일본 개인정보 유출 가능 건수 1억6,500만 건 넘어…기업들 잇따라 피해 공개

일상적으로 이용하는 서비스에서 수백만 건의 기록 노출

보안업체 마크니카의 집계에 따르면 2026년 일본에서 무단 접근으로 유출됐을 가능성이 있는 개인정보는 1억6,500만 건을 넘어섰다. 철도 이용, 쇼핑, 노래방, 소프트웨어, 택배, 차량 공유 등 여러 분야에서 정보가 노출됐으며, 이미 계정을 해지한 이용자의 정보도 포함됐다.

소스넥스트는 10월 15일 고객 기록 2,251만9,960건이 유출됐을 가능성이 있다고 발표했다. 여행 예약 사이트 스카이티켓을 운영하는 어드벤처는 약 1,464만 건의 기록이 영향을 받았을 가능성을 공개했다. 야마토운수는 이후 후불 결제 서비스와 관련된 기록 531만 건이 영향을 받았다고 확인했다.

1억6,500만 건은 사고별 개인정보를 누적한 수치다. 따라서 여러 피해 서비스에 정보가 포함된 사람은 중복 집계될 수 있다. 이 수치에는 유출 가능성이 있는 정보와 기업이 침해 사실을 확인한 정보가 모두 포함된다.

마크니카가 특정 유형의 웹사이트 침해를 더 자세히 조사한 결과, 10월 6일까지 공개된 사고는 119건으로, 2025년 한 해 동안 집계된 84건을 이미 넘어섰다. 이 가운데 81건은 7월 이후 공개됐다.

일본 정보처리추진기구(IPA)는 10월 9일 긴급 경보를 내고 기업 경영진에 인터넷 서비스와 계정, 저장된 데이터를 점검하라고 촉구했다. IPA의 권고는 두 가지 시급한 과제를 제시한다. 침입자를 찾아내고, 이들이 훔칠 수 있는 개인정보의 양을 줄이는 것이다.

고객이 입을 피해는 각 서비스가 어떤 정보를 보관했는지에 따라 달라진다. 영향을 받은 데이터베이스 중에는 연락처 정보만 담긴 곳도 있었고, 비밀번호나 신용카드 정보, 신분증 이미지가 포함됐을 가능성이 있는 곳도 있었다. 이번 사고들은 협력업체에 대한 공격이 여러 기업의 고객에게 동시에 피해를 줄 수 있다는 점도 보여준다.

마크니카의 집계 기준과 증가세가 중요한 이유

마크니카의 웹사이트 침해 분석은 2024년 1월부터 2026년 10월 6일까지 일본 내 기관이 공개한 사고 265건을 조사했다. 연간 사고 건수는 2024년 62건, 2025년 84건, 그리고 아직 끝나지 않은 2026년에는 119건으로 증가했다.

2026년 집계치는 이전 연간 기록보다 이미 35건, 약 42% 많았다. 7월 이후 공개된 81건은 올해 전체의 약 68%, 조사 대상 265건 전체의 약 31%를 차지했다.

마크니카 보안연구센터의 세지야마 유타카가 공개 자료 분석을 맡았고, 공격 분석에는 이토추 사이버 앤드 인텔리전스의 사토 모토히코와 시큐어스카이테크놀로지 최고기술책임자(CTO) 하세가와 요스케가 참여했다.

연구진은 서로 비슷한 특징이 있다고 판단한 사고를 선별했다. 랜섬웨어와 일부 다른 유형의 공격은 데이터에서 제외했다. 여기에는 다른 서비스에서 훔친 비밀번호로 고객 계정에 접속하려는 시도도 포함된다. 한 협력업체에서 발생한 사고로 여러 고객사가 피해를 공개한 경우, 연구진은 해당 협력업체 사고를 한 건으로 집계했다.

아래에서 다루는 기업들의 광범위한 사고 공개에는 랜섬웨어 사고도 포함된다. 따라서 독자는 두 가지 지표를 구분해야 한다. 유출됐을 가능성이 있는 고객 정보의 양과 마크니카의 기술 조사에서 추적한 선별된 웹사이트 침해 건수다.

어느 기업에서 가장 많은 정보가 노출됐나

소스넥스트는 영향을 받았을 가능성이 있는 정보에 이름, 주소, 전화번호, 직장, 이메일 주소, 비밀번호가 포함된다고 밝혔다. 이 소프트웨어 업체는 10월 13일 회원 정보 시스템에 대한 무단 접근을 확인했고, 이틀 뒤 정보가 노출됐을 가능성을 발표했다.

어드벤처는 스카이티켓의 서버와 업무 관리 시스템을 겨냥한 공격으로 개인정보 기록 약 1,464만 건이 영향을 받았을 가능성이 있다고 밝혔다. 신용카드 번호와 여권 번호는 유출되지 않았다고 설명했다.

빅에코 노래방 체인을 운영하는 다이이치코쇼는 외부 협력업체가 관리하는 시스템을 통해 개인정보 기록 약 872만 건이 노출됐을 가능성이 있다고 밝혔다. 이번 사고는 위탁업체에서 발생한 악성코드 감염과 관련이 있었다.

JR동일본은 고객 계정 약 609만 개가 침해됐을 가능성이 있다고 밝혔고, JR규슈는 피해 가능 계정이 약 130만 개라고 발표했다. 두 회사 모두 소프트뱅크의 클라우드 서비스 자회사 IDC프론티어에 대한 랜섬웨어 공격을 침해 원인으로 지목했다. 양사의 공개 수치를 합하면 약 739만 계정이다.

북오프그룹홀딩스는 회원 데이터를 관리하는 자회사에 무단 접근이 발생한 뒤 최대 643만 명의 고객 정보가 노출됐을 가능성을 처음 공개했다. 이후 설명에서는 전 회원 약 21만 명을 포함해 약 638만 명의 정보가 유출됐다고 밝혔다.

로손은 무단 접근으로 고객 기록 215만 건 이상이 영향을 받았으며, 이름과 이메일 주소, 신용카드 정보가 포함됐을 가능성이 있다고 발표했다. 뉴스픽스를 운영하는 유저베이스는 관리 도구에 대한 무단 접근으로 일부 이용자 정보가 노출됐을 수 있다고 밝혔다.

로손과 다이이치코쇼, 유저베이스는 발표 당시 불법적인 정보 이용은 확인되지 않았다고 밝혔다. 철도 운영사와 북오프, 어드벤처도 제3자의 정보 오용 정황을 찾지 못했다며 고객에게 의심스러운 이메일과 전화에 주의하라고 당부했다.

배송 기록과 개발 도구, 학교도 피해

야마토운수는 10월 16일 후불 결제 서비스 일부 이용자의 개인정보 기록 531만 건이 침해됐다고 밝혔다. 회사는 9월 29일 처음으로 침해 사실을 발표했다.

영향을 받은 정보에는 2018년 10월 1일부터 약 8년간 수집한 이름, 주소, 전화번호가 포함됐다. 장기간에 걸쳐 쌓인 고객 정보가 한 차례의 침입으로 노출될 수 있다는 점을 보여준다.

니케이신문은 시스템 개발에 사용되는 클라우드 서비스에 대한 무단 접근으로 이름, 주소, 이메일 주소 등을 포함한 기록 약 183만 건이 침해됐다고 밝혔다. 개발 서비스는 소프트웨어를 구축하거나 유지보수하는 데 쓰이므로, 기업 기술 환경의 또 다른 영역이 공격에 노출될 수 있다.

일본 문부과학성도 9월 말부터 이번 사고 공개 직전 목요일까지 대부분 대학인 학교 8곳에서 침해 사고가 보고됐다고 밝혔다. 마크니카 조사에서 피해가 확인된 서비스는 도서관 자료 검색, 관광열차 예약, 대학 기숙사 예약, 티켓 환불 관리 등 다양했다.

사고 공개 경과

여러 사고가 몇 주 사이에 잇따라 공개됐고, 관련 정보의 범위를 파악하기 위한 조사는 계속됐다. 소스넥스트의 사례에는 침입 시점과 대응 시점이 특히 구체적으로 담겨 있다.

• 9월 29일: 야마토운수가 침해 사실을 처음 발표했다. 파크24는 9월 말 차량 공유 서비스 데이터 침해를 공개했다.
• 10월 6일: 마크니카의 조사 기준일 집계에서 2026년 웹사이트 침해 공개 사례는 119건을 기록했다.
• 10월 8일: 마크니카는 일본 컴퓨터 보안사고 대응 조직인 JPCERT/CC의 관련 경고를 참고 자료에 추가했다.
• 10월 9일: IPA가 긴급 점검 권고를 발표했다. JR동일본, 북오프, 다이이치코쇼, 어드벤처 등도 이날 사고를 공개했다. 소스넥스트는 이후 10월 9일 오전 10시께 침입이 시작된 것으로 추적했다.
• 10월 13일: 소스넥스트는 오전 9시께 무단 접근을 감지하고, 오후까지 이를 차단하기 위한 긴급 조치를 취했다.
• 10월 15일: 소스넥스트가 2,251만9,960건의 정보가 노출됐을 가능성을 발표했다.
• 10월 16일: 야마토운수가 피해 기록 531만 건의 세부 내용을 공개했고, 니케이신문도 침해 사실을 발표했다. 파크24는 신분증 이미지 삭제를 10월 말까지 마칠 계획이라고 밝혔다.

소스넥스트의 시간표를 보면 무단 접근이 감지되기 거의 나흘 전부터 시작됐다. 최근 활동을 살핀 뒤 조사 범위를 더 과거로 넓히라는 IPA의 지침은 경보가 울리기 전에 무슨 일이 있었는지 재구성해야 할 필요성을 정확히 짚고 있다.

공격자들은 서비스 전반의 취약점을 찾았다

마크니카의 기술 분석에 따르면 공격자들은 개별 웹사이트와 애플리케이션 프로그래밍 인터페이스(API)를 조사했다. API는 앱이나 웹사이트가 다른 시스템에 정보를 요청하거나 작업을 지시할 때 사용하는 통로다.

조사관들은 API가 필요 이상으로 많은 정보를 반환하거나, 기능에 과도한 권한이 부여돼 있거나, 회원 전용 기능을 익명 방문자도 이용할 수 있는 등의 취약점을 확인했다. 로그인 세션, 처리 규칙, 접근 설정과 관련된 문제도 있었다.

일부 공격자는 모바일 앱을 살펴 API 키를 추출했다. API 키는 서비스와 통신할 때 사용하는 인증 정보다. 공격자들은 이후 이 키를 이용해 일반적인 트래픽처럼 보이는 요청을 보냈다. 연구진은 취약한 관리자 비밀번호와 알려진 소프트웨어 취약점 악용 사례도 관찰했다.

실질적인 과제는 소프트웨어 업데이트 한 번으로 끝나지 않는다. 서버가 요청자의 신원을 확인하고 해당 이용자가 어떤 기록을 받을 수 있는지 검증하도록 서비스 자체를 점검해야 할 수 있다. 대량의 정보를 내보내는 관리 도구도 세심하게 살펴야 한다.

대부분의 사고 공개에서 원인 설명은 부족

7월 이후 공개된 선별 사고 81건 가운데 마크니카는 9건을 소프트웨어 제품 또는 관련 도구의 취약점과 관련된 사고로, 4건을 인증 정보 오용이나 비밀번호 공격과 관련된 사고로, 3건을 사이트 설정 또는 접근 통제 실패와 관련된 사고로 분류했다.

나머지 65건, 약 80.2%는 원인을 분류하기에 설명이 충분하지 않았다. 그 결과 다른 조직은 자체 시스템에서 어떤 취약점을 찾아야 할지 파악하기 어려울 수 있다.

일부 발표는 침입자가 접근에 성공한 뒤 한 행동을 설명했다. 11건에서는 무단 프로그램 설치 또는 실행이, 9건에서는 API나 데이터베이스를 통한 정보 조회가, 6건에서는 무단 계정이나 인증 키 생성이 확인됐다. 한 사고에서 여러 행위가 나타날 수 있어 범주가 서로 겹칠 수 있다.

마크니카는 7월 이후 웹사이트 변조나 악용과 관련된 공개 사례도 최소 25건 확인했다. 이들 사례에서는 개인정보 유출 우려가 구체적으로 제기되지 않았다. 방문자를 외부 웹사이트로 보내거나, 가짜 경고를 띄우거나, 등록 정보를 바꾸거나, 클라우드 서비스를 악용한 사례 등이 있었다.

연구진은 인공지능을 이용해 여러 웹사이트를 대상으로 검색을 반복했을 가능성도 논의했다. AI 사용 여부와 공격자의 궁극적 목적은 확인되지 않았다. 관찰된 활동은 접근 권한, 설정, 인증, 알려진 취약점에 집중됐다. 연구진은 수집된 이름과 서비스 정보, 예약 내역이 이후 범죄자의 피싱 메시지나 사기 전화에 신뢰성을 더하는 데 쓰일 수 있다는 가설을 제시했다.

전 고객도 침해 피해를 입었다

파크24의 침해 사고로 전 회원을 포함한 회원 기록 약 660만 건과 운전면허증 이미지 등 신원 확인 서류 약 160만 건이 영향을 받았다. 타임즈카는 고객이 회원 탈퇴한 뒤에도 신분증 서류를 7년간 보관해 왔다.

파크24는 10월 16일 신분증 이미지 삭제를 그달 말까지 마칠 계획이라고 밝혔다. 이는 기업이 보유한 데이터가 여전히 필요한지 검토해야 한다는 IPA의 권고가 구체적인 일정으로 이어진 사례다.

북오프에서 정보가 유출된 것으로 뒤늦게 확인된 638만 명 가운데 전 회원 약 21만 명은 약 3.3%를 차지했다. 반려동물용품 소매업체 참도 전 고객 기록 약 2만5,000건 중 대부분이 유출됐다고 밝혔다.

기업이 기존 기록을 계속 보관하면 계정을 해지한 뒤에도 고객이 수년간 위험에 노출될 수 있다. 연락처 정보는 범죄자가 익숙한 서비스인 것처럼 가장하는 데 활용될 수 있고, 비밀번호와 신분증 이미지는 추가적인 위험을 낳는다. 마크니카는 메모란에 쌓인 예상치 못한 개인정보를 포함해 불필요한 기록을 검토하고, 서비스 종료 시 API 키를 폐기하라고 권고한다.

IPA가 기업에 촉구한 긴급 점검

IPA의 10월 9일 권고는 인터넷에 공개된 애플리케이션, 외부 서비스와 계정, 저장된 정보에 대한 긴급 점검을 촉구한다. 특히 대량의 개인정보나 민감 정보를 취급하는 기업의 경영진에게 책임 있는 대응을 요구했다.

애플리케이션의 경우 IPA는 최근 로그, 즉 시스템에 남은 활동 기록을 검토하고 보안 패치가 누락됐는지 확인하라고 권고했다. 조사 범위는 우선 지난 한 달가량으로 잡은 뒤 3개월까지 확대해 비정상적인 오류 증가와 평소와 다른 활동을 살펴야 한다.

클라우드와 VPN을 포함한 외부 서비스에 대해서는 기업과 각 부서가 사용하는 서비스 목록을 작성해야 한다. 로그가 얼마나 오래 보관되는지, 누가 이를 확인할 수 있는지, 고객이 직접 볼 수 없는 기록을 제공업체가 보유하는지도 파악해야 한다.

계정 점검에서는 낯선 이용자와, 이전에 비활성화하거나 삭제했는데 다시 활성화된 계정을 찾아야 한다. 이례적인 로그인 시간이나 위치, 반복적인 로그인 실패도 주의 깊게 살펴야 한다. IPA는 비정상적인 로그나 계정을 보안 사고로 간주하고 전문가의 조사를 받으라고 권고했다.

마크니카의 관련 권고에는 API가 서버에서 접근 권한을 확인하는지 점검하고, 앱에 내장된 비밀 정보를 제거하며, 관리자 계정에 다중 인증 절차를 적용하고, 관리 기능 접근을 제한하는 내용이 포함됐다. 모니터링에는 명확한 사람의 대응 절차도 필요하다. 누군가 경보를 검토하고, 적절한 담당자에게 연락하며, 조사를 시작해야 한다.

IPA는 공급망을 위한 보안 평가 제도인 SCS 평가 제도를 준비 중이며, 2027년 3월 시행을 목표로 하고 있다. 공통 평가 기준은 고객사와 협력업체가 정보를 공유하는 기업 간 보안 상태를 파악하도록 돕기 위한 것이다.

일본 밖에서도 유사 사고 이어져

마크니카는 2026년 7~9월을 중심으로 13개 국가와 지역에서 유사한 사고 99건을 확인했다. 한국이 30건으로 가장 많았고, 프랑스 11건, 폴란드 8건이었다.

한국 사례는 쇼핑, 예약, 교육, 금융 지원 등 여러 분야의 웹사이트와 API에서 발생했다. 이는 일본에서 공개된 사고에 나타난 서비스 범위와 비슷하다.

각국의 사고 공개 법규와 관행은 공개되는 사고 건수에 영향을 준다. 마크니카는 조사에서 일본의 비중이 두드러졌다고 설명하면서도 공격자들이 일본을 특별히 집중 표적으로 삼았는지는 단정하지 않았다.

일본의 사고 사례가 보여주는 시급한 과제는 분명하다. 무단 활동을 찾아내고, 고객 정보에 대한 접근을 보호하며, 더는 보관할 필요가 없는 기록을 삭제해야 한다. 협력업체를 통한 사고와 전 회원 정보 노출은 이러한 조치가 기업의 주 웹사이트와 현재 고객 명단에만 그쳐서는 안 된다는 점을 보여준다.

핵심 내용

• 마크니카 집계에 따르면 2026년 무단 접근으로 유출됐을 가능성이 있는 개인정보는 1억6,500만 건을 넘으며, 여러 서비스에서 중복 집계됐을 수 있다.
• 범위를 좁힌 웹사이트 조사에서는 10월 6일까지 사고 공개 119건이 집계됐고, 이 가운데 81건은 7월 이후 발생했다.
• 소스넥스트는 2,251만9,960건이 영향을 받았을 가능성을 공개했고, 어드벤처는 약 1,464만 건이라고 밝혔다.
• 협력업체 침해 사고로 주요 기업의 고객이 피해를 입었으며, 파크24와 북오프, 참이 보관한 기록을 통해 전 회원 정보도 노출됐다.
• IPA는 로그와 보안 패치, 계정, 외부 서비스, 저장된 데이터에 대한 긴급 점검을 촉구했다.
• 파크24는 신분증 이미지 삭제를 10월 말까지 마칠 계획이다. IPA의 공급망 보안 평가 제도는 2027년 3월 시작될 예정이다.