보안2026. 11. 11. 오전 11:23 UTC·2 분 소요

유미링크 불법 접속, 4786만 건 유출 확인

일본 이메일 발송 업체 유미링크가 불법 접속으로 4786만 건이 유출됐다고 밝혔다. 기존 최대 5162만 건에서 줄었으며 JR도카이 등이 피해를 입었다.

Illustration of a server and email icons with a broken padlock symbolizing a large-scale data breach at an email delivery provider. — 이미지: ITmedia NEWS

일본 이메일 발송 서비스 업체 유미링크(도쿄 시부야구)는 11월 11일 10월 19일 공표한 불법 접속과 관련해 이메일 주소 등 총 4786만 4147건의 개인정보가 외부로 유출됐다고 발표했다. 10월 26일에는 최대 약 5162만 건이 유출됐을 가능성이 있다고 밝혔으나, 이후 조사를 거쳐 건수를 다시 확인했다.

유출 정보와 공격 수법

피해 대상은 이메일 발송 서비스 "Cuenote FC"의 49개 시스템이다. 유출된 정보는 이메일 주소 4786만 4147건, 회원 ID 3050만 167건, 이름 666만 5055건, 성별 205만 9658건, 생년월일 94만 9217건, 전화번호 41만 2794건, 우편번호 182만 3551건 등이다. 이 밖에 광역자치단체명, 주소, 해시 처리된 비밀번호, 회사명, 학교명, 고객이 운영하던 서비스의 인증 정보도 포함됐다. 고객 관리 시스템 "Cuenote BASE"에서도 계약 기업명, 이름, 전화번호, 이메일 주소 등 190건이 외부에서 열람 가능한 상태였다.

회사 측에 따르면 공격자는 시스템 취약점을 악용해 서버에 악성 프로그램을 심고 데이터베이스에 접근했다. 또 이용자의 로그인 상태 정보를 훔쳐 정상 이용자로 위장한 뒤 관리 화면에서 데이터를 빼냈다. 회사는 10월 16일 불법 접속을 파악했다.

이용 기업으로 피해 확산

서비스를 이용하는 기업들도 잇따라 피해를 공표하고 있다. 화장품 후기 사이트 "@cosme"를 운영하는 아이스타일은 11월 9일 약 280만 명의 고객 정보가 유출됐다고 밝혔다. JR도카이 등 3개 사는 5일 신칸센 예약 서비스 "스마트EX"와 "익스프레스 예약"에서 회원 정보 약 17만 건이 유출됐다고 발표했다.

현재 "Cuenote FC"의 일부 시스템과 "Cuenote BASE"를 제외한 서비스는 정상 가동 중이다. 회사는 재발 방지를 위해 AI를 활용한 소스 코드 검토와 24시간 365일 감시 체제를 도입할 방침이며, 외부 전문 기관의 최종 조사가 끝나면 결과를 다시 공표할 예정이다.