보안2026. 11. 4. 오전 6:37 UTC·2 분 소요

아라라 메시지 해킹, 이메일 7700만 건 유출 우려

일본 아라라의 이메일 발송 서비스 '아라라 메시지'에서 최대 380개 계약 기업의 이메일 주소 약 7700만 건이 유출됐을 우려가 있다.

Illustration of a email envelope with a broken padlock symbolizing a large-scale email address data breach. — 이미지: ITmedia NEWS

SUMO

Dialo

ediviewer

페이클라우드홀딩스는 11월 2일 자회사 아라라(도쿄 미나토구)가 제공하는 이메일 발송 서비스 '아라라 메시지'에 대한 불법 접근과 관련해, 새롭게 약 7700만 건의 이메일 주소가 외부로 유출됐거나 유출됐을 우려가 있다고 밝혔습니다. 영향을 받는 계약 기업은 최대 약 380곳입니다. 서비스는 10월 31일부터 전면 중단됐으며 재개 시기는 정해지지 않았습니다.

계약 기업 서버로 침입

회사는 10월 29일 공용 환경 침입으로 이메일 주소 약 301만 건이 유출됐다고 발표했습니다. 이후 조사에서 피해가 다른 서버로도 확대된 사실이 확인됐습니다. 공격자는 10월 28일부터 31일까지 아라라 메시지 서버를 거쳐 계약 기업의 시스템 환경에 침입했고, 97대 서버에서 약 7700만 건의 이메일 주소와 회원 정보를 빼내 갔다고 합니다.

회원 정보에는 이름, 성별, 생년월일, 전화번호, 회원 번호, 주소 등이 포함되며 항목은 기업마다 다릅니다. 건수는 조사 중이어서 바뀔 수 있습니다. 한 사람이 여러 주소를 가진 경우가 있어 피해자 수를 뜻하지는 않습니다.

10월 29일 발표분도 유출 주소가 338만 6187건으로 늘었습니다. 계약 기업 5곳의 이름과 회사명 등이 담긴 고객 데이터 최대 41만 1827건도 유출됐을 가능성이 있지만, 중복 가능성 때문에 합산하지 않았습니다.

카드사 사칭 메일 713만 통

공격자는 이 서비스를 악용해 10월 28~30일 신용카드 회사를 사칭한 수상한 메일을 최대 약 713만 통 발송했습니다. 발신 주소는 'news@arara.com'이며, 제목에는 '이용 내용 확인 요청' 등이 쓰였습니다. 회사는 메일 속 URL에 접속하지 말라고 당부했습니다.

웹 서버 취약점과 시스템 환경 문제가 관련된 것으로 알려졌습니다. 회사는 악용된 인증 정보를 무효화하고 서버 통신을 차단했으며, 침입 경로를 특정하고 안전을 확인한 뒤 재개를 판단할 방침입니다. 아라라의 다른 서비스에는 영향이 없습니다.

한편 예약 서비스 '아소비유!'를 운영하는 아소비유도 11월 3일 이번 사건으로 회원 정보 1582만 1184건이 유출됐다고 발표했습니다. 비밀번호와 신용카드 정보는 대상이 아닙니다.