쿠텐 그룹 주식회사(Rakuten Group, Inc.)는 자회사 Rakuten Travel Xchange가 관리·운영하는 라쿠텐 트래블 해외 호텔 예약 사이트의 일부 페이지와, 라쿠텐 그룹이 운영하는 다국어 예약 사이트에 대해 외부 제3자의 무단 접근을 확인했다고 발표했습니다. 해외 호텔 예약 페이지(사안 1)에서는 9월 10일 이상이 감지되었고 9월 16일 시스템 수정이 완료되었습니다. 무단 접근의 대상이 된 정보는 로그인한 고객 최대 약 260만 건의 이름, 이메일 주소, 전화번호, 내부 ID 번호와, 예약한 고객 최대 약 4만 건의 이름, 연락처, 거주 국가, 예약 내용, 동반자 이름이며, 그중 최대 약 3만 6천 건은 결제 정보(카드 발급사 식별 번호와 끝 네 자리, 카드 명의인 이름, 유효 기간, 카드 브랜드)입니다. 카드 번호 전체, 보안 코드, 비밀번호, 신분증, 주소는 포함되지 않았습니다(예약자 항목의 주석 기준). 다국어 예약 사이트(사안 2)에서는 10월 20일 감지, 10월 21일 수정 완료되었으며, 로그인한 고객 최대 약 86만 건의 이메일 주소와 내부 ID, 관리 화면에 입력된 숙박 시설 담당자 최대 약 4만 건의 계정 이름과 이메일 주소가 대상입니다. 원인, 대상 기간, 보상 여부는 발표되지 않았습니다. 이 사이트의 결론: 카드 번호 재입력이나 결제를 요구하는 메시지는 예약 내용이나 카드 끝 네 자리가 맞는다고 해서 진짜인 것은 아닙니다. 이메일이나 문자의 링크를 사용하지 말고, 라쿠텐 트래블 앱이나 즐겨찾기에 등록한 공식 사이트에서 예약을 확인하세요.
후지코 캠페인 응모 데이터 유출 가능성(약 15,500건): 이름, 주소, 가족 정보, 응모자가 할 일
2026년 10월 22일, 카스피해 요구르트와 다시마 제품으로 알려진 일본 식품 회사 후지코 주식회사(Fujicco Co., Ltd.)는 캠페인 응모를 담당하는 위탁업체의 서버가 외부 제3자에 의해 무단으로 접근되었으며, 응모자의 개인정보가 유출되었을 수 있다고 발표했습니다. 접근은 10월 21일에 확인되었고 서버는 즉시 차단되었습니다. 데이터는 2026년 5월부터 진행된 두 캠페인의 비회원 응모 양식에 입력된 개인정보를 포함합니다. 대상 캠페인은 카스피해 요구르트 시리즈 'もっと！とろぉ～もっちキャンペーン 第2弾(모또! 토로-못치 캠페인 제2탄)'과 '후지코 대감사제 캠페인(フジッコ大感謝祭キャンペーン)'입니다. 반복 응모를 포함해 총 약 15,500건이며, 항목은 이름, 나이, 성별, 직업, 혼인 여부, 가족 구성, 전화번호, 이메일 주소, 주소, 설문 응답입니다. 운전면허증, 신용카드, 은행 계좌번호는 포함되지 않습니다. 후지코 회원(Fujicoin) 응모, 엽서 응모, X 응모는 영향을 받지 않습니다. 공개나 악용은 확인되지 않았지만, 회사는 제3자가 데이터를 취득한 것으로 보고 있습니다. 이 사이트의 결론은 다음과 같습니다. 영향을 받은 양식으로 응모한 사람은 배송비나 수수료를 내지 말고, 요청이 와도 영수증을 다시 제출하거나 개인정보를 다시 입력하지 말아야 하며, 공식 안내문에 적힌 번호로 캠페인 사무국에 확인해야 합니다.
Green Monster의 FX Navi 앱 정보 유출 가능성(약 619만 건): 이메일 주소와 설문 응답 포함, 이용자가 해야 할 일
2026년 10월 23일 Green Monster Inc.(도쿄증권거래소 그로스, 157A)는 FX 모의거래 앱 FX Navi의 이용자 정보가 외부인에게 취득되었을 가능성이 있다고 발표했다(첫 보고). 회사는 10월 17일 외부인에 의한 앱 무단 접근을 확인하고 조사를 시작했다. 조사 과정에서 4월 27일 약 20:26부터 4월 30일 약 14:26까지, 다른 IP 주소를 사용한 외부인이 앱에서 이용자 정보를 지속적으로 취득했을 가능성이 있음을 확인했다. 회사는 10월 17일의 무단 접근으로 인한 유출은 확인되지 않았다고 밝혔다. 개인정보가 아닌 데이터를 포함해 약 619만 건이 취득되었을 가능성이 있다. 항목은 이메일 주소(66,003건), 닉네임, 성별, 연령대, 직업 분류, X(구 트위터) ID(6,434건), 자기소개 문구, 아이콘 이미지 URL, 최초 실행 설문 응답(4,809,631건), 기기 ID, 로그인 자격 증명, 계정 이관 코드(5,120건), 푸시 알림 식별자, 광고 ID, 접속 IP 주소, 매매 결과 등 이용 데이터다. 이름, 주소, 전화번호, 생년월일, 신용카드, 은행 계좌, 마이넘버(일본의 국민 식별번호)는 이용자가 등록하는 항목이 아니다. 회사는 원인이 앱 API의 기능에 있었다고 밝혔으며, API 기능과 로그인 자격 증명을 수정하고 수정 이전에 발급된 모든 로그인 자격 증명을 무효화했다. 2차 피해는 확인되지 않았다. 이 사이트의 결론: FX Navi 이용자는 회사 또는 관련 기업을 사칭한 이메일이나 X 메시지의 링크나 첨부 파일을 열지 말아야 하며, 모든 투자 권유를 가짜로 간주해야 한다.
Lindt 재팬 온라인 숍 및 앱 회원 데이터 유출(3,147,469건): 이름, 주소, 전화번호, 생년월일, 해시 처리된 비밀번호 유출 및 회원이 해야 할 일
2026년 10월 23일, 스위스 초콜릿 회사 Lindt & Sprüngli의 일본 법인인 Lindt & Sprüngli Japan은 온라인 숍 플랫폼을 제공하고 회원 데이터를 관리하는 외부 업체의 시스템에 무단 접근이 있었으며, 온라인 숍과 Lindt 공식 앱의 회원 기록 3,147,469건이 유출되었다고 발표했습니다. 업체의 보고에 따르면, 업체 서버에서 사용되던 소프트웨어의 취약점이 10월 17일 23:02부터 10월 18일 0:16까지(일본 시간) 악용되었습니다. 유출된 항목은 회원 ID, 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일, 성별, 뉴스레터 설정, 등록 매장, 로그인 비밀번호(해시 처리하여 저장), 그리고 이름 읽기, 등록일, 마지막 로그인 등 기타 회원 데이터입니다. 신용카드 등 결제 데이터는 포함되지 않았습니다. 10월 23일 11:00 기준으로 악용이 확인된 사례는 없습니다. 온라인 숍은 10월 21일 16:00부터 중단되어 있으며, 재개 시 회원에게 비밀번호 변경이 요청될 예정입니다. 해당 회원에게는 10월 26일부터 이메일이 발송되고 있습니다. 이 사이트의 결론: 회원은 Lindt를 사칭하는 이메일, 문자, 전화 또는 우편의 안내를 따르지 말아야 하며, 같은 비밀번호를 사용한 다른 서비스가 있다면 지금 바로 비밀번호를 변경해야 합니다.
피코마 뉴스레터 이메일 주소 유출(1,002,404건): 이메일 주소만 노출, 이용자가 해야 할 일
2026년 10월 24일, 일본 만화 앱 피코마를 운영하는 Kakao piccoma Corp.은 뉴스레터 발송에 사용하던 RAKUS Lite Cloud Corporation의 이메일 발송 시스템 blastmail에 제3자가 무단으로 접근했고, 뉴스레터 한 차례 발송의 수신자였던 고객 이메일 주소 1,002,404건이 유출되었다고 발표했습니다. 피코마는 10월 24일 발송 서비스 측 보고를 통해 이 사실을 알게 되었습니다. 뉴스레터 수신용으로 등록된 이메일 주소만 유출되었으며, 회사는 고객 관리 번호와 최근 구매일이 포함되지 않았다고 확인했다고 밝혔습니다. 비밀번호는 blastmail에 전달된 적이 없어 유출될 수 없으며, 피코마는 이름이나 신용카드 정보를 보유하고 있지 않다고 합니다. 피코마 앱, 웹사이트, 회사 자체 시스템은 접근되지 않았으며, 계정, 비밀번호, 구매 정보는 영향을 받지 않았습니다. 피코마 노벨 뉴스레터에 대해서는 지금까지 유출이 확인되지 않았습니다. 회사는 뉴스레터 발송을 중단했고, blastmail에서 발송된 이메일을 정상적인 피코마 이메일로 취급하지 않도록 설정을 변경했으며, 일본 개인정보보호위원회에 보고했습니다. 영향을 받은 고객에게는 개별적으로 연락할 예정이라고 밝혔습니다. 이 사이트의 결론: 피코마 뉴스레터를 받은 사람은 피코마나 출판사를 사칭한 이메일이나 문자의 링크를 열지 말고, 앱에서 직접 확인하며, 이메일을 통해 비밀번호나 카드 번호를 절대 입력하지 않아야 합니다.
Value Card 선불 플랫폼 침해(레코드 142만 4,748건, MOS Card 113만 3,070건): 카드 번호, PIN, 잔액 유출 및 카드 소지자가 해야 할 일
2026년 10월 23일, 도쿄증권거래소 성장시장에 상장된 PayCloud Holdings는 자회사 Value Design Inc.가 카드 발행사에 제공하는 자사 전자화폐(매장 선불카드) 발행 서비스 Value Card의 서버에 제3자가 무단으로 접근했으며, ID 번호, PIN 및 잔액 정보 1,424,748건이 유출되었다고 발표했습니다(발급된 ID 569,224건과 미발급 ID 855,524건, 미발급 ID는 아직 사용자가 구입하지 않은 ID를 뜻함). 접근은 10월 19일에 확인되었으며, 원인은 제3자가 자회사 시스템 환경 일부의 웹 서버 취약점을 악용한 것이었습니다. 개인정보는 포함되지 않았고, 발급된 ID의 악용 위험은 처리되었으며, 악용으로 인한 실제 피해는 없었다고 합니다. 같은 날 MOS Burger 체인과 선불카드 MOS Card를 운영하는 MOS Food Services, Inc.는 MOS Card 서버의 운영 및 유지보수를 계약한 Value Design 시스템에 무단 접근이 있어 MOS Card 레코드 1,133,070건(16자리 카드 번호, 6자리 PIN 및 잔액, 유통 중 약 57만 장, 미유통 약 56만 장)이 유출되었다고 발표했으며, 유출된 카드 번호와 연결된 PIN을 강제로 재설정했다고 밝혔습니다. 이름, 주소, 전화번호, 신용카드 정보는 포함되지 않았습니다. 어느 다른 발행사의 카드가 영향을 받았는지는 공개되지 않았습니다. 이 사이트의 결론: MOS Card 소지자는 인식하지 못하는 결제가 있는지 이용 내역을 확인하고, 온라인 잔액 조회 등의 기능이 작동하지 않으면 전용 문의 번호로 연락하며, 누구에게도 PIN이나 카드 번호를 알려주지 마십시오.
FANCL·Attenir 온라인 스토어 정보 유출 (회원 368,184명 및 417,312명): 이름, 주소, 전화번호, 생년월일 노출, 회원이 해야 할 일
2026년 10월 16일, 일본 화장품·건강식품 기업인 FANCL Corporation과 Attenir Corporation은 두 회사의 온라인 스토어가 2026년 10월 3일부터 10일까지 외부 제3자에 의해 권한 없이 접근당했고, 일부 회원 데이터가 유출됐다고 발표했습니다. 이 접근은 10월 15일 내부 조사에서 발견됐으며, 회사는 원인이 된 기능을 확인해 중단했다고 밝혔습니다. 유출된 데이터는 FANCL 회원 368,184명(393,785건), Attenir 회원 417,312명(441,162건)에 해당합니다. 항목은 이메일 주소, 이름, 주소, 전화번호, 생년월일, 성별, 고객번호, 보조 이메일 주소와 그 비밀번호(일부 회원이 설정한 해시 처리된 보조 비밀번호이며 주 비밀번호는 포함되지 않음), 보안 질문 항목(답변은 미포함), 포인트 및 회원 등급 등 기타 회원 등록 정보입니다. 신용카드 등 결제 정보는 포함되지 않았습니다. 악용이나 2차 피해는 확인되지 않았습니다. FANCL의 FAQ에 따르면 10월 17일에 피해 가능성이 있는 고객에게 등록된 이메일 주소로 연락했습니다. 이 사이트의 결론: 두 회사 회원은 이름, 주소, 전화번호, 생년월일이 노출됐다고 가정하고, 회사를 사칭하는 이메일, 문자, 전화, 우편의 지시를 따르지 말며, 공식 사이트나 공용 상담 전화를 통해 확인해야 합니다.
트러스트뱅크(Trustbank)의 후루사토 초이스 유출 사고(회원 정보 4,454,097건): 이름, 주소, 해시 처리된 비밀번호 유출 — 기부자가 해야 할 일
2026년 10월 20일, 고향납세 기부 사이트 후루사토 초이스를 운영하는 트러스트뱅크(Trustbank, Inc.)는 외부인이 회원 데이터에 무단으로 접근했고 기부자의 개인정보가 유출되었다고 발표했습니다. 회사는 10월 19일 비정상적인 접근 패턴을 확인한 뒤 무단 접근이 10월 17일에 있었다고 파악했으며, 10월 19일 15시 50분에 관련 서비스를 중단했습니다. 회사가 확인한 유출 건수는 회원 정보 4,454,097건으로, 이름, 이메일 주소, 우편 주소, 전화번호, 해시 처리된 비밀번호, 예상 기부금 세액공제액이 포함됩니다. 10월 23일 발표한 2차 보고에서 회사는 이 가운데 기부자 5명에 대해 포인트 이력, 기부 이력, 생년월일, 배송지 주소 등 추가 항목도 유출되었다고 밝혔습니다. 이 중 2명은 외부인이 저장된 카드 정보(카드 끝 4자리, 카드 명의인, 유효기간)가 표시되는 마이페이지 화면에 접근했습니다. 회사는 카드 정보가 해당 화면이 표시될 때마다 결제 대행사에서 조회되며 회사 시스템에는 저장되지 않고, 카드 정보만으로는 카드 결제를 할 수 없다고 설명합니다. 10월 21일부터 회원에게 개별 이메일로 데이터 유출 여부와 유출된 항목을 안내하고 있습니다. 10월 26일 3차 보고에서 회사는 지방자치단체와 답례품 사업자가 사용하는 기부 관리 시스템을 같은 날부터 단계적으로 재개하기 시작했다고 밝혔습니다(같은 날 FAQ에는 10월 25일부터라고 되어 있음). 신규 기부는 받지 않고 있으며, 기부자용 사이트의 재개 일정은 정해지지 않았습니다. 모든 회원의 비밀번호는 무효화되었으며, 재개 후 새 비밀번호를 설정해야 합니다. 이 사이트의 결론: 같은 이메일과 비밀번호 조합을 사용하는 다른 서비스의 비밀번호를 변경하고, 후루사토 초이스나 지방자치단체를 사칭한 메시지의 링크를 열지 마십시오.
and ST HD 정보 유출(고객 정보 약 250만 건): 유출됐을 수 있는 정보와 회원이 해야 할 일
2026년 10월 23일, and ST HD Co., Ltd.는 제3자가 업무 서버에 부정 접속하여 고객, 거래처, 직원 정보의 일부가 유출됐을 수 있다고 발표했습니다. 회사에 따르면 10월 22일 오전 7시 30분경(일본 시간)부터 여러 서버에 대해 로그인 시도, 침입, 데이터 반출이 차례로 이루어졌고, 회사는 오전 10시경 부정 활동을 감지해 서버를 격리했으며 오후 5시까지 접속 경로를 차단했습니다. 유출됐을 수 있는 정보는 고객 정보 약 250만 건(이름, 생년월일, 성별, 주소, 전화번호, 이메일 주소, 회원 ID)과 거래처 정보 약 1만 건(회사명, 주문·반품 주소, 담당자 이름, 전화번호, 이메일 주소)이며, 직원 정보의 범위는 확인 중입니다. 신용카드 정보 등 결제 정보와 고객이 직접 설정한 비밀번호는 포함되지 않았다고 회사는 밝혔습니다. and ST 웹 스토어는 부정 접속의 영향을 받지 않았지만, 현재 매장과 웹 스토어에서 회원 포인트를 사용할 수 없습니다. 회사는 해당 고객과 거래처에 순차적으로 연락을 시작하고 문의 창구를 마련할 예정이라고 밝혔습니다. 이 사이트의 견해: 비밀번호는 포함되지 않았다고 하므로, 오늘 가장 중요한 것은 비밀번호 변경이 아니라 회사나 브랜드 이름에 실제 주소나 생년월일까지 담아 보내는 메시지를 의심하는 것입니다. 공식 앱이나 직접 연 웹사이트에서 확인하세요.
blastmail 메일 발송 서비스 부정 접근(전 고객의 계정 정보, 345개 계약의 메일링 리스트 등): 뉴스레터 수신자와 이용 조직이 할 일
RAKUS Co., Ltd.의 자회사 RAKUS Lite Cloud Co., Ltd.가 제공하는 메일 발송 서비스 blastmail에 외부 제3자가 접근해 데이터를 반출했습니다. 회사는 2026년 10월 21일 오전 0시 30분에 서비스를 긴급 중단했고, 모회사 RAKUS는 같은 날 제1보와 제2보를 공개했습니다. 공지에 따르면 제3자는 API 서버 2대에 침입해 명령을 실행하고, 영업 관리 시스템과 서비스 데이터베이스에 접속해 데이터를 반출했습니다. 영업 관리 시스템에서는 전 고객의 회사명, 담당자명, 전화번호, 이메일 주소, 청구용 이메일 주소, 계약·결제 이력이 반출되었습니다. 회사는 신용카드 번호를 보유하지 않습니다. 일부 고객은 수신자 목록 등 발송 데이터의 유출도 확인되었습니다. 회사는 10월 26일 17시 갱신에서 1건이 추가로 발견되어 이것이 345개 계약에 해당하며 모두에게 개별 연락했다고 밝혔습니다. 침입 경로는 조사 중이며, 회사는 10월 28일 12시 갱신에서 11월 11일경 재개를 목표로 한다고 밝혔습니다(변경될 수 있음). 이용 조직의 공지 중 니가타일보(The Niigata Nippo)는 '니가타일보 패스포트' 전 회원 최대 약 25만 3,000명의 이름(가타카나), 이메일 주소, 성별, 연령대 등이 유출되었다고 밝혔습니다. JR시코쿠는 약 3만 건이 유출되었을 가능성이 있다고 밝혔고, 요코하마시는 관련 메일 서비스 3건을, 환경성은 영향 가능성이 있는 뉴스레터 6종을 공개했습니다. giftee는 10월 23일 기준 집계된 288건에 자사 계약이 포함되지 않음을 확인했다고 밝혔습니다. 이 사이트의 결론: 이들 조직의 뉴스레터를 받는 사람은 발신자 이름이 진짜여도 링크를 열지 말고 공식 사이트에서 확인해야 합니다. blastmail을 이용하는 조직은 연락을 받았는지 확인하고, 개인정보보호위원회(Personal Information Protection Commission) 보고(회사와의 공동 보고는 10월 29일까지 접수)와 본인 통지 여부를 판단하며, 전 고객의 연락처가 반출되었으므로 blastmail 또는 RAKUS를 사칭한 청구·재로그인 메일을 직원에게 주의시켜야 합니다.
Medley 클리닉 시스템 @link(앳링크) 부정 접속: 환자 이름·생년월일(월·일)·로그인 ID·비밀번호 유출 — 환자와 의료기관이 해야 할 일
2026년 10월 15일 Medley, Inc.는 의료기관 관리 시스템 @link(앳링크)와 환자용 at-link 앱 및 관련 서비스에 제3자가 부정 접속했다고 발표하고, 10월 14일 늦은 밤부터 서비스를 중지했다고 밝혔습니다. 회사에 따르면 외부 전문 기관으로부터 부정 접속 가능성을 통보받아 10월 11일 조사를 시작했고, 접속 사실을 확인했습니다. 10월 23일에는 2026년 9월 하순부터 10월 중순까지 제3자가 무단으로 심어 둔 프로그램을 통해 회사 데이터베이스에 접속해 정보를 취득했으며, 개인정보가 유출된 것을 확인했다고 밝혔습니다. at-link 앱이나 웹 예약을 이용한 환자의 유출 항목은 이름, 이름 읽기(후리가나), 생월일, 이메일 주소(등록한 경우에 한함), 앱·웹 예약 로그인 ID와 비밀번호, 이용한 클리닉 이름, 등록일, 마지막 내원일, 신용카드 결제 이력(결제일과 금액만, 앱에서 온라인 결제를 한 사람에 한함)입니다. 앱이나 웹 예약을 이용하지 않은 환자의 유출 항목은 이름, 후리가나, 생월일, 이용한 클리닉 이름, 등록일, 마지막 내원일, 앱·웹 예약 로그인 ID와 초기 비밀번호입니다. 회사는 카드 번호는 보유하고 있지 않다고 밝혔습니다. 피해를 입은 클리닉 수와 인원은 조사 중이며, 회사는 클리닉과 협력해 해당자에게 순차적으로 알릴 예정입니다. 구체적인 수법은 같은 공격을 부를 우려가 있다는 이유로 공개하지 않았습니다. 해당 경로를 차단하고 관련 인증 정보를 모두 무효화했으며, 개인정보보호위원회와 후생노동성에 보고했습니다. 앱·웹 예약 비밀번호는 이전되지 않으며, 서비스 재개 시 새로 설정해야 합니다. 10월 28일 12:30에 갱신된 공지에서 회사는 클리닉용 “@link Cloud beta”의 시험 이용이 10월 28일 일부 클리닉에서 시작되었고(시험 중인 기능: 예약의 확인·접수·등록, 환자 정보, 진료 캘린더), 환자용 앱과 웹 예약 사이트 및 기타 서비스는 계속 중지 상태이며, 중지 기간의 요금은 11월 중 환불할 예정이라고 밝혔습니다. 원인과 범위에 대한 조사는 계속되고 있습니다. 이 사이트의 견해: at-link 앱이나 웹 예약을 이용한 사람은 같은 비밀번호를 쓴 다른 서비스의 비밀번호를 바꾸고, 클리닉이나 진료를 언급하는 메시지의 링크는 열지 않아야 합니다. 클리닉은 환자 문의를 회사의 전용 연락처로 안내해야 합니다.
닛케이 부정 접속(약 183만 건): 이름·이메일 주소 등 약 15만 건 유출 — 이용자가 해야 할 일
일본 신문사 Nikkei Inc.는 2026년 10월 16일, 시스템 개발에 사용하는 클라우드 서비스에 부정 접속이 있었으며 16일 시점에 개인정보 약 183만 건이 유출됐다고 발표했습니다. 약 15만 건에는 이름, 이메일 주소, 우편 주소, 전화번호, 생년월일 중 하나 이상이 포함돼 있었고, 그중 약 12만 건에는 이메일 주소가 포함돼 있었습니다. 나머지 약 168만 건은 그것만으로는 개인을 식별할 수 없는 식별자뿐이었습니다. 신용카드 정보는 포함되지 않았습니다. 회사에 따르면 클라우드 서비스에 접속하기 위한 인증 정보가 어떤 방법으로 탈취됐고, 부정 접속은 10월 7일 새벽부터 아침 사이에 이뤄졌습니다. 회사는 사용된 인증 정보를 무효화했고 10월 11일 일본 개인정보보호위원회에 보고했습니다. 16일 시점에 정보 악용 등 2차 피해, 시스템 장애나 데이터 변조는 확인되지 않았습니다. 회사는 유출이 확인된 사람에게 개별적으로 알리겠다고 밝혔습니다. 그룹사 Nikkei National Geographic은 10월 22일, 자사 서비스 일부 이용자의 정보가 포함돼 있었다고 밝혔습니다. 어떤 서비스의 이용자가 해당되는지, 항목별 건수, 인증 정보가 탈취된 경위는 공개되지 않았습니다. 이 사이트의 견해: 닛케이를 사칭하는 이메일이나 전화의 링크와 전화번호는 사용하지 말고 공식 사이트에서 확인하세요.
트레저팩토리(트레팍) 정보 유출(이메일 기록 746,277건): 출장 매입·트레팍 이사 고객이 해야 할 일
2026년 10월 23일, 일본의 중고 상품 소매업체 트레저팩토리(Treasure Factory Co., Ltd.)는 외부 제3자가 출장 매입 서비스(출장 매입, shutchō kaitori)와 트레팍 이사 서비스의 의뢰를 접수·처리하는 안건 관리 시스템에 무단으로 접근해 그곳에 보관된 고객 데이터 등의 일부를 가져갔다고 발표했습니다. 회사의 적시 공시에 따르면 확인된 데이터는 고객 기록 746,277건(이메일 주소, 그중 11건은 이름과 주소도 포함), 거래처·직원 등의 이름과 이메일 주소 기록 750건, 거래처·직원 등이 사용하는 단말기의 이름과 단말기 식별 정보 기록 1,000건입니다. 신용카드 번호 등 결제 정보는 포함되지 않았으며, 매장과 회사 앱에 보관된 고객 데이터는 별도 시스템에서 관리되어 영향을 받지 않았다고 합니다. 회사는 10월 20일 접근 로그 확인으로 접근 사실을 확인하고 같은 날 외부 접속과 의뢰 폼을 차단했습니다. 회사는 데이터베이스 접속과 관련된 취약점이 악용된 것으로 보고 있으며, 최근 공개된 PHP 취약점과는 관련이 없다고 밝혔습니다. 2차 피해는 확인되지 않았습니다. 시스템과 의뢰 폼은 10월 28일경 재개될 예정입니다. 본 사이트의 결론: 출장 매입이나 트레팍 이사를 의뢰한 적이 있다면 이메일 주소가 알려졌다고 가정하고, 트레팍을 사칭한 이메일의 링크는 열지 말고 공식 사이트에서 확인하세요.
Capcom CAPCOM ID 유출 사고(11,774,247건): 이메일 주소와 로그인 관련 데이터 유출 — 회원이 해야 할 일
2026년 10월 22일 Capcom Co., Ltd.는 온라인 회원 서비스 CAPCOM ID(Capcom 웹 서비스와 일부 온라인 게임에 쓰는 공통 계정)에 제3자가 무단으로 접근해 고객 정보 일부가 유출됐다고 발표했습니다. 유출된 정보는 이메일 주소와 시스템 고유의 식별 정보(계정 생성 일시, 마지막 로그인 일시, 로그인 횟수, 마지막 로그인 때 사용한 클라이언트 IP 주소)이며, 전 세계 11,774,247건입니다. 이 가운데 43건은 생년월일, 성별, 국가/지역, 닉네임도 유출됐습니다. 196개 계정은 로그인 비밀번호가 무단으로 변경됐으며, 회사는 해당 비밀번호를 이미 초기화했습니다. 10월 23일의 2차 공지에 따르면, 이 196개 계정 중 19개(일본)는 제3자가 회사의 일본 온라인 스토어 e-Capcom의 계정 페이지에 접근해 이름, 이름의 일본어 발음 표기, 전화번호, 우편번호, 주소, 성별, 생년월일, 구매 이력, e-Capcom 문의 이력, 저장된 주소록 정보가 유출됐습니다. 나머지 177개 계정은 비밀번호 변경으로 인해 정보가 침해된 사실이 확인되지 않았다고 회사는 밝혔습니다. 회사는 고객이 직접 설정한 비밀번호의 유출은 확인하지 못했다고 하며, 신용카드 정보는 대상에 포함되지 않았습니다. 회사에 따르면 10월 19일 부정 접근을 의심할 흔적을 발견해 즉시 접근 차단과 원인·범위 조사를 시작했고 같은 날 부정 접근을 확인했습니다. 10월 20일에 유출과 비밀번호 변경을 확인했고, 10월 21일 경찰과 일본 개인정보보호위원회에 신고했습니다. 공격 방식은 파악해 대응했다고 하나 원인의 세부 내용은 공개하지 않았습니다. 2차 공지에서는 영향 범위 조사가 끝났으며 CAPCOM ID와 관련 서비스를 계속 감시하겠다고 밝혔습니다. CAPCOM ID를 쓰는 서비스와 모든 게임은 계속 이용할 수 있습니다. 회사는 피해 고객에게 개별 연락하고 지역별 전용 문의처를 마련한다고 밝혔습니다. 이 사이트의 견해: CAPCOM ID 회원은 Capcom을 사칭한 이메일·문자의 링크를 열지 말고, 전화로 개인정보를 알려 주지 말며, 다른 곳에서 같은 비밀번호를 쓰고 있다면 바꾸고, 2단계 인증을 켜는 것이 좋습니다.
코믹시모아 회원 정보 유출(로그 파일 최대 약 420만 건): 이메일 주소와 생년월일 유출, 이용자가 할 일
전자책 스토어 Comic Cmoa(코믹시모아)를 운영하는 NTT Solmare Corporation은 2026년 10월 15일 첫 공지부터 10월 21일 네 번째 보고까지 서비스에 대한 무단 접근과 관련해 네 차례 공지를 발표했습니다. 회사에 따르면 10월 15일 회사는 외부에서 서버에 무단 접근이 있었을 가능성이 매우 높다고 판단했고, 11시 35분에 서비스를 중단했습니다. 10월 16일 두 번째 보고에서는 회원 정보를 관리하는 시스템의 회원 데이터가 제3자에게 유출된 것을 확인했다고 밝혔습니다(건수는 확인 중). 10월 18일 세 번째 보고에서는 침입 경로와 공격 방법을 파악해 대응 중이라고 밝혔고, 일부 시스템 로그 파일도 열람되고 반출된 것을 확인했다고 했습니다. 10월 21일 네 번째 보고에서는 유출이 확인된 데이터를 회원 데이터베이스의 등록 정보 319건(이메일 주소, 해시화된 비밀번호, 닉네임, 생년월일, 성별)과 시스템 로그 파일의 최대 약 420만 건(이메일 주소, 닉네임, 생년월일, 성별, 비밀번호 없음, 동일인 중복 포함 가능)으로 설명했습니다. 회사는 해당 시스템에 신용카드 정보가 보관되어 있지 않아 유출되지 않았다고 밝혔고, 구매 이력의 유출과 MY Bookshelf(이용자 서재)의 유출, 분실 또는 손상은 확인되지 않았다고 했습니다. 침입 경로와 공격 방법은 파악해 차단을 완료했다고 밝혔지만, 그 내용은 공개하지 않았습니다. 영향을 받는 사람에게는 이메일로 연락한다고 합니다. 서비스는 현재 중단된 상태이며, 구매한 작품의 웹 열람부터 단계적으로 재개할 예정입니다. 재개 시 모든 이용자에게 비밀번호 재설정을 요청한다고 합니다. 이 사이트의 견해: 코믹시모아와 같은 이메일 주소와 비밀번호를 다른 서비스에도 사용하고 있다면 오늘 해당 비밀번호를 바꾸십시오. 회사를 사칭하는 이메일의 링크는 열지 마시고, 직접 열어 확인한 NTT Solmare 보도자료 페이지에서 내용을 확인하십시오.
이와이 코스모증권 외부 위탁사 침해사고(고객 4,975명): 유출 내용, 의도하지 않은 거래, 고객이 할 일
2026년 10월 16일, 일본 증권사 이와이 코스모증권 주식회사는 모회사 이와이 코스모홀딩스의 적시공시를 통해, 온라인 거래 시스템의 운영·관리를 맡긴 외부 위탁사 시스템에 제3자가 접근했고 온라인 거래 고객 4,611명의 이름, 이메일 주소 등 기타 정보(氏名、メールアドレス他)가 유출되었다고 발표했습니다. 회사는 10월 14일에 접근을 감지했습니다. 10월 20일의 2차 공지에서 회사는 접근 및 통신 기록을 재점검한 결과 364명이 추가되어 총 4,975명이라고 밝혔고, 이는 이후의 추가 접근 때문이 아니라고 설명했습니다. 유출된 정보에는 거래 비밀번호가 포함되지 않았으며, 회사는 이 정보로 계좌에 로그인하거나 거래할 수 없다고 밝혔습니다. 2차 공지는 또한 10월 14일 거래 관리 시스템도 공격을 받아 고객이 의도하지 않은 주문이 계좌 7건에 들어갔고, 그중 5건이 체결되었다고 공개했습니다. 해당 거래는 취소되었으며 고객에게 비용은 발생하지 않습니다. 회사는 유출된 개인정보가 이 거래에 사용되지 않았다고 밝혔습니다. 회사는 접근을 허용한 지점을 확인해 수정했으며, 위탁사가 관리 기능에 대한 접근 제한 등의 조치를 추가했다고 밝혔습니다. 구체적인 방법은 공개되지 않았습니다. 이 사이트의 판단: 이와이 코스모를 사칭하는 메시지의 링크나 전화번호는 사용하지 마십시오. 직접 연 로그인 페이지에서 주문 및 체결 내역을 확인하고, 우려 사항이 있으면 공식 문의 번호(0120-405-546)로 연락하십시오.
Onamae.com Desktop Cloud(GMO인터넷) 무단 접근(26,739대 서버 영향 가능성): 고객 정보 유출, 보상, FX·증권 거래자가 오늘 해야 할 일
2026년 10월 21일 GMO인터넷주식회사는 FX 자동매매용 VPS(가상 전용 서버) 서비스인 Onamae.com Desktop Cloud에 제3자가 무단으로 접근했으며, 일부 고객의 서버 환경에 악성 프로그램이 설치되었다고 발표했다. 영향을 받을 수 있는 서버는 26,739대이며, 회사는 이것이 무단 접근이나 정보 취득이 확인된 수가 아니라 영향을 받을 수 있는 서버 수라고 설명한다. 10월 21일 04:00부터 모든 플랜의 서버를 순차적으로 중지했다. 10월 24일 발표한 네 번째 공지에서 회사는 서비스 시스템에 보안상 문제가 있었고, 서비스 환경에 대한 무단 접근과 고객 정보의 유출이 확인되었다고 밝혔다. 또한 일부 고객이 자신이 하지 않은 거래가 거래 계좌에서 이루어졌다고 신고했다고 밝혔다. 어떤 정보가 얼마나 많은 고객에 대해 유출되었는지, 침입 경로, 영향을 받은 계좌 수와 금액은 공개되지 않았다. 회사는 현재 서비스의 모든 이용자에게 5,000엔을 일률 지급하며, 이 무단 접근으로 인해 발생한 것으로 확인된 거래의 실현 손실을 보상하겠다고 밝혔다(거래소 또는 증권사에서 환불받은 금액은 차감). 현재 시스템 플랫폼은 그대로 재가동하지 않으며, 별도 클라우드 플랫폼의 대체 서비스로 전환할 수 있도록 하고 전환 후 6개월간 무료로 제공한다고 했다. 회사에 따르면, 공격자로 추정되는 자가 금전을 요구했으며 거부하면 정보를 공개하고 기타 조치를 취하겠다고 위협했다. 회사는 지급하지 않을 것이며 경찰에 증거를 제출했다고 밝혔다. 10월 24일의 다섯 번째 공지에서 회사는 고객에게 자신의 기기를 전체 검사하고 백업할 것, FX 거래에 사용하지 않는 기기에서 비밀번호를 변경할 것, 비밀번호를 이미 변경했더라도 로그인된 모든 세션을 종료할 것, 2단계 인증을 설정할 것을 다시 요청했다. 10월 26일의 일곱 번째 공지에서 회사는 공격자로 보이는 측이 10월 27일 12:00에 고객 정보를 공개하고 랜섬웨어 공격을 실행하겠다고 예고했다고 밝혔다. 10월 27일의 여덟 번째 공지에서는 고객에게 데이터를 백업한 뒤 12:00 전에 네트워크 연결을 끊고 PC를 종료하며 PC에 연결된 모든 케이블을 뽑으라고 요청했다. 아홉 번째 공지(11:59 기준)에서는 분석을 마친 고객 기기에서 악성코드(랜섬웨어 포함)가 발견되지 않았지만 이것이 모든 기기의 안전을 확인한 것은 아니라고 밝히고, 랜섬웨어 피해를 입은 고객이 지원 창구에 연락하면 피해를 확인한 뒤 동등한 성능의 새 PC를 제공하겠다고 했다. 10월 27일의 열 번째 공지(13:55 기준)에서 회사는 공격자로 보이는 측이 회사와 고객에 관한 정보라고 주장하는 것을 공개한 사실을 12:30에 확인했다고 밝혔다(회사는 내용을 확인 중이며, 허위 정보가 포함되어 있을 수 있다고 밝혔다). 13:55 시점에 랜섬웨어 공격은 확인되지 않았다고 했다. 회사는 정보가 공개된 것으로 알려진 사이트에 접속하면 공격자가 접속자의 정보를 취득한다며, 그 사이트에 접속하거나 공유하지 말라고 요청한다. 열두 번째 공지(19:10 기준)에서 회사는 공격자가 공개한 정보에 자신의 정보가 포함된 것으로 확인된 고객에게 정보 구분별로 1만–2만 5,000엔의 특별 지급금(공개 1건당 상한 300만 엔)을 지급하고, 범인 특정에 도움이 되는 정보에 대해 총액 상한 100만 달러의 현상금을 마련했다고 밝혔다(10월 28일 12:00부터 접수). 10월 28일의 열세 번째 공지(11:00 기준)에서 회사는 공격자로 보이는 측의 사이트(미러 사이트 포함) 도메인이 같은 날 04:00경 정지된 것을 확인했으며, 유사한 사이트가 나타나면 삭제를 위해 대응하겠다고 밝혔다. 같은 날의 열네 번째 공지(18:20 기준)에서 회사는 이날 12:00에 연 현상금 사이트에 처음 약 6시간 동안(18:00 기준) 113건의 제보가 접수되었고, 공격자로 보이는 측의 사이트 URL이나 내용을 확산시키는 X 게시물에 대해 총 20건의 경고를 보냈으며(18:00 기준), 기기 분석에서 지금까지 악성코드 감염이나 랜섬웨어 공격의 흔적은 발견되지 않았다고 밝혔다. 회사는 기기를 종료해 준 고객에게 감사를 전하고, PC를 다시 사용할 경우 사전에 보안 검사와 백업을 하라고 요청했다. 열다섯 번째 공지(10월 29일 12:40 기준)에서 회사는 그룹의 화이트해커 팀이 자체 조사를 통해 범인 특정으로 이어질 수 있다고 보는 정보를 입수했으며 같은 날 경찰 등 관계 기관에 제출할 예정이라고 밝혔고, 현상금 사이트에 11:30 기준 270건의 제보가 접수되었다고 보고했다. 열여섯 번째 공지(10월 29일 20:50 기준)에서는 제보가 113건(10월 28일 18:00 기준)에서 321건(10월 29일 18:00 기준)으로 늘었다고 보고하고, 새로운 공격자 측 사이트와 무단으로 개인정보가 공개된 사이트를 신고할 양식(열다섯 번째와 열여섯 번째 공지에 게재)을 안내했으며, 범인을 특정하거나 연락하지 말고 확인되지 않은 정보를 게시하지 말며 의심스러운 URL을 공유하지 말라고 다시 요청했다. 또한 공격과 협박에 대해 형사 고소를 포함한 법적 조치를 취하겠다고 밝혔다. 10월 28일의 공시에 따르면 모회사 GMO인터넷그룹은 그룹 각 사의 서비스를 계속 점검 중이며, 현재로서는 이 서비스 이외의 서비스에 대한 이번 사건의 영향은 확인되지 않았다. 고객들은 공격자로 보이는 측으로부터 데이터를 보유하고 있다는 증거로 열람 기록의 일부가 첨부된 이메일을 받은 것으로 보도되었다. 회사 그룹 대표는 블로그에서 공격자가 고객 PC의 정보를 공개하고 랜섬웨어로 공격하겠다고 위협했다고 밝혔지만, 회사는 실제로 고객의 PC가 침해되었다고는 밝히지 않았다. 10월 26일의 여섯 번째 공지에서 회사는 고객에게 접속에 사용한 기기를 전체 검사하고, 확인이 끝날 때까지 브라우저 동기화를 꺼 둘 것 등을 요청했다. 이 사이트의 견해: FX 거래에 사용하지 않는 기기에서 증권사·FX 회사의 비밀번호를 변경하고, 모든 세션을 종료하며, 거래 내역과 잔고를 확인하라. 보상과 관련해서는 회사의 공식 사이트와 등록 이메일로 발송된 공지만 확인하고, 거래가 가능한 비밀번호는 누구에게도 제공하지 마라.
Ymirlink Cuenote FC 이메일 발송 서비스에 대한 무단 접근(누적 약 5,163만 건으로 확대): 익스프레스 예약과 smartEX 회원 데이터 포함. 뉴스레터 수신자와 고객사가 해야 할 일
2026년 10월 26일, Ymirlink, Inc.(도쿄증권거래소 그로스, 4372)는 이메일 발송 서비스 Cuenote FC에 대한 무단 접근에 관한 2차 보고를 발표하고, 시스템 49개에서 누적 51,628,280건의 데이터가 유출되었다고 밝혔습니다. 10월 19일 1차 보고에서는 시스템 5개, 누적 약 900만 건으로 추정했지만, 모든 시스템의 로그를 점검한 결과 10월 25일에 42개 시스템에서 추가로 무단 접근과 데이터 반출 기록을 발견했습니다. 16개 시스템은 유출 건수를 아직 조사 중이며, 누적 건수는 늘어날 수 있습니다. 회사는 원인을 라이브러리 취약점으로 보고 있으며, 지원 및 품질관리 직원의 자격 증명이 탈취되고, 악성 프로그램이 설치되었으며, 로그인 시 수집된 세션 정보로 무단 로그인이 이루어진 것을 확인했다고 밝혔습니다. 고객 관리 시스템 Cuenote BASE에서는 고객 계약 정보(회사명, 이름, 전화번호, 이메일 주소) 190건이 열람 가능한 상태였습니다. 회사는 유출된 개인정보가 공개되거나 악용된 흔적은 확인되지 않았다고 밝혔습니다. 고객사 중 JR Central, JR West, JR Kyushu는 10월 26일, 처음에는 익스프레스 예약과 smartEX 서비스가 영향을 받지 않았다고 통보받았지만, 이 서비스를 통해 이메일을 받은 회원의 이메일 주소, 회원 ID, 이름(가타카나), 회원 종류가 유출되었다고 발표했습니다. 11월 5일 2차 보고에서는 대상 건수가 172,735건이라고 밝혔습니다. AsMarq도 같은 날, 자사가 사용하는 환경에 등록된 데이터 일부가 무단으로 취득되었을 가능성이 높다는 통보를 받았다고 밝혔습니다. 10월 27일 21:00, Bandai Namco Entertainment Inc.와 BANDAI SPIRITS Co., Ltd.는 Bandai Namco ID 이메일 서비스의 THE GUNDAM BASE MEMBERS 환경에서 346,247건(이메일 주소와 Bandai Namco ID 관리용 내부 식별자)이 유출되었다고 발표했습니다. 이름, 주소, 구매 이력, 로그인 비밀번호, 신용카드 정보는 포함되지 않았고 다른 환경은 아직 확인 중이라고 합니다. 이 건으로 보내는 이메일에는 URL을 넣지 않는다고 밝혔습니다. DCM Holdings(회원 프로그램 Maibo의 이메일 발송)는 10월 30일 2차 보고에서 회원 753,272명(10월 29일 기준)의 유출을 확인했다고 밝혔으며, 항목은 이메일 주소, 회원 ID, 이름, 성별, 출생 연월, 거주 도도부현이고 비밀번호, 카드 정보, 포인트 잔액과 이력은 포함되지 않습니다. 이 사이트의 결론: 익스프레스 예약과 smartEX 회원은 가타카나 이름이나 회원 ID가 표시된 이메일이나 SMS라도 링크를 열지 말고, 공식 앱이나 즐겨찾기에 등록해 둔 공식 사이트에서 확인해야 합니다. 뉴스레터 수신자는 발신자를 사칭한 이메일의 링크를 열지 말아야 합니다. 고객사는 Ymirlink에 자사 환경이 영향을 받았는지 확인하고, 개인정보보호위원회에 신고해야 하는지와 개인에게 통지해야 하는지를 결정해야 합니다.
리크루트 카센서넷·C-MATCH 정보 유출 (최대 3,709,551건): 판매점에 문의한 사람의 이름과 주소가 노출됐을 가능성 — 이용자와 판매점이 해야 할 일
2026년 10월 21일 리크루트 주식회사는 중고차 매물 사이트 카센서넷(앱 포함)과 중고차 판매점용 업무 지원 서비스 C-MATCH의 이용자 및 거래처 정보가 불법 접근으로 외부에 유출됐을 가능성이 있다고 발표했습니다. 회사에 따르면 10월 17일 카센서넷 관련 시스템에 대한 외부의 의심스러운 접근을 발견했고, 같은 날 17시경부터 관련 서비스를 모두 중단했습니다. 10월 20일 유출됐을 가능성이 있는 개인정보의 항목과 건수(최대)를 확인했습니다. 건수는 최대 3,709,551건으로, 사이트를 통해 판매점에 문의한 사람 3,210,421건(주로 이름과 주소이며, 주소는 원칙적으로 시·군·구까지만 포함), 리뷰를 작성한 사람 5,289건, C-MATCH에 등록된 판매점 483,168건(담당자 이름과 전화번호, 중고차 판매업 허가번호, 로그인 ID 등이며, 개인사업자의 경우 자동이체 계좌 정보 포함), 회사 직원과 외주 업체 및 영업 대행사 직원 10,673건입니다. 신용카드 등 결제 정보와 로그인 비밀번호는 포함되지 않는다고 합니다. 원인은 제3자의 불법 접근이며 세부 사항은 조사 중입니다. 회사는 개인정보보호위원회에 예비 보고를 했고, 피해 가능성이 있는 사람에게 순차적으로 개별 연락할 예정입니다. 10월 21일 현재 2차 피해는 확인되지 않았다고 합니다. 서비스는 10월 22일 13시경부터 안전이 확인된 것부터 단계적으로 재개되고 있습니다. 이 사이트의 의견: 카센서를 통해 판매점에 연락한 사람은 이름과 주소를 아는 사람이 보낸 편지, 이메일, 전화가 올 수 있다고 가정하고, 예상치 못한 연락의 링크나 첨부 파일을 열지 말고, 리크루트의 공지 페이지에서 확인하는 것이 좋습니다.
H2O ID 개인정보 유출 (약 126만 건): 한큐·한신 백화점 예약 사이트 경유, 주소·전화번호·생년월일 유출 — 회원이 해야 할 일
2026년 10월 19일 H2O리테일링 주식회사와 주식회사 한큐한신백화점은 공동으로, 한큐한신백화점이 운영하는 한큐·한신 백화점 예약 사이트, HANKYU HANSHIN E-STORES, Remo Order에 제3자가 무단으로 접근했고 고객 개인정보 일부가 유출되었다고 발표했습니다. 10월 16일 회사는 예약 사이트를 통한 고객관리시스템 무단 접근을 확인하고 해당 사이트 전체 시스템을 중단했습니다. 10월 17일에는 E-STORES와 Remo Order에서도 무단 접근을 확인하고 두 사이트를 모두 중단했습니다. 10월 19일 고객관리시스템에서 관리하는 약 126만 개 H2O ID의 개인정보 일부가 유출된 것으로 확인되었다고 밝혔습니다. 공지에 따르면 거의 모든 H2O ID 회원의 개인정보 일부가 유출되었습니다. 유출 항목은 H2O ID, 이름(한자 및 가타카나), 성별, 이메일 주소, 우편번호, 주소, 휴대전화 번호, 전화번호, 나이, 생년월일, H2O ID로 이용한 서비스입니다. E-STORES와 Remo Order의 경우 정보 유출 여부는 조사 중이며, 두 서비스가 보유한 데이터는 주문 이력, 신용카드 정보 일부(카드 종류, 끝 4자리, 카드 명의인, 유효기간), 포인트카드 정보 일부, 주소록 정보로 나열되었습니다. 카드 전체 번호와 보안 코드는 보유하지 않습니다. 로그인 비밀번호 유출과 2차 피해는 현재까지 확인되지 않았습니다. 원인은 조사 중입니다. E-STORES는 10월 19일 14시에 재개되었습니다. 이 사이트의 견해: 이름, 주소, 전화번호, 생년월일과 이용 서비스를 아는 설득력 있는 메시지가 올 수 있습니다. 링크를 열지 말고, 직접 여는 공식 사이트나 공지에 기재된 연락처로 확인하십시오.
NIFTY 회선 신청 시스템 침해(최대 542,513건): 회원 ID, 이름, 주소, 전화번호 노출 가능성 — 광섬유 고객이 해야 할 일
2026년 10월 19일, 일본 인터넷 서비스 제공업체 NIFTY Corporation은 (첫 번째 보고) 회선 신청 및 접수 관리 시스템에 대한 외부로부터의 무단 접근을 확인했다고 발표했습니다. 회사에 따르면 10월 19일 약 10시 20분에 무단 접근을 확인했으며, 즉시 접근 출처를 차단했습니다. 이 시스템은 회사가 정보를 등록하기 위해 사용하는 내부 관리 도구이며, 고객이 직접 신청할 때 사용하는 웹사이트(신청 양식 등)와는 별개입니다. 최대 542,513건의 기록이 영향을 받았을 수 있습니다. 대상은 2019년 이후 회선을 신청한 고객(회사 웹사이트 제외)이며, 서비스는 @nifty 히카리, @nifty MAX 히카리, @nifty au 히카리 플러스입니다. 항목은 회원 ID, 이름, 성별, 생년월일, 주소, 전화번호, 이메일 주소이며, 이것이 유출되었을 수 있는 항목의 전체 목록이고, 실제 유출 여부는 조사 중입니다. 이 시스템에는 은행 계좌나 신용카드 정보가 없어 포함되지 않습니다. 발표문에는 비밀번호에 대한 언급이 없습니다. 원인은 공개되지 않았으며, 회사는 외부 전문가와 함께 조사하고 있고 일본 개인정보보호위원회에 보고하는 절차를 진행 중입니다. 이 사이트의 견해: 2019년 이후 이 서비스 중 하나를 신청한 사람은 이름, 주소, 전화번호, 생년월일을 알고 있는 누군가가 연락해 올 수 있다고 가정하고, NIFTY를 사칭한 이메일, 문자, 전화의 링크나 지시를 따르지 마십시오. 직접 찾은 공식 연락처로 확인하십시오.
Studio 웹사이트 빌더 부정 접속: 전체 이용자 데이터와 폼 전송 내용 유출 가능성 — 폼 전송자와 사이트 운영자가 해야 할 일
2026년 10월 16일 Studio Inc.는 자사가 이용하는 클라우드 환경에 제3자가 부정 접속했으며, 웹사이트 빌더 Studio에 등록된 전체 고객의 데이터가 유출되었을 가능성이 있다고 발표했습니다. 제3자는 Studio 일부 기능의 취약점을 악용해 해당 환경에 접속했고, 그 데이터를 외부에서 가져갈 수 있는 상태로 만들었습니다. 지금까지 확인된 부정 접속 기간은 2026년 9월 30일~10월 1일(일본 시간)이며, 회사는 10월 13일 내부 조사에서 이를 발견하고 10월 13~14일에 취약점 수정과 경로 차단을 마쳤습니다. 유출 가능성이 있는 데이터는 계정 데이터(사용자 이름, 이메일 주소, 해시된 비밀번호 등), 디자인 에디터 및 CMS 콘텐츠, Studio로 만든 사이트에서 전송된 폼 내용, 라이브 프리뷰 URL, API 연동에 등록된 외부 서비스의 API 키와 토큰, 비밀번호로 보호된 페이지의 비밀번호, 웹훅 알림 URL 등입니다. 암호화되어 저장된 데이터도 같은 접속에서 복호화에 필요한 키를 읽었기 때문에 일부는 읽혔을 가능성이 있습니다. 회사는 제3자가 실제로 데이터를 가져갔는지는 확인하지 못했지만, 가져간 것으로 간주하고 대응하고 있습니다. 피해자 수와 악용 여부는 조사 중입니다. Studio로 사이트를 만든 기업·단체도 폼으로 전송된 개인정보가 유출되었을 가능성이 있다고 밝혔습니다. Luup은 21,368건, Link-U Group은 7,663건, TRUSTART는 약 1,440건, 사이타마현 사이타마 그린 포레스트 뮤지엄은 162건입니다. 일본 디지털청은 Studio Inc.가 10월 16일 자신들에게 보고한 뒤인 10월 22일, 자사 웹사이트 문의 폼에 2021년 5월~2023년 3월 사이 입력된 문의(5개 분류, 가장 많은 분류는 최대 8,833건, 본 사이트 합산 기준 전체 최대 13,323건)와 Studio 계정 35건이 유출되었을 가능성이 있다고 발표했습니다. 일본 개인정보보호위원회(PPC) 보고와 관련해 Studio Inc.는 10월 17일 폼 이용 고객에게 개별 보고를 보류해 달라고 요청했으나, 10월 20일 PPC와 협의한 결과 고객이 개별 보고 또는 Studio와의 공동 보고 중에서 선택할 수 있다고 밝혔습니다(어느 쪽이든 피해 당사자에 대한 통지 여부는 고객이 판단). 10월 19일에는 안내 페이지에 영업 제안, 스팸, 안전 우려가 있는 응답이라도 개인을 식별할 수 있는 정보가 포함되어 있으면 원칙적으로 본인 통지가 필요하다는 내용을 추가했습니다. 본 사이트의 결론: Studio로 만든 사이트에서 폼을 전송했다면 해당 사이트 운영자의 공지를 확인하고, 전송한 내용을 언급하는 메시지의 링크는 열지 마십시오. 사이트 운영자는 Studio Inc.가 안내하는 순서대로 비밀번호를 변경하고 연동 키를 교체하십시오.
버거킹 재팬 앱 개인정보 유출 (약 1,118만 건): 이름, 생년월일, 전화번호 유출 — 회원이 해야 할 일
2026년 10월 15일, 일본에서 버거킹을 운영하는 BK Japan Co., Ltd.는 자사가 운영하는 공식 버거킹 앱에 제3자가 무단으로 접근했고, 앱 회원 정보가 유출된 것을 확인했다고 발표했습니다. 접근은 2026년 10월 2일부터 10월 7일까지 이루어졌으며, 유출은 10월 13일에 확인되었습니다. 약 1,118만 건의 앱 회원 정보가 영향을 받았습니다. 유출 항목은 회원 ID, 이메일 주소, 가입 유형, 도도부현, 성별, 생년월일, 이름(한자와 가타카나), 전화번호, 모바일 주문 이력 유무, 이메일 주소 인증 여부입니다. 회사는 신용카드 번호를 보유하고 있지 않아 유출되지 않았다고 밝혔고, 로그인 비밀번호 정보의 유출은 지금까지 확인되지 않았다고 말합니다. 원인의 세부 사항은 외부 전문 기관과 함께 조사 중이며, 공지 시점에 부정 사용 등 2차 피해는 확인되지 않았다고 합니다. 10월 17일 기준 후속 발표는 없었습니다. 이 사이트의 견해: 이름, 생년월일, 전화번호를 알고 있는 설득력 있는 메시지가 올 수 있으니 링크를 열지 말고, 직접 여는 공식 앱에서 확인하십시오. 생년월일을 PIN이나 비밀번호로 쓰고 있다면 변경하십시오.
SourceNext 회원 데이터 유출(22,519,960건): 이메일, 비밀번호, 주소 노출 가능성 — 회원이 해야 할 일
2026년 10월 15일, SOURCENEXT CORPORATION은 제3자가 회사가 관리하는 회원 데이터에 무단으로 접근했고, 등록 회원의 개인정보가 회사 외부로 유출되었다고 발표했습니다. 회사에 따르면 10월 9일 오전 10시경부터 제3자가 회원 데이터 조회 API를 악용해 회원 정보를 가져갔습니다. 회사는 10월 13일 오전 9시경 무단 접근을 확인했고, 같은 날 13시 36분에 차단 조치를 마쳤습니다. 유출되었을 수 있는 데이터는 22,519,960건입니다. 항목은 이메일 주소, 비밀번호, 이름, 가타카나 이름, 주소, 성별, 전화번호, 팩스번호, 생년월일, 회사명, 직책, 부서 및 시스템 식별자(이용 중인 서비스, 등록일, 로그인일 등)이며, 회원의 등록 방식에 따라 항목이 다릅니다. 회사는 해당 시스템에 신용카드 정보가 저장되어 있지 않아 포함되지 않았다고 밝혔습니다. 10월 16일 업데이트에서 회사는 모든 회원의 비밀번호가 이미 비활성화되어 기존 비밀번호로는 더 이상 로그인할 수 없으며, 회원에게 새 비밀번호를 설정할 것을 요청했다고 밝혔습니다. 10월 19일 보도에 따르면, 비밀번호가 암호화되어 저장되어 있었고 복호화된 상태로 노출된 것이 확인되었다고 회사 대변인이 밝혔습니다. 회사 FAQ에 따르면 회사는 10월 16일 독립된 외부 보안 전문가에게 제3자 조사를 시작해 달라고 요청했고, 회사의 Super Security 및 Virus Security 제품은 기존과 같이 사용할 수 있으며, 1Password에 저장된 데이터는 회사가 보유하지 않아 이번 유출에 포함되지 않는다고 밝혔습니다. 별도로 회사는 10월 27일과 11월 5일, 이용하던 메일 발송 서비스 제공업체(위탁업체)에 제3자가 무단으로 접근해 발송에 쓰인 이메일 주소와 주문 정보가 유출되었을 수 있다고 발표했습니다(11월 5일 제2보 기준 142,669건, 이메일 주소 기준으로 중복 제외한 건수이며, 비밀번호, 이름, 주소, 전화번호, 신용카드 정보는 포함되지 않음). 회사는 이것이 10월 15일 사건과는 무관한 별개의 사건이라고 밝혔습니다. 이 사이트의 견해: SourceNext에 가입한 사람은 먼저 같은 이메일과 비밀번호를 쓰는 다른 서비스의 비밀번호를 바꾸고, 직접 연 공식 웹사이트를 통해 SourceNext 새 비밀번호를 설정해야 합니다. SourceNext를 사칭하는 이메일, 문자, 전화 또는 편지의 링크나 번호는 사용하지 마십시오.
ConoHa WING(GMO인터넷) 일부 웹서버 무단 접근(426개 계정): 고객 웹서버 영역 데이터 영향, 사이트 운영자가 오늘 해야 할 일
2026년 9월 20일 GMO Internet, Inc.는 ConoHa WING 렌탈 호스팅 서비스의 일부 호스팅 서버(웹서버)에서 제3자가 일부 고객의 웹서버 영역에 무단으로 접근해 악성 프로그램을 설치했다고 발표했습니다. 426개 계정이 영향을 받았으며, 관련 데이터는 '고객의 웹서버 영역에 저장된 데이터'입니다. 접근 및 설치는 9월 3일 시작되었고, 회사는 9월 16일 이를 발견했으며, 9월 18일 원인과 범위를 확인하고 프로그램을 제거했습니다. 회사는 원인을 파악했다고 밝혔지만 공개하지는 않았습니다. 회원, 계약, 결제 정보는 별도 환경에서 관리되며 유출되지 않았다고 밝혔습니다. 공지에는 웹서버 영역의 데이터가 탈취되었는지 여부가 나와 있지 않습니다. 영향을 받은 고객에게는 등록된 이메일 주소로 개별 연락했으며, 연락을 받지 않은 고객은 영향을 받지 않은 것으로 안내했습니다. 10월 15일 기준 후속 공지는 없습니다. 이 사이트의 판단: 먼저 개별 이메일을 받았는지 확인하고, 받았다면 그 안내를 따르십시오. 그다음 웹서버 영역에 보관된 자격 증명(wp-config.php의 데이터베이스 비밀번호, .env의 API 키 등)은 노출된 것으로 보고 변경하며, 9월 3일 이후 추가된 파일, 관리자 계정, 예약 작업이 있는지 확인하십시오.
IDARE 데이터 유출(129,659명): 잔액, 거래 내역 및 일부 신분증 번호 유출 — 이용자가 해야 할 일
2026년 10월 13일 Fivot Inc.는 선불결제 앱 IDARE에 제3자의 무단 접근이 있었고 개인정보가 유출되었다고 발표했습니다. 회사가 고객 지원 등에 사용하던 외부 소프트웨어의 취약점이 악용되었고, 2026년 8월 10일부터 9월 27일 사이 여러 차례 회사 데이터베이스의 데이터가 취득되었습니다. 대상은 계정 폐쇄자를 포함해 9월 27일까지 가입한 129,659명입니다. 전원에게 유출된 정보는 전화번호, 이메일 주소, 생년월일, 사용자 ID, 표시 이름, 계정 설정 및 상태, 잔액, 거래 내역, IDARE 카드의 이름과 유효기간입니다. 일부에게는 본인확인 시 제출한 이름, 주소, 성별, 이용 목적, 신분증 번호, IDARE 카드 번호 끝 4자리, 충전용 신용카드의 앞 6자리와 뒤 4자리, 충전용 은행 계좌의 끝 3자리, 실물 카드의 활성화 코드, 그리고 2021년 10월에 서비스를 종료한 대출 서비스 LADDER에 입력한 연간 소득과 근무처 정보도 포함됩니다. 로그인 비밀번호, 신분증과 얼굴 이미지, 마이넘버, 카드 전체 번호, 보안 코드, PIN, 계좌 전체 번호는 관련되지 않았다고 합니다. 회사는 부정 거래가 확인되지 않았고 로그인에는 다요소 인증이 필요하다고 밝혔습니다. 10월 21일의 두 번째 보고에서는 그 시점까지 부정 거래가 확인되지 않았다고 하며, 기한(10월 30일 및 11월 30일)이 있는 재발 방지 조치를 제시했습니다. 외부 전문 기관에 의한 제3자 조사는 11월 말에서 12월 초에 취합될 예정이며, 완료되면 보고서를 공개하겠다고 합니다. 이 사이트의 결론: 유출된 데이터만으로는 로그인하거나 결제할 수 없지만, 잔액이나 최근 구매 내역을 정확히 언급하는 메시지라고 해서 진짜라는 증거는 아닙니다. 메시지가 도착한 경로로 IDARE, 카드사 또는 은행을 사칭하는 내용에 응하지 마시고, 비밀번호, PIN, 보안 코드, 인증 번호는 누구에게도 알려주지 마십시오.
SpeeCAN RAIDEN 유출 (2026): 재난 알림 메일 이용자와 사기 위험
2026년 10월 13일 Arcadia Inc.는 이메일 등을 일괄 발송하는 일제 통지 서비스 SpeeCAN RAIDEN이 제3자에게 무단 접근을 당했으며, 연락처 이름, 이메일 주소, 전화번호와 팩스 번호, 담당자 및 계약 정보, 이력으로 저장된 발송 메시지 본문이 유출되었을 가능성이 있다고 발표했습니다. 최대 건수는 이메일 주소 약 313만 6천 건, 전화번호 약 10만 5천 건, 팩스 번호 약 1만 5천 건입니다(모두 추정이며 조사 중). Arcadia는 10월 11일 16:30에 수상한 동작을 확인했고, 10월 12일 3:00경 임시 차단을 적용했으며, 10월 13일 11:00에 침입 경로가 된 서비스(raiden3, Raiden School의 s2)를 중단했습니다. 10월 14일에는 NET119와 119RAIDEN을 유출 가능성 대상에 추가했고, 10월 16일 11차 업데이트에서 서비스별 수치를 밝혔습니다. NET119는 이메일 주소 9,020건에 연결된 이름, 생년월일, 주소 등의 개인정보이며(요배려 개인정보는 유출되지 않았음을 확인했다고 합니다), 119RAIDEN은 이메일 주소 약 9만 7천 건 등입니다. 중단했던 서비스는 10월 15일 15:00경 복구되었습니다. 결제 정보는 취급하지 않습니다. 각 지자체가 자체 공지를 냈으며, 시즈오카시는 등록 주민 34,336명의 이메일 주소 등이 유출된 것이 확인되었다고 밝혔고, 실제 알림과 같은 도메인 @raiden.ktaiwork.jp에서 보낸 카드 회사 사칭 가짜 메일을 확인했습니다. 10월 21일 17차 업데이트에서 Arcadia는 악성 프로그램이 10월 13일 1:17부터 7:16 사이에 자사 시스템에서 피싱 메일 1,423,428건을 발송했고, 그중 최소 869,575건은 회사가 보유하지 않은 주소로 보내졌으며, 외부 기관이 다크웹 조사를 실시할 것이라고 밝혔습니다. 또한 개인정보보호위원회와 총무성에 대한 보고를 대행하는 문제로 고객사와 판매 대리점에 메일을 보냈습니다. 10월 22일 20차 업데이트에서는 재발 방지를 위해 고객사가 로그인 시 2단계 인증을 반드시 사용해야 한다고 알렸고, 10월 23일 22차 업데이트에서는 Raiden School 고객사에도 같은 요청을 했습니다. 10월 23일 21차 업데이트와 함께 공개한 보고서에 따르면, 첨부 파일을 공개하는 미디어 서버의 취약점으로 설정 파일이 탈취되어 서비스 간 로그인에 쓰는 비밀 키가 유출된 것 등이 원인이며, 모든 서비스가 유출 가능성 범위에 들어가고, 건수는 아직 조사 중입니다(그중 NET119는 9,020건). Arcadia는 제3자 보안 기관에 상세 조사를 의뢰했습니다. 25차 업데이트(11월 2일 17:00)에서는 10월 13일 발송과는 별도로 10월 22일과 23일에도 피싱 의심 메일이 자사 시스템에서 외부로 발송되었다고 밝혔습니다. 원인으로는 10월 11일~13일 침입 때 유출된 메일 발송 API 계정의 비밀번호가 무차별 대입으로 뚫려 외부에서 사용된 점, 그리고 API 연동을 중단한 뒤 URL 파싱 혼동 취약점이 다시 API 악용에 사용된 점을 들었습니다. 10월 22일 6:30경 API 연동을 중단했고 10월 23일 10:30경 취약점을 수정했으며, 무단 메일은 멈췄다고 합니다. 11월 6일 16:15 26차 업데이트에서는 19차 업데이트에서 중단한 외부 시스템과의 API 연동 기능을 재개하고 있다고 밝혔습니다. 재개에 따라 고객 측에서 설정 작업이 필요하며, 대상 고객에게는 개별적으로 안내하고 있습니다. 결론: 발신자만으로는 진짜와 가짜를 구별할 수 없으므로 재난 알림 발신자를 차단하지 말고, 카드나 개인정보 확인을 요구하는 메일의 링크는 열지 마세요.
Commune 무단 접근(커뮤니티별 집계 회원 기록 166,505건): 기업 커뮤니티 회원 데이터 유출 — 회원과 운영자가 해야 할 일
2026년 10월 9일 Commune Inc.는 기업용 커뮤니티 서비스인 Commune과 Commune for Work가 외부 제3자에 의해 무단 접근을 받았고, 일부 커뮤니티에서 회원 데이터가 유출되었다고 발표했습니다. 유출은 10월 5일 18시경부터 10월 6일 21시경까지, 그리고 10월 7일 13시 17분부터 14시 36분까지(일본 시간) 발생했습니다. 최초 공지는 최대 약 30만 7천 명(고유 인원 기준 추정)이 영향을 받았을 수 있다고 밝혔습니다. 10월 21일 후속 공지에서 상세 조사 후 166,505명의 회원이 영향을 받았다고 확인했고(회원 ID를 커뮤니티별로 합산한 수치이므로 여러 커뮤니티에 속한 사람은 커뮤니티마다 한 번씩 계산됨. 회사가 운영하는 커뮤니티와 테스트·데모 커뮤니티를 포함하며 공격자가 만든 계정은 제외), 그중 125,601명은 이메일 주소를 포함한 데이터가 유출되었다고 밝혔습니다. 나머지의 경우 유출 데이터에는 표시 이름, 프로필, 비공개 그룹 가입 정보가 포함됩니다. 144명의 회원은 본인 조작 없이 비밀번호가 임시 비밀번호로 변경되었습니다. 비밀번호 자체나 다이렉트 메시지의 유출은 확인되지 않았으며, 회사는 결제 정보를 보유하지 않는다고 밝혔습니다. 회사는 비공개 커뮤니티의 초대 링크를 부정한 방법으로 입수한 것과 관리자 사칭을 원인으로 설명합니다. 이 서비스를 이용해 커뮤니티를 운영하는 고객 기업들도 공지를 게시했으며, JMAM은 자사 Toki Labo 커뮤니티의 프로필 회원 정보에 포함된 이름, 주소, 나이, 전화번호도 유출되었다고 밝혔습니다. 유출된 이메일 주소의 악용을 막기 위해 Commune Inc.는 10월 10일 00시 50분부터 긴급 점검으로 모든 커뮤니티를 중단했고, 관리자 계정에 2단계 인증 의무화 등의 조치를 취했습니다. 10월 16일에는 요청한 고객사의 커뮤니티부터 단계적으로 재개한다고 발표했습니다. 재개는 웹 브라우저 버전에서만, 일부 기능을 제한한 상태로 진행됩니다(앱, 이메일 주소를 이용한 신규 등록, '비밀번호를 잊으셨나요' 재설정은 여전히 이용할 수 없음). 회사는 점검 및 테스트 과정에서 새로운 무단 접근이나 유출은 발견되지 않았다고 밝혔습니다. 10월 21일 후속 공지에서 회사는 10월 9일 총무성(간토종합통신국)에 예비 보고서를 제출했고, 경찰과 상담을 시작했으며, 모든 로그를 분석한 결과 공격자가 남긴 프로그램, 계정, 설정은 발견되지 않았다고 밝혔고, 제3자 기관의 포렌식 조사를 준비 중이라고 설명했습니다. 이 사이트의 견해: 자신의 커뮤니티를 운영하는 회사의 공지를 확인해 영향 여부를 살펴보고, 커뮤니티에서 보낸 것처럼 보이는 이메일의 링크는 열지 마십시오.
바이토루 정보 유출(이메일 주소 최대 약 388만 건): 이메일만 유출됐다 — 회원이 가짜 면접 연락과 구인 사기를 구별하는 방법
2026년 10월 9일, 디프 주식회사는 10월 6일 일본에서 운영하는 구인 사이트 바이토루와 바이토루 NEXT에 대한 제3자의 부정 접근을 확인했으며, 일부 회원의 이메일 주소가 유출됐다고 발표했다. 유출 가능성이 있는 주소는 최대 3,885,771건이다. 회사는 이메일 주소만 유출됐고 이름, 전화번호, 비밀번호, 신용카드 정보는 포함되지 않았다고 밝혔다. 원인은 시스템 일부 기능의 사양상 결함을 악용한 해외발 부정 접근이라고 설명했다. 회사는 해외 발 접근을 모두 차단하고 프로그램을 수정했다. 데이터가 온라인에 게시되었거나 악용된 사실은 확인되지 않았다고 밝혔다. 영향을 받은 회원에게는 10월 6일 서비스 내에서 알렸고, 이메일 등을 통해 개별 연락을 진행 중이다. 10월 10일 기준 추가 공지는 없었다. 이 사이트의 견해: 이메일 주소만 유출되었더라도, 해당 주소는 구인 사이트 회원의 것임이 확인된다. 면접 일정이나 지원 확인과 관련된 메시지의 링크는 열지 말고, 직접 여는 공식 앱에서 확인하라. 다른 메신저 앱으로 옮겨 가거나 '고액 보수, 당일 지급' 제안에 응하지 마라.
Bookoff 회원 정보 유출(6,383,279명): 이름·주소·이메일·비밀번호 해시가 노출됐을 수 있음 — 회원이 해야 할 일
2026년 10월 9일 BOOKOFF GROUP HOLDINGS LIMITED는 자회사 BOOKOFF CORPORATION LIMITED가 제공하는 일본 내 Bookoff 회원 관리 시스템에 제3자가 부정 접속했으며 회원 정보가 외부로 유출됐다고 발표했습니다. 10월 13일 2차 보고에 따르면 회원 정보는 10월 4일부터 6일 사이에 외부로 반출됐습니다. 건수는 회원 번호 기준 6,427,735건이며, 같은 이메일 주소로 등록된 회원 기록을 1명으로 세면 6,383,279명입니다(이 중 212,371명은 탈퇴 회원). 대상은 앱 회원, 온라인 스토어 회원, 웹 회원이며, 회원 카드만 사용하고 앱이나 웹으로 등록하지 않은 사람은 포함되지 않습니다. 유출됐을 수 있는 정보는 이름, 생년월일, 성별, 직업, 닉네임, 이메일 주소, 전화번호, 우편번호, 주소, 비밀번호 해시, 포인트 카드 번호, 회원 번호입니다(직업과 닉네임은 10월 16일 정정으로 추가). 다만 모든 회원에게 모든 항목이 유출된 것은 아닙니다. 신용카드 정보 등 결제 정보, 은행 계좌 정보, 매장 매입 시 신분증에서 읽은 문자 정보, 우편 매입의 신분증 이미지는 포함되지 않습니다. 회사는 10월 15일부터 단계적으로 대상 회원에게 이메일을 보냈으며(수신 가능으로 확인된 모든 주소로의 발송은 10월 22일 완료), 공식 온라인 스토어와 앱의 비밀번호를 변경하도록 요청하고 있습니다. 10월 23일에는 Bookoff 회원 사이트에서 로그인해 대상 여부를 확인할 수 있는 웹 조회를 발표했고, 10월 22일에 전용 무료 전화를 개설했다고 밝혔습니다. 11월 6일 3차 보고에서는 외부 전문가와 조사한 결과, 회원 정보를 취급하는 시스템 일부 기능의 접근 제어상 문제를 제3자가 악용한 것이 원인으로 밝혀졌다고 발표했습니다(시스템 구성이나 설정 등 기술적 상세는 공개하지 않음). 3차 보고에 따르면 대상 범위(서비스, 인원, 항목)는 2차 보고와 같으며, 10월 26일~29일에는 공식 앱 알림으로도 대상 회원에게 개별 안내했습니다. 회원 정보의 외부 공개, 포인트 부정 사용, 회원 정보 변경은 확인되지 않았고, 이번 사건으로 포인트 부정 사용이 확인되면 전액 보전하겠다고 밝혔습니다. 개인정보보호위원회에는 12월 초에 확정 보고를 제출할 예정입니다. 이 사이트의 견해: 앱이나 온라인 스토어로 등록한 적이 있다면 공식 앱 또는 직접 연 웹사이트에서 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 바꾸며, Bookoff를 사칭하는 이메일·문자의 링크는 열지 마세요.
다이이치코쇼 협력업체 PC 악성코드 감염(약 872만 건): 빅에코·기타 회원의 이름, 생년월일, 전화번호 유출 가능성 — 대응 방법
2026년 10월 8일, 다이이치코쇼 주식회사는 개인정보 처리를 위탁한 회사의 직원 한 명이 사용하는 PC가 악성코드에 감염되었고, 다이이치코쇼의 고객 정보가 유출되었을 수 있다고 발표했습니다. 위탁 업무와 관련된 개인 데이터가 해당 PC에 일시적으로 저장되어 있었습니다. 이 기록은 매장(빅에코, 메가빅, 가라오케 CLUB DAM, 바나나클럽, B-GARAGE, DK 다이닝)에서 회원으로 등록하거나 예약한 약 8,631,000명의 고객(중복 제외)과 약 93,000명의 직원, 총 약 8,724,000건과 관련됩니다. 항목은 이름(등록 이름), 성별, 생년월일, 이메일 주소, 전화번호입니다. 비밀번호는 포함되지 않았으며, 회사는 이 정보만으로는 포인트를 사용할 수 없다고 말합니다. 외부로 실제 유출되었거나 악용되었거나 회사 자체 시스템에 영향이 있었다는 사실은 확인되지 않았습니다. 10월 9일부터 무료 문의 전화가 열렸습니다. 10월 26일자 추가 공지에서 회사는 영향을 받았을 수 있는 고객에게 SMS 등으로 순차적으로 개별 연락하고 있다고 밝히고, 발신 번호(NTT 도코모, au, 라쿠텐 모바일: 05036052572, +815036052572로 표시될 수 있음. 소프트뱅크: 247473)를 공개했습니다. 이 연락은 새로운 유출이 발견되었다는 뜻이 아니며, 이번 사건으로 인한 외부로의 실제 유출이나 악용은 확인되지 않았다고 밝혔습니다. 또한 발신 번호만으로 SMS가 진짜라고 보장되지는 않는다고 밝혔습니다. 11월 6일에는 외부 전문기관의 포렌식 조사 결과를 발표했습니다. 협력업체가 사용하던 단말기에서 악성코드 감염과 외부 서버와의 부정한 통신이 확인되었고, 이 악성코드에는 단말기 안의 정보를 외부로 전송하는 기능이 있었지만, 실제로 외부로 전송된 정보의 내용과 범위는 특정할 수 없었다고 합니다. 이번 사건으로 인한 개인정보 유출이나 악용은 확인되지 않았습니다. 원격 조작이 이루어졌다고 볼 만한 흔적은 없었고, 조사 시작 시점에 악성코드의 기능은 무력화되어 있었습니다. 대상이 될 수 있는 고객에 대한 개별 안내는 계속되고 있습니다. 이 사이트의 견해: 빅에코나 DAM을 사칭하는 쿠폰, 회원 갱신, 포인트 관련 메시지나 다이이치코쇼를 자칭하는 문자의 링크를 열지 마십시오. 공식 앱이나 직접 연 사이트에서 확인하고, 생년월일을 PIN이나 비밀번호로 사용하는 것을 중단하십시오.
JR동일본, 뷰카드 및 JR규슈 이메일 유출 가능성(2026): 대처 방법
2026년 10월 9일, 동일본여객철도(JR동일본), 주식회사 뷰카드, 규슈여객철도(JR규슈)는 각각 회원에게 이메일을 보내는 데 쓰는 외부 서비스가 클라우드 서비스 제공업체에서 발생한 무단 접근의 영향을 받았으며, 회원의 이메일 주소 등 데이터가 열람 또는 취득되었을 가능성을 배제할 수 없다고 발표했습니다. 대상 건수는 JR동일본의 경우 최대 약 167만 건의 에키넷 회원과 약 39만 건의 어른의 휴일 클럽 회원, 뷰카드의 경우 VIEW's NET 이용자 이메일 주소 약 403만 건, JR규슈의 경우 최대 약 130만 건의 JR규슈 Web 회원입니다. 에키넷, VIEW's NET, JR규슈 Web 회원은 이메일 주소만 해당하며, 어른의 휴일 클럽 회원은 이메일 주소에 더해 회원번호, 신용카드 유효기간, 생년월일이 포함됩니다. 이름, 주소, 전화번호, 카드번호는 대상에서 제외되었다고 합니다. 클라우드 서비스 제공업체는 10월 7일 이른 아침부터 이어진 장애의 원인을 제3자에 의한 랜섬웨어 공격이라고 밝혔습니다. 제공업체는 10월 14일 제5보에서 장애 영향 영역의 가상 서버 내 데이터가 열람되거나 외부로 반출된 흔적은 확인되지 않았으며, 외부로 데이터가 유출되지 않았다고 판단했다고 발표했습니다. JR규슈는 10월 15일 이 조사 결과를 보고받은 뒤, JR규슈 Web 회원의 이메일 주소에 대한 유출 사실은 확인되지 않았다고 발표했습니다. JR동일본의 에키넷 사이트도 10월 15일 메일 발송 서비스 회사로부터 에키넷 회원의 개인정보 유출은 없다고 판단했다는 보고를 받았다고 안내하고 있습니다(10월 19일 확인). 어른의 휴일 클럽 회원과 뷰카드에 대해서는 10월 19일 기준으로 후속 발표를 확인하지 못했습니다(각 회사 사이트에서 확인). 클라우드 서비스 제공업체는 10월 27일 제7보에서 조사가 완료되었다고 밝히고, 원인을 고객용 관리 화면의 인증 시스템에 사용된 오픈소스 소프트웨어의 취약점이라고 공표했습니다. 가상 서버 내 데이터가 외부로 유출되지 않았다는 판단은 바뀌지 않았습니다. 이 사이트의 판단: JR규슈는 유출 사실이 확인되지 않았다고 발표했고, 에키넷은 에키넷 회원의 개인정보 유출은 없었다는 보고를 받았다고 안내하고 있습니다. 그럼에도 이 사건을 빙자한 가짜 이메일은 계속 도착할 수 있습니다. 이메일의 링크로는 로그인하지 말고, 공식 앱이나 직접 저장해 둔 즐겨찾기로 확인하십시오.
NewsPicks 데이터 유출 (카드 소지자 이름과 끝자리, 최대 362,000건): 내부 관리 도구를 통해 무엇이 유출됐는지와 이용자가 해야 할 일
2026년 10월 8일 Uzabase, Inc.는 뉴스 서비스 NewsPicks 운영에 사용되는 관리 도구에 제3자가 권한 없이 접근했고, 일부 이용자의 개인정보가 유출됐을 가능성이 있다고 발표했다. 10월 9일 발표한 두 번째 안내에서 회사는 이번 침입이 해당 관리 도구의 취약점을 악용한 것이라고 밝혔고, 항목별 최대 추정 건수를 공개했다. 웹 결제에 사용된 카드 데이터 일부(카드 소지자 이름과 카드번호 끝 3자리 또는 4자리 등) 362,000건, 이메일 주소 323,000건, 직무 수준 범주 273,000건, 소속 65,000건, 이름 59,000건 등이다. 회사는 카드번호 전체와 보안 코드는 회사 시스템에 저장된 적이 없어 유출되지 않았다고 밝혔으며, 비밀번호 유출은 확인되지 않았다고 한다. 2차 피해는 확인되지 않았다. 이 사이트의 견해: 카드 끝자리나 직장명이 적힌 메시지가 진짜라는 증거는 아니다. 링크를 열지 말고, 공식 앱이나 직접 연 공식 사이트에서 확인하며, 카드 명세서를 주시하라.
스카이티켓(Adventure Inc.) 정보 유출 사고(약 1,464만 건): 비밀번호, 환불 계좌 정보 및 일부 이용자 카드 정보 노출 — 이용자가 오늘 해야 할 일
2026년 10월 9일 Adventure Inc.는 여행 비교·예약 사이트 스카이티켓에서 서로 다른 경로로 발생한 세 건의 불법 접근 사고를 발표했습니다. 첫 번째 사고에서는 관리 기능이 악용되어 이를 출발점으로 다른 서버와 클라우드에 저장된 데이터에 접근했고, 약 1,464만 건의 정보가 유출되었습니다. 여기에는 여권상 표기 이름을 포함한 이름, 생년월일, 이메일 주소, 전화번호, 주소, 계좌 이체 시 사용된 송금인명이 포함되며, 그중 약 413만 건에는 해시 처리된 회원 비밀번호가 포함되어 있었습니다. 두 번째 사고에서는 업무 관리 시스템의 취약점이 악용되어 환불 계좌 정보가 포함된 17,780건(중복 포함, 집계 중인 건수 있음)이 유출되었거나 유출되었을 가능성이 있습니다. 세 번째 사고에서는 로그인하지 않고도 버스 예약 완료 페이지가 표시될 수 있었으며, 약 12,000건의 예약이 열람되었거나 열람되었을 가능성이 있습니다. 회사는 처음에 카드 번호가 유출된 정보에 포함되지 않았다고 밝혔으나, 10월 16일 두 번째 공지에서 이를 정정했습니다. 2017년 2월부터 2018년 6월까지 '스카이티켓 프리미엄' 회원비를 신용카드로 등록하거나 결제한 최대 6,140명의 카드 번호, 카드 명의자 이름, 유효기간(일부는 카드 번호만)이 첫 번째 사고에서 유출되었으며, 프리미엄 혜택으로 제공된 복지 서비스의 회원 ID, 이름, 비밀번호도 함께 유출되었습니다. 여권 이미지는 노출되지 않았고, 10월 9일 공지 시점에 확인된 2차 피해는 회원 계정에 대한 무단 로그인 1건뿐이었습니다(두 번째 공지에서는 유출된 카드 정보가 악용되었는지 언급하지 않았습니다). 이 사이트의 견해: 회원은 오늘 공식 사이트나 앱에서 비밀번호를 변경하고, 같은 비밀번호를 다른 곳에서도 썼다면 그곳도 변경해야 합니다. 해당 기간에 프리미엄 회원비를 위해 카드를 등록하거나 사용했다면 10월 이후 카드 명세서를 확인하고, 환불·보상·예약 변경과 관련된 메시지는 무시하며, 누구에게도 은행 PIN이나 일회용 인증번호를 알려주지 마십시오.
PhotoGoods(Daiko Printing) 결제 페이지 카드 정보 탈취 프로그램: 2026년 8월 6일–9월 11일 결제한 사람이 해야 할 일
2026년 9월 16일 Daiko Printing Co., Ltd.는 운영 중인 서비스 PhotoGoods(photo-goods.com)에 권한 없는 제3자가 접근했다고 발표했으며, 결제 페이지에 입력된 신용카드 정보를 불법으로 빼낼 수 있는 프로그램이 설치되었다고 밝혔습니다. 해당 프로그램은 8월 6일부터 9월 11일 제거될 때까지 작동했습니다. 이 기간에 결제 페이지에 카드를 입력한 사람(구매를 완료하지 않은 사람 포함)은 카드번호, 유효기간, 보안코드와 이름, 주소, 전화번호, 이메일 주소, 회원 비밀번호에서 파생된 정보(변환된 형태로 저장)가 노출되었을 수 있습니다. 회사는 시스템 취약점과 파일 업로드 기능의 악용을 통해 권한 없는 접근이 확인되었다고 밝혔습니다. 영향을 받은 사람의 수와 실제 범위는 조사 중이며, 10월 7일 기준 후속 공지는 없었습니다. 이 사이트의 견해: 해당 기간에 카드를 입력한 사람은 카드사에 카드번호 변경을 요청하고, PhotoGoods 비밀번호를 함께 쓰는 다른 서비스의 비밀번호도 변경하며, ‘사과’나 ‘환불’ 메시지의 링크는 무시해야 합니다.
다이와증권 협력사 침해(고객 약 11만 명, 기록 22만 건): 유출되었을 가능성이 있는 정보와 고객이 해야 할 일
2026년 10월 5일, 일본 대형 증권사 중 하나인 다이와증권 주식회사는 고객 온라인 문의 관리에 사용하는 서비스의 협력사 서버에 무단 접근이 있었다고 발표했습니다. 문의 기록에 포함된 고객 약 11만 명의 이름, 이메일 주소, 계좌번호 등이 유출되었을 가능성이 있으며, 개인을 특정할 수 없는 문의를 포함하면 약 22만 건의 기록이 관련되어 있습니다. 접근은 2026년 10월 2일 오후 8시 33분경부터 10월 3일 오전 8시 1분 사이에 이루어졌으며, 다이와증권 자체 시스템에 대한 무단 접근은 확인되지 않았습니다. 회사는 이 데이터로는 온라인 거래를 포함해 계좌에 접속하거나 거래할 수 없다고 밝혔고, 10월 5일 기준으로 부정 거래나 데이터의 공개 또는 확산은 확인되지 않았다고 합니다. 10월 6일 협력사 측은 같은 서버를 사용하는 최대 5개 고객사 환경의 문의 데이터가 반출되었을 수 있다고 공지했으며, 문의 건수 기준으로 최대 713,126건이 집계되었습니다. 같은 협력사로부터 보고를 받았다며 시티즌 시계(약 10만 명), 솜포 재팬(문의 기준 약 6만 건), ORIX 생명보험(약 26,500건)도 고객 데이터가 유출되었을 가능성이 있다고 발표했습니다. 이 사이트의 견해: 계좌번호와 과거 문의 내용을 알고 있는 가짜 메시지가 나올 수 있습니다. 이메일이나 문자의 링크에서 절대 로그인하지 마시고, 즐겨찾기나 공식 앱에서 접속하여 메시지함과 조작 이력을 확인하십시오.
덴마크 CPR 등록부 불법 조회 (약 880만 명): 유출된 정보와 주민 및 조회 권한을 부여한 기관이 해야 할 일
2026년 10월 5일, 덴마크 연구·교육·디지털화부는 민간 덴마크 기업이 주민등록 시스템(CPR)에서 데이터를 조회할 수 있도록 합법적으로 받은 권한이 권한 없는 사람들에 의해 악용되었고, 생존자, 해외 이주자, 사망자를 포함한 약 880만 명의 등록자에 대해 이름, 주소, CPR 번호 등을 얻었다고 발표했습니다. CPR에는 약 1,100만 명이 등록되어 있습니다. CPR 관리 기관은 10월 2일 저녁 9월 중 비정상적인 활동이 있었던 것을 확인하고 해당 기업의 접근을 중단했습니다. 이름 및 주소 보호 대상자의 이름과 주소는 포함되지 않았습니다. 덴마크 언론에 따르면 10월 9일 CPR 관리 기관은 조회 권한을 가진 1,039개 기업에 보안 규칙을 다시 안내했고, 장관은 보안이 충분하지 않았음을 인정했습니다. 언론은 조회 계정에 비밀번호 123456이 사용되었다고도 보도했으나 공식 확인은 없었습니다. 이 사이트의 판단: 이름, 주소, CPR 번호를 알고 있는 사람이라도 사기꾼일 수 있습니다. 주민은 MitID 정보나 일회용 코드를 절대 공유하지 말아야 하며, 기업은 이 세 가지 정보를 신원 확인 수단으로 더 이상 취급하지 말아야 합니다.
infoQ 설문 사이트 침해 사고(894,082건): 유출된 정보와 회원이 해야 할 일
2026년 10월 5일 GMO리서치&AI 주식회사는 설문 사이트 infoQ에 제3자가 권한 없이 접근했고 회원의 개인정보가 외부로 반출되었다고 발표했습니다. 10월 14일 2차 보고에서 반출된 건수는 894,082건으로 확인되었습니다(1차 보고는 최대 948,498건이라고 했습니다). 항목은 이름, 이름 읽기(후리가나), 성별, 생년월일, 이메일 주소, 자택 주소, 전화번호, 암호화된 비밀번호, 회원 ID, 닉네임과 포인트 잔액 등 기타 등록 정보입니다. 회사는 신용카드 정보와 마이넘버(일본 국민 식별번호)를 보유하지 않는다고 밝혔습니다. 또한 회원의 동의 없이 2,869,500엔 상당의 포인트 611건이 아마존 기프트 코드로 전환되었으며, 회사는 이를 전액 보상하겠다고 밝혔습니다(서비스 재개 시 계정에 적립). 회사는 10월 7일 모든 회원의 비밀번호를 무효화했습니다. 회사는 침입자가 사이트에서 사용하는 소프트웨어의 취약점을 악용했다고 설명합니다. 이 사이트의 견해: 생년월일과 주소가 포함되어 있으면 그럴듯한 가짜 메시지를 만들기 쉽습니다. infoQ 비밀번호를 공유하는 다른 서비스의 비밀번호를 변경하고, 이메일 계정에 2단계 인증을 설정하며, infoQ를 사칭하는 메시지의 링크를 열지 마십시오.
MrMax 앱·온라인 스토어 해킹(최대 약 174만 명): 이름, 이메일, 전화번호 유출 — 회원이 해야 할 일
2026년 10월 6일 일본 할인매장 체인인 MrMax Co., Ltd.는 자사가 운영하는 MrMax 앱과 온라인 스토어의 서버에 제3자가 무단으로 접근했고, 회원 개인정보의 일부가 유출됐다고 발표했습니다. 2026년 10월 3일 기준 회원으로 등록된 최대 1,735,154명이 영향을 받았습니다. 유출 항목은 회원 ID, 이름, 이메일 주소, 전화번호이며(회원이 등록한 내용에 따라 다릅니다), 회사는 주소, 생년월일, 신용카드 정보, 비밀번호, 구매 이력은 유출되지 않은 것으로 확인했다고 밝혔습니다. 회사는 10월 3일 저녁 수상한 접근을 발견해 즉시 서비스를 중단했고, 같은 날 외부 접근을 차단했다고 합니다. 회사에 따르면 제3자가 서비스를 구성하는 소프트웨어의 한 기능을 악용해 서버에 침입했습니다. 공지 시점까지 유출 데이터의 악용으로 인한 피해는 확인되지 않았다고 합니다. 이 사이트의 판단: 이름을 사용한 그럴듯한 이메일, 문자, 전화가 올 수 있습니다. 링크를 열지 말고, 직접 연 공식 앱이나 사이트에서 확인하며, 비밀번호나 카드 번호는 절대 알려주지 마세요.
오사카 공립대학교 랜섬웨어 공격(협력업체 클라우드 스토리지에서 개인정보 유출 확인): 학생, 졸업생, 학부모, 교직원이 해야 할 일
일본 오사카 공립대학교는 2026년 10월 2일 새벽 가상화 플랫폼에서 대규모 장애가 발생해 캠퍼스 네트워크, OMU 메일, 웹사이트, 학사·재무·급여·도서관 시스템이 중단되었다고 밝혔습니다. 10월 5일 기자회견에서 대학은 원인을 랜섬웨어 공격으로 결론지었다고 발표했습니다. 10월 2일부터 8일까지 수업이 취소되었고, 10월 8일 발표한 네 번째 공지에서 대학은 10월 9일부터 전 캠퍼스에서 대면 수업을 재개한다고 알렸습니다. 10월 21일 발표한 다섯 번째 공지에서 대학은 핵심 시스템을 유지·운영하는 위탁업체가 2026년 9월 말 하청업체가 사이버 공격을 받았다고 보고했으며, 하청업체의 정당한 계정을 이용해 대학 시스템에 무단 접근이 이루어졌다고 밝혔습니다. 위탁업체는 자사가 사용하는 클라우드 스토리지에 저장된 대학 관련 개인정보와 시스템 정보가 유출된 것을 확인했다고도 보고했으며, 내용과 규모는 위탁업체와 함께 확인 중입니다. 기자회견에서 유출 가능성이 있다고 밝힌 데이터(학사 관련 시스템 약 13만 건 등)는 대학 자체 가상화 플랫폼에 있으며 별도이고, 유출 여부는 조사 중입니다. 10월 23일 대학은 졸업생과 학부모를 위한 상담창구를 열었습니다. 뉴스 보도에 따르면 서버 약 500대가 멈추었고 백업 데이터 상당수도 암호화되었습니다. 이 사이트의 견해: 대학에서 보냈다고 하는 메시지는 이메일이나 문자의 링크가 아니라 OMU 입학 페이지에서 확인하고, 의심스러운 연락은 대학 상담창구에 신고하십시오. 조직은 위탁업체와 하청업체가 사용하는 계정 목록을 작성하고, 운영 관리자 계정이 삭제할 수 없는 백업을 최소 하나 유지해야 합니다.
라쿠텐 드라이브 침해 사고(15,382개 계정의 저장 데이터): 열람된 내용과 이용자가 해야 할 일
2026년 10월 6일, 클라우드 스토리지 서비스 라쿠텐 드라이브는 제3자가 서비스가 사용하는 일부 시스템의 관리 계정 인증 정보를 부정하게 취득해 시스템에 접근했고, 정보를 입수해 열람했다고 발표했습니다. 영향을 받은 대상은 2026년 1월 29일부터 9월 17일까지 15,382개 계정의 저장 데이터(사진 및 문서 포함), 8월 27일 687개 계정의 계정명, 표시 이름, 프로필 이미지 URL, 같은 날 313개 계정의 계정명, 표시 이름, 암호화된 비밀번호, 비밀번호 암호화 과정에서 추가된 문자열, 프로필 이미지 URL입니다. 서비스 측은 2차 피해가 확인되지 않았다고 밝혔으며, 영향받은 이용자에게 이메일 등으로 개별 통지하겠다고 했습니다. 서비스는 7월 30일 확인된 의심스러운 푸시 알림에 대한 8월 13일 업데이트에서 당시에는 제3자의 저장 데이터 무단 접근이 확인되지 않았다고 밝힌 바 있습니다. 이 사이트의 판단: 비밀번호와 달리 저장된 파일은 되돌릴 수 없습니다. 안내문이 왔는지 확인하고, 저장해 둔 신분증 문서나 계약서는 노출된 것으로 간주하며, 비밀번호를 변경하고, 라쿠텐 드라이브를 사칭하는 메시지, 결제 요구, 협박에는 응답하지 마십시오.
아바하우스 개인정보 유출: 주문 내용까지 유출됐을 가능성, 가짜 환불 메일 대처법
2026년 10월 2일, 아바하우스 인터내셔널 주식회사는 제3자(해외 추정)에 의한 내부 시스템 무단 접근으로 회원 ID, 이름, 주소, 전화번호, 이메일 주소, 생년월일, 성별 및 주문 내용(주문 일시, 상품명, 금액, 배송지 등)이 유출됐을 가능성이 있다고 발표했습니다. 유출 범위를 완전히 파악할 수 없어, 회사는 10월 2일 구매 이력 등을 바탕으로 영향을 받았을 수 있다고 판단한 고객에게 메일을 보냈습니다. 회원 데이터는 탈퇴 1개월 후 삭제되지만, 법적·회계적 이유로 과거 주문 기록은 일정 기간 보관되며, 회사는 해당 주문에 대한 접근을 배제할 수 없다고 밝혔습니다. 이에 따라 탈퇴 회원에게도 같은 메일이 발송되었습니다. 피해 규모는 아직 공개되지 않았습니다. 카드 번호와 보안 코드는 결제 대행사가 관리하며, 유출이 확인되지 않았다고 합니다. 이번 사건은 실제 주문과 일치하는 의심스러운 환불 메일을 받은 여러 고객의 신고로 드러났습니다. 10월 9일 후속 발표에서 회사는 침입 경로를 차단했고 추가 확산은 확인되지 않았으며, 경찰에 피해 신고를 했고, 금전 피해 신고는 접수되지 않았다고 밝혔습니다. 유출 데이터의 범위와 원인의 세부 사항은 외부 전문가와 함께 여전히 조사 중입니다. 이 사이트의 견해: 주문 내용이 정확하다고 해서 그 메시지가 진짜라는 증거는 아닙니다. '환불'이나 '재고 부족' 메일의 링크를 누르거나 LINE으로 옮겨 가지 말고, 대신 마이페이지에서 주문 내역을 확인하세요.
금융회사 7곳 잇단 해킹·정보 유출(신한은행 발표 고객 약 2만 5천 명): 연소득·대출한도·주민등록번호 유출과 고객이 지금 할 일
2026년 10월 1일부터 4일까지 국내 금융회사 7곳이 외부의 비인가 접근에 따른 정보 유출을 발표하거나 당국에 신고했다. 고객 정보는 신한은행 약 2만 5천 명(성명·전화번호·연소득·대출한도 등, 이 중 주민등록번호 66건), KB국민은행 119명(암호화된 주민등록번호 등), 하나은행 89명(주민등록번호 등 7개 항목), 예가람저축은행 약 4만 명(추정)이다. 보도에 따르면 웰컴저축은행은 법인고객 담당자 정보 최대 약 2,200건(추정), 현대캐피탈은 주택담보대출 모집인 146명(주민등록번호 포함), BNK부산은행은 외주 개발업체 직원 11명의 정보가 유출됐다. 10월 4일 이재명 대통령이 철저한 조사를 지시했고, 금융당국은 금융회사 약 500곳에 긴급 점검을 요구했다. 같은 날 금융위원장은 AI를 활용한 해킹 공격의 가능성도 배제할 수 없다고 말한 것으로 보도됐지만, 확인된 원인은 아니다. 10월 5일 경찰이 정식 수사에 착수했다고 보도됐고, 10월 6일 금융위원회는 소비자경보(주의)를 발령했다. 공통 원인은 공식적으로 확정되지 않았다. 이 사이트의 결론 = 내 연소득이나 대출한도를 정확히 아는 전화라도 은행 전화라는 증거가 되지 않는다. 일단 끊고, 직접 찾은 대표번호로 다시 걸어 확인한다.
라신방 데이터 유출: 신분증 번호와 환급 계좌 정보가 유출됐을 수 있음(신분증 이미지는 제외) — 판매자가 해야 할 일
2026년 10월 1일, 주식회사 라신방은 2026년 9월 14일부터 16일까지 회사가 운영하는 서비스에 대한 부정 접근으로 이름, 주소, 전화번호, 이메일 주소, 생년월일, 직업과 함께, 매입 신청 시 입력한 본인확인서류의 종류와 번호, 은행명, 지점명, 계좌번호, 예금주, 매입 동의서 이미지, 매입 및 주문 내역이 유출됐을 수 있다고 발표했습니다. 회사는 신용카드 정보와 비밀번호는 유출되지 않았으며, 마이넘버(일본 개인번호)는 수집하지 않는다고 밝혔습니다. 10월 9일 추가 공지에서는 운전면허증을 포함한 신분증 이미지는 유출되지 않았다고 명시했습니다. 안내문에는 대상자가 회사로부터 개별 이메일을 받은 사람이라는 항목도 추가됐습니다. 2026년 10월 10일 기준, 피해 규모와 원인은 공개되지 않았습니다. 이 사이트의 견해: 계좌번호와 예금주명만으로는 돈을 인출할 수 없지만, 계좌 정보, 신분증 번호, 실제 매입 내역을 근거로 진짜처럼 보이는 연락에는 응하지 마십시오. 비밀번호, 로그인 정보, 인증 코드는 누구에게도 알려주지 말고, 신분증 번호가 유출됐다면 일본 신용정보기관에 본인 신고를 하는 것을 고려하십시오.
세이코마트 앱 정보 유출 사고(회원 약 57만 5천 명): 이름, 주소, 생년월일 열람 — 회원이 해야 할 일
2026년 9월 29일 일본에서 세이코마트 편의점 체인을 운영하는 Seicomart Co., Ltd.는, 세이코마트 스마트폰 앱 뒤편 서버를 통해 제3자가 회원 정보가 저장된 서버에 무단으로 접근했다고 발표했습니다. 10월 5일 발표한 네 번째 공지에서 회사는 영향을 받은 계정이 앱에 등록된 클럽 회원 574,647명이며, 9월 24일까지 클럽 카드 프로그램을 탈퇴한 사람은 포함되지 않는다고 밝혔습니다. 열람된 항목은 성과 이름, 성별, 생년월일, 주소, 전화번호, 이메일 주소, 클럽 카드 가입일과 탈퇴일입니다. 비밀번호 정보와 구매 이력은 유출되지 않았으며, 회사는 신용카드 정보를 보관하지 않습니다. 10월 5일부터 회사는 앱 안내를 통해 모든 앱 회원에게 영향 여부를 알리고 있습니다. 회사는 신규 가입, 회원 정보 조회 및 변경, 등록 카드 변경을 위한 앱 및 웹 기능을 중단했으며, 이제 요청은 매장이나 양식을 통해 처리됩니다. 사고 원인은 공개되지 않았습니다. 이 사이트의 견해로는 노출된 정보는 바꿀 수 없는 개인 정보이며, 가장 가능성이 큰 다음 단계는 회사를 사칭한 설득력 있는 이메일, 문자, 전화입니다. 앱 안내에서 영향 여부를 확인하고, 이런 메시지의 링크나 지시를 따르지 마시고, 생년월일을 PIN이나 본인 확인 답변으로 사용하는 것을 중단하십시오.
E-store ShopServe 데이터 유출(최종 보고: 약 2,336만 명): 구매자, 쇼핑몰 운영자, 제휴사(어필리에이트)가 해야 할 일
E-store Co., Ltd.는 2026년 10월 16일 최종 보고에서, 온라인 쇼핑몰 구축 서비스 ShopServe의 서버에서 제3자가 애플리케이션의 취약점을 악용하여 2026년 5월 21일부터 8월 1일 사이에 데이터베이스의 내용을 외부로 전송했다고 밝혔습니다. 영향을 받는 사람은 약 23,356,000명(구매자·회원, 쇼핑몰 운영자, 제휴사 합계이며 중복을 제거한 대략적인 수치)이고, 그중 약 2,096,900명은 카드 정보 일부가 포함되었습니다. 영향을 받는 쇼핑몰은 7,858곳(현재 및 과거 ShopServe 쇼핑몰 포함)입니다. 유출 항목에는 구매자의 이름, 주소, 전화번호, 이메일 주소, 근무처, 회원 ID와 암호화된 비밀번호, 카드 명의자 이름, 카드 번호 앞 6자리와 뒤 4자리, 유효기간, 그리고 쇼핑몰과 제휴사의 인증 정보가 포함됩니다. 카드 번호 전체와 보안 코드는 보관하지 않아 영향이 없었습니다. 최종 보고는 2차 보고를 정정하여, 쇼핑몰의 메일 시스템과 FTP의 ID·비밀번호, 그리고 E-store가 대금을 송금하는 계좌(정산 계좌)의 은행 계좌 정보는 유출되지 않은 것으로 확인했다고 밝혔습니다. 2차 피해는 보고되지 않았습니다. 이 사이트의 결론: 대부분의 구매자는 각 쇼핑몰 자체 사이트에서 구매했을 뿐 ShopServe라는 이름을 들어 본 적이 없습니다. 어느 쇼핑몰인지 알 수 없더라도, 실제 주문 내용이나 카드 끝 4자리가 적힌 메시지는 의심하고, 카드 명세서를 확인하고, 재사용한 비밀번호를 변경하세요. 쇼핑몰 운영자와 제휴사는 관리자 또는 제휴사 비밀번호를 변경하고 2단계 인증을 켜세요.
TEMAIRAZU 불법 접근(2026): 투숙객과 숙박업소를 위한 안내
2026년 9월 28일 Temairazu, Inc.는 호텔과 료칸이 여러 경로의 예약을 한곳에서 관리하는 데 쓰는 시스템인 TEMAIRAZU 시리즈에 대한 불법 접근을 발표했습니다. 9월 21일 늦은 밤부터 이 시스템을 쓰는 숙소의 투숙 예약자들에게 WhatsApp 등 메시징 앱, 이메일, SMS로 의심스러운 메시지가 도착하기 시작했습니다. 메시지는 예약 정보를 알고 있는 듯했으며, 사전 체크인이나 예약 유지 등을 구실로 카드 정보 입력이나 결제를 요구하는 외부 웹사이트로 수신자를 유도했습니다. 회사는 10월 7일의 두 번째 보고서(영문판 10월 8일)에서 제3자가 열람했거나 취득했을 수 있는 정보로 투숙객 이름, 전화번호, 이메일 주소, 숙박시설명, 체크인 날짜, 체크아웃 날짜, 숙박 요금을 열거했습니다. 회사는 신용카드 정보와 예약 사이트의 로그인 정보를 보관하지 않는다고 밝혔습니다. 10월 9일 투자자 대상 적시 공시에서는 예약 정보가 관련된 사람 수를 최대 약 445만 명으로 제시했고, 외부 보안 전문 업체에 조사를 의뢰했다고 밝혔습니다. 시스템을 사용하는 호텔의 공지에 따르면 원인은 회사가 과거에 제공한 설치형 제품 일부 기능의 보안 문제였으며, 9월 26일에 수정이 완료되었습니다. 이 사이트의 견해: 여행 사이트를 통해 예약한 사람도 영향을 받았을 수 있습니다. 호텔을 사칭한 메시지가 카드 정보를 다시 입력하거나 결제하라고 요구하면, 내용이 맞아 보여도 응하지 말고 예약 사이트의 공식 앱이나 호텔 공식 웹사이트에 적힌 전화번호로 확인하십시오.
야마토·사가와 데이터 유출 (2026): 영향 범위와 대응
야마토운송은 2026년 9월 28일 쿠로네코 후불결제 서비스에 대한 부정 접근을 발견했고, 사가와익스프레스는 9월 30일 택배 조회 서비스에 대한 부정 접근을 발견했다. 10월 1–2일 두 회사는 모두 개인정보가 유출되었을 수 있다고 발표했다. 두 사건은 별개이며, 어느 회사도 서로의 연관성을 언급하지 않았다. 야마토는 10월 16일 네 번째 공지에서 데이터가 탈취되었다고 밝혔다. 2018년 10월 1일부터 2026년 9월 28일까지의 후불결제 이용자 약 526만 건(이름, 주소, 전화번호, 이메일 주소, 상품 정보 등), 일부 이용자의 배송지 정보 약 5만 건, 참여 가맹점 약 4,100건이다. 청구 금액, 미납 잔액, 직원 이름은 탈취된 것으로 확인되지 않았다. 사가와는 10월 23일 다섯 번째 공지에서 2026년 6월 21일부터 9월 30일까지(약 100일) 취급한 택배의 발송인과 수취인 이름, 주소, 전화번호 등이 유출되었을 수 있다고 밝혔고, 최대 건수는 약 5,323만 건(중복 포함, 사람 수가 아님)이라고 했다. 손글씨 송장으로 접수된 택배는 포함되지 않는다. 두 건 모두 신용카드 정보와 비밀번호는 포함되지 않는다. 야마토는 10월 9일 후불결제 서비스를 재개하고 결제 기한을 17일 연장했다. 사가와는 10월 23일 택배 조회 서비스를 재개했으나, 온라인 예약을 포함한 웹 서비스 8개는 여전히 중단된 상태다. 이 사이트의 판단: 사가와의 경우, 직접 이용하지 않았더라도 택배를 받은 적이 있다면 영향을 받을 수 있다. 가짜 배송 불가 안내와 결제 요구 문자에 실제 이름과 주소, 택배를 받았다는 사실 또는 구매 내역이 포함되어 있을 수 있다고 가정해야 한다. 이런 문자의 링크는 열지 말고, 공식 앱이나 구매한 쇼핑몰의 주문 내역에서 확인하라.
부킹닷컴 예약 정보 유출: 숙소를 사칭한 사기 메시지를 구별하는 방법
2026년 4월 부킹닷컴(Booking.com)은 권한 없는 제3자가 일부 예약 정보에 접근할 수 있었을 가능성이 있다고 고객에게 통지하고, 해당 예약의 PIN을 변경했으며, 문제를 차단했다고 밝혔다. 통지문과 보도된 회사 대변인의 설명에 따르면 대상 정보는 예약 세부 정보, 이름, 이메일 주소, 전화번호, 숙소와 주고받은 메시지 등이며, 금융 정보에는 접근되지 않았다. 대상 인원과 원인은 공개되지 않았다. 이 사이트의 결론 = 숙소 이름·날짜·요금이 맞는다는 것은 더 이상 아무것도 증명하지 않는다. 판단 기준은 직접 연 공식 앱의 예약에 적힌 결제 정책과 요청이 일치하는지다. 카드 정보 재입력, 링크를 통한 결제, 정책에 없는 송금 요청은 모두 거절한다.
채비(CHAEVI) 개인정보 유출(29만 8천 건): 무엇이 유출됐고 회원은 무엇을 해야 하나
채비(CHAEVI)의 2026년 7월 26일·30일 공지에 따르면, 7월 23일 외부의 불법적인 해킹 공격으로 개인정보 총 298,333건이 유출됐다. 이메일 단독 164,858건, 이메일+비밀번호(암호화) 131,411건, 이메일+이름·연락처(암호화)+성별·생년월일 등 1,235건, 여기에 비밀번호(암호화)까지 포함된 829건이다. 채비는 주민등록번호·여권번호·카드·계좌번호는 수집·보유하지 않아 유출되지 않았다고 밝혔고, 조사 과정에서 2025년 1월경의 별도 유출도 확인해 조사 중이라고 밝혔다. 공지의 유출 항목에 충전 이력이나 위치 정보는 들어 있지 않다. 사기에 가장 쓰이기 쉬운 것은 모든 건에서 암호화되지 않은 채 유출된 이메일 주소와 '전기차 충전 앱 회원'이라는 사실이다. 충전 요금·미납·보상을 내세운 메일과 문자를 기본적으로 무시하고, 비밀번호는 같은 조합을 쓰는 다른 서비스부터 바꾼다.
티빙 개인정보 유출: 보상을 사칭한 사기 문자와 회원이 지금 할 일
과학기술정보통신부 민관합동조사단의 2026년 9월 3일 조사결과에 따르면 티빙 침해사고로 활성·휴면·탈퇴·테스트 계정을 합쳐 3,954만 개(중복 포함) 계정 정보가 유출됐고, 유출 항목은 ID, 성명, 생년월일, 연계정보(CI), 중복가입확인정보(DI), 환불 계좌번호(암호화), 비밀번호(일방향 암호화) 등 20개 항목(70종)이다. 비밀번호는 복호화가 불가능한 상태로 확인됐다. 이 사이트의 결론 = 티빙이 실제로 보상 신청을 받고 있기 때문에 '보상·환불'을 내세운 가짜 문자가 가장 그럴듯해진다. 보상은 문자 링크가 아니라 직접 연 공식 앱에서만 확인하고, 비밀번호는 다른 곳에 재사용한 경우 그쪽부터 바꾸고, 명의도용 알림 서비스를 켜 둔다. 운영자에게는 개발자 한 명의 접속키로 전체 소스코드에 접근할 수 있었고, 그 소스코드 안에 운영환경 접속키가 들어 있었다는 구조가 교훈이다.
타임스카 데이터 유출(이름·주소 등 6,628,007건, 신분증 이미지 약 146만 건 외부 전송 흔적): 마이페이지 확인 방법과 회원·전 회원의 대응
2026년 10월 23일 발표한 다섯 번째 공지에서 Times Mobility Co., Ltd.는 외부 포렌식 조사가 종료되었다고 밝히고 최종 건수를 공개했다. 타임스카 웹 시스템에서는 이름, 주소, 생년월일, 전화번호, 이메일 주소, 운전면허 정보 6,628,007건에 대해 공격자의 접근과 외부 전송 흔적이 확인되었다. 암호화되어 보관된 신분증 이미지 중 1,464,800건은 외부 전송 흔적이 있었고(회사는 앞서 약 160만 건이 유출되었을 수 있다고 말한 바 있다), 891,602건은 접근되었으나 외부 전송 흔적은 없었다. 해시화된 비밀번호는 4건에서 외부 전송 흔적이 확인되었다. 부정 접근이 확인된 관련 Times Club 웹 시스템에서는 Times Club 카드 번호 19,510건, 연계 서비스 ID 135,436건, 신용카드 끝 4자리 정보 28건 등에서 외부 전송 흔적이 확인되었다(회사는 카드 전체 번호와 보안 코드를 보유하지 않는다고 밝혔다). 원인은 웹 시스템 취약점의 악용이다. 회사는 이미지가 외부로 전송된 사람에게 3,000엔 상당의 지급을 하겠다고 밝혔으며(세부 사항과 방법은 아직 결정 중), 10월 23일 17시부터 각자의 유출 항목을 마이페이지에 표시하고 있다. 본 사이트의 견해: 먼저 마이페이지에서 본인의 항목을 확인하라. 신분증 이미지가 외부로 전송되었다면 신용정보회사에 사기 경보를 등록하고 신용정보를 조회하라. 모든 사람은 회사를 사칭하는 연락을 무시해야 한다. 전 회원은 전용 양식으로 문의할 수 있다.
내 이메일 주소로 스팸이 온다: 대개 보낸 사람 위조이며, 해킹 여부를 확인하는 법
내 주소에서 '보낸' 것처럼 오는 스팸의 대부분은 보낸 사람 필드가 위조된 것이고, 계정은 건드려지지 않았습니다. 일본의 IPA와 JC3는 이렇게 꾸민 협박 메일을 모두 경고했고, IPA는 상담 창구에서 영상이 실제로 공개된 사례를 한 건도 확인하지 못했다고 밝힙니다. 본 사이트의 견해: 보내는 쪽은 From 필드에 무엇이든 쓸 수 있습니다. 당황하기 전에 보낸편지함, 로그인 기록, 전달 규칙 세 곳을 5분만 확인하세요. 그리고 메일에 지금도 쓰는 비밀번호가 적혀 있다면 오늘 바꾸세요.
서브도메인 탈취(dangling DNS): 남겨진 DNS 레코드로 공격자가 내 도메인을 쓰는 구조
DNS 레코드를 지우지 않고 클라우드 리소스만 삭제하면 '매달린(dangling)' 항목이 남습니다. 누구든 같은 FQDN으로 리소스를 만들면 그 서브도메인을 차지할 수 있습니다. 내 서버는 건드려지지 않은 채, 정상 서브도메인이 공격자의 콘텐츠를 내보냅니다. 피해는 겉모습에 그치지 않습니다. 앱은 흔히 세션 쿠키를 와일드카드 서브도메인에 공개하므로, 탈취된 서브도메인이 그것을 읽을 수 있습니다. 그리고 문서는 인증서가 지켜 준다는 믿음을 명시적으로 부정합니다. 해결책은 삭제 순서를 기억에 맡기지 않고 절차와 도구에 넣는 것입니다.
KADOKAWA·Niconico 랜섬웨어 사고(2024) — 왜 피해가 전사로 번졌나, 네트워크 분리와 BCP
침투 경로는 직원의 자격 증명을 훔친 피싱으로 설명됩니다. 거기서 사내 네트워크가 뚫려 랜섬웨어가 실행되었고, Niconico를 포함한 그룹의 다수 서비스가 수개월간 정지했으며 약 25만 명의 데이터가 유출되었습니다. 피해가 전사로 번진 배경으로는 중요도가 크게 다른 시스템이 같은 네트워크에 함께 있어 충분히 분리되지 않았던 점이 보도·분석에서 지적됩니다. 네트워크를 중요도로 분리하고, 피싱에 강한 인증을 쓰며, 사업 연속성(BCP)과 복구를 준비해 방어하세요.
AI 시대에 효과가 있는 보안 대책과 없는 대책: 작은 사이트도 노려지는 이유
AI 시대의 네 가지 오해를 바로잡는다: (1) 너무 작아서 표적이 안 된다 → 자동화된 공격은 사람이 표적을 고를 필요가 없다; (2) 특별한 새 통제가 필요하다 → 여전히 기본기가 가장 효과적이다; (3) 제품이 안전하게 해준다 → 탐지보다 예방 설계가 먼저; (4) AI 코드는 빠르니 안전하다 → 취약점을 포함한 채 출시될 수 있으니 공개 전 검토. 통하는 것은 올바른 순서의 지루한 기본기다.
자기 도메인을 사칭한 이메일 스푸핑: 침해와 구분하는 법, 그리고 SPF·DKIM·DMARC로 막는 법
자기 도메인에서 온 것처럼 보이는 수상한 메일은 보통 침해가 아니라 From 위조다 — SMTP가 누구나 From 줄을 쓰게 허용하기 때문. 헤더(Authentication-Results, Received, Reply-To)를 읽으면 침해와 위조를 구분할 수 있다. 받은편지함에 도달하는 주된 이유는 DMARC 정책 부재. SPF → DKIM → DMARC(p=none → reject) 순서로 고친다.
피싱이란? 공격 유형과 알아채기보다 믿을 수 있는 방어법
피싱은 신뢰하는 상대를 사칭해 가짜 로그인 페이지로 유인하여 자격 증명이나 데이터를 훔치거나 악성코드를 실행시킵니다. 소프트웨어 결함이 아닌 사람의 판단을 노리며, 랜섬웨어와 정보 유출의 최대 진입 경로입니다. 현대의 중간자(AiTM) 피싱은 일회용 코드까지 실시간으로 실제 사이트에 중계하므로 SMS/앱 MFA가 무력화될 수 있습니다. 믿을 수 있는 방어는 '알아채기'가 아니라 메커니즘입니다. 도메인에 묶인 피싱에 강한 MFA(패스키/보안 키), 링크 대신 공식 사이트로 직접 가기, 이메일 인증(SPF/DKIM/DMARC).
랜섬웨어란? 동작 원리, 침투 경로, 그리고 몸값을 내지 않는 법
랜섬웨어는 파일을 암호화하고 되돌려주는 대가로 지불을 요구하는 악성코드입니다. 현대의 공격은 이중 갈취를 더합니다 — 먼저 데이터를 훔치고 유출하겠다고 협박하므로, 복호화만으로는 침해가 멈추지 않습니다. 주요 진입 경로: 피싱, 약하거나 MFA가 없는 VPN/RDP, 패치되지 않은 인터넷 노출 결함. 가장 중요한 방어는 오프라인/불변 백업과 복원 테스트 — 몸값 없이 복구할 수 있는 능력입니다. 또한 침입을 막고(MFA, 패치) 피해를 제한하세요(최소 권한, 분할).
MFA를 제대로 고르기: '피싱 저항'이 무엇이고, SMS가 왜 약한가
MFA는 서로 다른 종류의 요소를 결합한다. 직접 입력하는 코드는 피싱으로 중계될 수 있고 SMS는 전화번호의 통제에도 의존한다. 중요한 계정에는 패스키나 FIDO2 보안 키 같은 피싱 저항 방식을 우선하고, 사용자 확인 요구와 복구 방법도 점검한다.
공용 Wi-Fi의 위험: 도청보다 가짜 액세스 포인트와 인증서 경고가 더 중요하다
공용 Wi-Fi '도청'은 HTTPS로 대부분 완화되어 이제 우선순위가 낮습니다. 진짜 위험은 (1) 이블 트윈 가짜 AP에 스스로 접속, (2) 인증서 경고 무시, (3) 공유 네트워크에 기기 노출입니다. 가장 효과적인 대책은 단순합니다: 폰 테더링을 쓰고, HTTPS와 인증서 경고를 신뢰하고, 모르는 SSID에 자동 접속하지 마세요. VPN은 그다음 계층입니다.