보안2026. 11. 5. 오후 1:27 UTC·2 분 소요

아ララ 해킹, 모스·워크맨·IIJmio 고객정보 유출 잇따라

일본 메일 발송 업체 아ララ의 부정 접근으로 모스버거, 워크맨, IIJmio 등 이용 기업의 고객정보 유출 발표가 이어지고 있습니다.

Illustration of an email envelope with a broken padlock symbolizing a customer data leak from an email delivery service. — 이미지: ITmedia NEWS

일본 이메일 발송 서비스 업체 아ララ(Arara)에 대한 부정 접근으로 이 서비스를 이용하는 기업들의 고객정보 유출 발표가 잇따르고 있습니다. 11월 4일에는 모스버거 운영사 모스푸드서비스를 비롯해 워크맨, 인터넷이니셔티브(IIJ), 스미토모부동산 등이 유출 사실을 공개했습니다. 아ララ는 영향을 받는 계약 기업이 최대 약 380곳이라고 추정합니다.

기업별 유출 규모

모스푸드서비스는 "모스 WEB 회원"의 이메일 주소, 나이, 성별, 거주 광역지자체 등 751만 7087건이 유출됐다고 밝혔습니다. 신용카드 등 결제 정보는 포함되지 않았습니다. 워크맨은 온라인스토어 메일 매거진 회원 최대 약 145만 건, IIJ는 "IIJmio" 가입자 98만 3458건, 다스킨은 "DDuet" 회원 65만 7886건을 각각 발표했습니다. 스미토모부동산은 위탁업체를 통해 20만 5208건이 유출됐다고 밝혔습니다.

앞서 3일에는 카르디커피팜 운영사 캐멀커피가 82만 420건, 세이조이시이가 최대 16만 8630건을 공개했습니다. 100만 건이 넘는 사례로는 TKC 최대 223만 812건, 초비리치 134만 8525건, 빅카메라 등 3사 약 1490만 건 가능성, 아소비유 1582만 1184건이 있습니다.

처음엔 "영향 없음"이라던 기업도

쇼치쿠 멀티플렉스 시어터즈는 10월 29~30일 회원 정보 유출이 없다고 안내했지만, 아ララ의 다른 환경에서 새 침입이 확인돼 11월 2일 332만 305건 유출을 발표했습니다. 요코하마고무도 3일 유출 통보를 받았고, 서브웨이는 2차 발표에서 고객정보가 포함됐을 가능성을 배제할 수 없다고 입장을 바꿨습니다.

아라라의 1차 발표(10월 29일)는 약 301만 건이었으나, 11월 2일 2차 발표에서는 공격자가 계약 기업용 서버 97대에 침입했으며 약 7700만 건이 유출됐을 우려가 있다고 밝혔습니다. 공격자는 신용카드사를 사칭한 수상한 메일을 최대 약 713만 통 발송했습니다. 아ララ는 10월 31일부터 서비스를 전면 중단했으며 재개 시기는 정해지지 않았습니다.