보안2026. 11. 4. 오후 9:13 UTC·1 분 소요

세븐일레븐 7NOW 이용자 정보 16만 건 넘게 유출

세븐일레븐 재팬은 배송 위탁업체 CBcloud의 픽고 플랫폼이 해킹돼 7NOW 이용자 정보 16만 건 넘게 유출됐다고 밝혔다. 데마에칸도 약 800건이 피해를 입었다.

A delivery driver carrying a package with a smartphone showing a delivery app, symbolizing a data breach at a delivery platform. — 이미지: ITmedia NEWS

세븐일레븐 재팬은 11월 3일 배달 서비스 "7NOW" 이용자 정보 16만 건 넘게 외부로 유출됐다고 발표했습니다. 배달 업무 일부를 위탁받은 CBcloud가 운영하는 플랫폼 "픽고(Pickgo)"가 부정 접근을 당한 것이 원인입니다.

데마에칸도 같은 날 픽고 부정 접근으로 고객 정보 약 800건이 유출됐다고 밝혔습니다. 픽고는 등록된 드ライ버 중 조건에 맞는 사람을 골라 배송을 의뢰할 수 있는 플랫폼으로, 세븐일레븐과 데마에칸 등 많은 기업이 사용합니다.

7NOW 유출 내역

7NOW에서는 주문자(배송지) 이름(가타카나) 16만 4180건, 이름과 주소 조합 4762건, 이름·주소·전화번호·우편번호 조합 209건이 유출됐습니다. 일부는 주문일, 주문 점포명과 점포 주소, 주문 상품명도 포함됩니다. 신용카드 정보와 ID·비밀번호는 유출되지 않았으며 7NOW는 정상 운영 중입니다.

부정 접근은 11월 1일 CBcloud 조사로 확인됐고, 7NOW 이용자 정보가 유출된 사실은 3일 확인돼 세븐일레븐에 통보됐습니다. 세븐일레븐의 인증 정보나 연동 설정의 유출·변조는 확인되지 않았습니다.

데마에칸 피해와 대응

데마에칸에서는 주문자 이름 799건, 주소 794건(번지까지), 전화번호·우편번호 33건과 일부 주문 점포명, 점포 주소·전화번호, 주문 메모, 상품명, 요금 명세가 유출됐습니다. 회사는 2일 오후 2시 넘어 CBcloud와의 연동을 중단했고, 결함 수정과 통신 상태 확인 뒤 같은 날 오후 9시경 재개했습니다. 인증 정보나 연동 설정의 유출·변조는 확인되지 않았습니다.

CBcloud는 부정 접근 확인 후 공격 측 통신을 차단하고 악용된 계정을 정지했으며, 악용된 결함도 수정했습니다. 현재 일부 기능과 일본 국외 접속을 제한하고 있습니다.