테크부터 경제, 생활까지. 복잡한 소식을 쉽게 풀어봅니다.
일본 여행을 준비하면서 항공권을 예약 사이트에서 끊고, 신칸센은 철도 예약 앱으로 잡고, 편의점 앱에 가입해 포인트를 쌓아 본 적 있으신가요? 요즘 일본에서는 바로 이런 생활 밀착형 서비스들이 줄줄이 해킹 피해를 공개하고 있어요. 여행 예약 사이트 스카이티켓(skyticket)은 최대 1,464만 건, 차량공유 서비스 타임즈카는 약 660만 계정, 철도회사 JR 동일본 그룹은 약 609만 건의 정보가 새어 나갔거나 그럴 가능성이 있다고 밝혔습니다.
파이낸셜타임스(FT) 보도에 따르면 최근 몇 주 사이 피해를 공개한 일본 대기업만 20곳이 넘습니다. 10월 9일에는 일본 정부가 기업·지자체에 보안 강화를 공식 요청했고, 집권 자민당의 사이버보안 담당 다이라 마사아키 본부장은 지금 상황을 “사이버 공간의 비상사태”라고 표현했어요. 다만 이건 정부가 법적으로 비상사태를 선포한 것은 아니고, 그만큼 심각하다는 뜻의 발언입니다. 오늘은 무슨 일이 있었는지, 왜 한꺼번에 터졌는지, 그리고 일본 서비스를 써 본 우리가 지금 무엇을 하면 되는지 차근차근 풀어볼게요.
한 줄로 먼저
- 일본에서 여행·철도·편의점·노래방·중고서점 등 일상 서비스 회원정보가 대량으로 새어 나갔어요. 대부분 이름·생년월일·이메일·전화번호 같은 연락처 정보입니다.
- 클라우드 회사 한 곳이 랜섬웨어에 당하자 그 위에 올라탄 495곳이 함께 흔들렸어요. “한 집이 아니라 공용 창고가 털린” 구조라 피해가 커졌습니다.
- 일본 서비스에 가입한 적이 있다면 비밀번호 교체, 2단계 인증, 내 진짜 정보를 아는 피싱 경계, 공식 앱으로만 접속 네 가지만 챙기면 됩니다.
한눈에 보는 주요 피해
숫자는 회사가 밝힌 최대치이거나 “유출됐을 가능성”을 포함한 값이에요. 한 사람이 여러 서비스에 가입했을 수 있어 실제 피해자 수는 이보다 적습니다.
| 서비스 | 어떤 곳 | 규모(최대) | 새어 나간 정보 |
|---|---|---|---|
| skyticket | 항공권·호텔·버스 여행 예약 사이트 | 1,464만 건 | 이름(여권 영문 표기 포함), 생년월일, 이메일, 전화번호, 주소. 약 413만 명은 해시된 비밀번호까지. 카드·여권 번호는 유출되지 않았다고 설명 |
| 야키니쿠킹 | 고깃집 체인 앱 | 1,079만 계정 | 회원번호, 이름, 이메일, 전화번호 |
| 다이이치코쇼(빅에코) | 노래방 체인 | 872만 건(가능성) | 이름, 생년월일, 이메일, 전화번호. 협력업체 직원 PC 악성코드 감염 |
| 타임즈카 | 차량공유 서비스 | 660만 계정 | 계정 정보에 더해 운전면허증 등 신분증 이미지 약 160만 건 |
| 북오프 | 중고 서적·물품 체인 | 643만 건 | 이름, 생년월일, 주소, 전화번호, 이메일, 비밀번호 해시 |
| JR 동일본·뷰카드 | 철도 예약(에키넷)·계열 카드사 | 약 609만 건 | 대부분 이메일 주소(에키넷 최대 167만, 뷰카드 약 403만). 이름·주소·카드번호는 미포함 |
| 로손 | 편의점 회원 ID | 216만 계정 | 9월 중순 빠져나간 사실을 10월 7일에야 발견 |
| JR 규슈 | 철도 웹 회원 | 약 130만 건 | 이메일 주소 등 |
먼저 단어부터: 랜섬웨어, 클라우드, 해시
보안 기사에 자주 나오는 말 몇 개만 알아 두면 이번 사태가 훨씬 잘 보여요.
| 용어 | 쉬운 뜻 | 생활 비유 |
|---|---|---|
| 해킹·무단 접속 | 허락 없이 남의 시스템에 들어가 정보를 보거나 가져가는 것 | 열쇠 없이 남의 집에 들어가기 |
| 랜섬웨어 | 파일을 잠가 못 쓰게 만들고 풀어 주는 대가로 돈을 요구하는 악성 프로그램. 요즘은 잠그기 전에 먼저 정보를 빼 가기도 함 | 창고에 자물쇠를 바꿔 달고 “열쇠값 내놔” |
| 클라우드 | 회사가 직접 서버를 두는 대신 빌려 쓰는 원격 컴퓨터 | 여러 가게가 함께 쓰는 공용 창고 |
| 위탁업체·공급망 | 회사가 메일 발송, 고객 문의 응대 등을 맡긴 바깥 업체 | 건물 관리를 맡긴 관리사무소 |
| API | 앱과 서버가 정보를 주고받는 통로 | 식당 주방과 홀 사이의 배식구 |
| 해시(hash) | 비밀번호를 그대로 저장하지 않고 되돌리기 어려운 ‘지문’ 값으로 바꿔 저장하는 방식 | 얼굴 대신 지문만 보관 |
왜 한꺼번에 이렇게 많이 터졌을까?
1. 공용 창고가 뚫렸다: 클라우드 랜섬웨어
가장 큰 사건은 소프트뱅크 자회사 IDC 프런티어가 운영하는 클라우드(IDCF 클라우드)가 10월 7일 새벽 랜섬웨어 공격을 받은 일이에요. 이 클라우드를 빌려 쓰던 기업과 지자체 495곳이 영향을 받았습니다. 이바라키현과 현 경찰 홈페이지가 멈추고, 수산식품 기업 닛스이의 냉장 물류 자회사는 출하를 하지 못했어요. JR 동일본과 JR 규슈의 이메일 유출 가능성도 이 클라우드 위에서 돌던 메일 발송 서비스에서 비롯됐습니다.
IDC 프런티어는 일부 구역의 고객 데이터는 복구가 어려울 것이라며, 고객사가 직접 보관한 백업으로 되살리라고 안내했어요. 한 가게 창고가 아니라 여러 가게가 함께 쓰는 공용 창고가 통째로 잠긴 셈이라, 피해가 도미노처럼 번졌습니다.
2. 정문 대신 뒷문: 협력업체와 앱 통로
본사 시스템이 아니라 바깥 업체를 통해 새어 나간 경우도 많아요. 노래방 체인 빅에코는 협력업체 직원 PC가 악성코드에 감염됐고, 다이와증권 등 여러 회사의 고객 문의를 맡아 보관하던 FAQ 시스템(i-ask)도 뚫렸습니다. 일본 침해사고대응팀 JPCERT/CC는 공격자들이 스마트폰 앱을 분석해 내부 API(앱과 서버의 통로)를 찾아내 악용했다고 설명했어요. 로손은 “앱 이용자에게 본인 정보를 보여 주는 장치”를 통해 정보가 빠져나갔다고 밝혔고요. 원래는 내 정보만 보여 줘야 할 배식구에서, 남의 정보까지 줄줄이 꺼내 간 셈이에요.
3. AI로 쉬지 않고 두드리는 ‘포화 공격’
다이라 본부장은 최근 공격이 AI를 이용해 대규모 공격을 자동으로 반복하는 이른바 ‘포화 공격’ 성격을 띤다고 지적했어요. 사람이 문을 하나씩 두드리던 시대에서, 기계가 수많은 문을 동시에 밤낮없이 두드리는 시대로 바뀐 거죠. 그래서 그는 시스템이 뚫리더라도 정보가 실제로 밖으로 나가기 전에 이상한 움직임을 자동으로 잡아내는 기술이 필요하다고 강조했습니다.
| 새어 나간 길 | 대표 사례 | 쉽게 말하면 |
|---|---|---|
| 공유 클라우드 랜섬웨어 | IDCF 클라우드 → 495곳, JR 동일본·JR 규슈 메일 | 공용 창고 자물쇠가 통째로 바뀜 |
| 협력업체 경유 | 빅에코(협력업체 PC), i-ask(여러 회사 고객 문의) | 관리사무소 열쇠를 도둑맞음 |
| 앱·API 악용 | 로손 ID(본인 정보 조회 장치), 미스터맥스(앱·온라인몰 기능 악용) | 배식구로 남의 음식까지 꺼냄 |
| 관리 기능 조작 | skyticket(관리자 기능 조작 후 다른 서버로 이동) | 직원 출입증으로 창고 곳곳 돌아다님 |
“해시된 비밀번호”가 새었다는데, 괜찮은 건가요?
스카이티켓과 북오프는 비밀번호가 해시 형태로 새어 나갔다고 밝혔어요. 해시는 비밀번호 원문 대신 되돌리기 어려운 ‘지문’만 저장하는 방식이라, 새어 나가도 곧바로 내 비밀번호가 드러나지는 않아요. 하지만 짧고 흔한 비밀번호라면 이야기가 달라집니다. 공격자가 흔한 비밀번호 수억 개를 같은 방식으로 지문으로 만들어 맞춰 보면, 일치하는 걸 찾아낼 수 있거든요.
더 큰 문제는 같은 비밀번호를 여러 곳에 쓴 경우예요. 예를 들어 스카이티켓과 내 메일, 쇼핑몰 비밀번호가 똑같다면, 한 곳에서 풀린 비밀번호로 다른 곳 문까지 열릴 수 있어요. 그래서 스카이티켓도 회원들에게 비밀번호 변경을 요청했고, 저장된 카드로 결제하는 기능도 멈췄습니다.
신분증 사진 유출이 특히 무서운 이유
타임즈카 사고에는 운전면허증 등 신분증 이미지 약 160만 건이 포함됐어요. 이메일 주소는 바꾸면 그만이지만, 신분증 사진은 쉽게 바꿀 수 없죠. 누군가 이 사진으로 내 이름을 빌려 계좌를 만들거나 서비스에 가입하는 명의도용에 쓸 수 있습니다. 그래서 일본 금융청은 은행들에 온라인 본인 확인 때 신분증 사진을 올리는 방식을 2027년 4월 기한보다 앞당겨 그만 받으라고 요청했어요. 사진은 복사가 쉬우니, IC칩이 든 신분증으로 확인하는 쪽으로 서두르라는 뜻이에요.
일본 정부는 무엇을 요구했나
| 날짜 | 누가 | 무엇을 |
|---|---|---|
| 10월 7일 | 개인정보보호위원회 | 대량의 개인정보를 가진 기업에 경고, API 악용을 유출 유형에 추가 |
| 10월 8일 | JPCERT/CC | 공격 패턴(앱 분석 → 내부 API 악용) 공개, 공격자 IP 공유. 9일에는 자바 서버에 심긴 웹셸 경고 추가 |
| 10월 9일 | 국가사이버총괄실(NCO) 등 여러 부처 | 보안을 경영 과제로 삼아 투자 확대, 피해 시 즉시 정보 공유 요청 |
| 10월 9일 | 자민당 사이버보안전략본부 | 긴급 회의, 민관 공동 대응 강화 요구 (“사이버 공간의 비상사태” 발언) |
| 10월 9일 | 금융청 | 은행에 신분증 사진 업로드 방식 본인 확인 조기 중단 요청 |
정부가 기업에 제시한 기본 대책은 의외로 단순해요. 소프트웨어를 빨리 업데이트하고, 다중요소인증을 도입하고, 지원이 끝난 IT 제품은 쓰지 말고, 필요 없는 개인정보는 지우라는 것. 우리 개인에게도 그대로 통하는 원칙입니다.
일본 서비스에 가입한 적 있다면, 지금 할 네 가지
| 할 일 | 어떻게 | 왜 |
|---|---|---|
| 1. 비밀번호 바꾸기 | 해당 서비스 비밀번호를 길고 독특하게 바꾸고, 같은 비밀번호를 쓴 다른 사이트도 함께 바꾸기 | 해시가 풀리거나 재사용된 비밀번호로 다른 계정까지 열릴 수 있어요 |
| 2. 2단계 인증 켜기 | 메일·포털·쇼핑몰 등 중요한 계정부터 문자·앱 인증을 켜기 | 비밀번호가 새도 두 번째 문이 막아 줘요 |
| 3. ‘진짜 정보’ 피싱 경계 | 내 이름·생년월일·예약 내역을 정확히 말하는 메일·문자·전화라도 링크 클릭이나 정보 입력은 멈추기 | 유출된 진짜 정보로 그럴듯한 사기 메시지를 만들어요 |
| 4. 공식 앱·사이트로만 | “피해 안내”, “환불”, “비밀번호 재설정” 메시지를 받으면 링크 대신 직접 공식 앱·주소로 들어가 공지 확인 | 가짜 사과문·가짜 환불 페이지가 뒤따르기 쉬워요 |
여기에 하나 더 보태면, 쓰지 않는 해외 서비스 계정은 탈퇴해 두는 것도 좋아요. 몇 년 전 여행 때 한 번 쓰고 잊어버린 계정이 가장 관리가 안 되는 문이거든요. 스카이티켓처럼 환불 계좌를 등록했던 분이라면, 카드·계좌 거래 내역도 한동안 평소보다 꼼꼼히 봐 주세요.
자주 묻는 질문
| 질문 | 짧은 답 |
|---|---|
| 한국에 사는 저도 영향이 있나요? | 해당 일본 서비스에 가입한 적이 있다면 국적과 상관없이 대상일 수 있어요. 회사 공식 공지와 개별 안내 메일을 확인하세요. |
| 카드 번호도 털렸나요? | JR 동일본은 카드번호가 포함되지 않았다고 했고, 스카이티켓도 카드·여권 번호는 유출되지 않았다고 설명했어요. 그래도 거래 내역은 한 번 살펴보는 게 좋아요. |
| 피해 안내 메일이 왔는데 진짜인가요? | 메일 속 링크를 누르지 말고, 앱이나 즐겨찾기한 공식 주소로 직접 들어가 같은 공지가 있는지 확인하세요. |
| 일본이 정말 비상사태를 선포했나요? | 아니에요. 집권당 보안 담당자가 “비상사태”라고 표현한 것이고, 정부의 법적 선포는 아닙니다. |
마무리: 내 정보는 내가 가입한 모든 곳에 흩어져 있다
이번 일본 연쇄 해킹이 보여 주는 건, 우리 정보가 내가 직접 믿고 가입한 회사만이 아니라 그 회사가 빌려 쓰는 클라우드, 일을 맡긴 협력업체, 앱 뒤의 통로까지 흩어져 있다는 사실이에요. 내가 그 모든 곳을 지킬 수는 없지만, 비밀번호를 서비스마다 다르게 쓰고, 2단계 인증을 켜고, 링크 대신 공식 앱으로 확인하는 습관만으로도 2차 피해의 대부분을 막을 수 있습니다. 오늘 저녁, 일본 여행 때 깔았던 앱 목록부터 한 번 훑어보시면 어떨까요?