요약:
일본의 유명 가전제품 및 생활용품 제조업체인 아이리스 오야마(Iris Ohyama)가 최근 대규모 데이터 보안 사고를 공개했습니다. 회사 공식 온라인몰 '아이리스플라자'가 사이버공격을 당했다. 공격자는 회사가 사용하는 제3자 클라우드 서비스에 불법적으로 접속해 약 770만 명의 사용자의 개인정보를 도난당하거나 열람할 가능성이 있는 것으로 나타났다. 현재 회사는 관련 웹사이트 및 일부 관련 서비스를 중단했으며 이번 사건의 구체적인 영향을 조사하고 있다.
앨리스 오야마는 2026년 10월 28일 변칙성을 발견했다. 당시 직원은 회사가 사용하는 외부 클라우드 스토리지 서비스에서 의심스러운 파일을 발견했고, 아이리스프라자 온라인몰 및 관련 시스템을 즉시 폐쇄하고 조사에 착수했다. 회사는 10월 29일 제3자에 의한 불법접속이 발생한 사실을 확인하고, 이를 일본 경찰과 개인정보보호위원회에 신고했습니다.
11월 5일 회사는 두 번째 발표를 통해 영향을 받을 수 있는 데이터의 규모를 추가로 공개했습니다. 현재 공개된 정보에 따르면, 관련 개인정보의 총량은 현재 회원 및 기존 회원 약 580만명, 비회원 약 190만명 등 총 770만명에 달합니다. 후자에는 주로 회원가입 없이 직접 상품을 구매하는 소비자와 기업의 프로모션 및 경품 행사에 참여한 사람들이 포함됩니다.
사용자의 신원에 따라 유출될 수 있는 정보가 다릅니다. 회원의 경우 이름, 주소, 전화번호, 이메일주소, 성별, 생년월일, 계정비밀번호 등의 정보가 포함되며, 비회원의 경우 영향을 받을 수 있는 정보는 주로 이름, 주소, 전화번호, 이메일 주소 등입니다.
계정을 해지한 이용자에게도 영향이 미칠 수 있다는 점에 유의할 필요가 있으나, 회사에서는 해지된 회원의 데이터에는 비밀번호 정보가 포함되어 있지 않다고 밝혔습니다. 아직까지 보유하고 있는 비밀번호 등 일부 정보에 대해서는 회사에서 이전에 암호화를 이용해 저장해 왔으나 아직 구체적인 암호화 알고리즘과 보호 대책을 구체적으로 공개하지 않았습니다.
이번 사건에서 비교적 안심할 수 있는 점 중 하나는 신용카드 정보가 손상되지 않았다는 점입니다. 앨리스 오야마는 이번에 불법적으로 접속된 제3자 클라우드 서비스에 신용카드 정보가 원래 저장되지 않았기 때문에 이번 사건의 잠재적 유출 범위에 포함되지 않는다고 말했다. 회사는 11월 5일 현재 이번 사건과 직접적으로 관련된 자금 손실이나 계정 도용에 대한 보고를 받지 못했습니다.
또한 공격으로 인해 Alice Oyama는 온라인 비즈니스의 다른 부분을 중단했습니다. 공식 쇼핑 사이트 아이리스플라자 외에도 홈패션 브랜드 심플스타일(SIMPLE STYLE) 사이트도 10월 28일자로 운영을 중단했다. 또한, 그룹 계열사 아이리스테크서비스가 운영하는 가전 구독 서비스와 가구, 가전 배송 및 설치 서비스를 제공하는 사이트도 신규 신청 접수를 잠정 중단했다.
회사는 상기 관련 서비스에서 불법접속이나 데이터 유출 등은 발견되지 않았으나, 사건의 확대를 막기 위해 관련 시스템을 일시적으로 폐쇄하기로 했다고 강조했다. 언제 운영이 재개될지는 현재로서는 시간표가 없습니다.
한편, 앨리스 오야마의 공식 매장은 라쿠텐 마켓, 야후! 등 제3자 전자상거래 플랫폼에 오픈했습니다. 일본 쇼핑과 au PAY마켓은 이번 사건과 관련해 별다른 이상 징후를 발견하지 못했으며 현재도 정상적으로 운영되고 있다. 아이리스플라자를 통해 주문한 상품에 대해서는 계속해서 배송 조율을 할 예정이지만, 일부 주문이 지연될 수 있다고 회사측은 전했다.
현재 수사관들은 공격자의 신원이나 구체적인 침입 방법을 확인하지 못했습니다. 회사는 타사 클라우드 서비스 제공업체의 이름을 공개하지 않았으며 공격자로부터 직접 연락이나 협박 요구를 받은 적이 없다고 말했습니다. 이번 사건이 클라우드 스토리지 시스템에 대한 표적 공격인지, 아니면 제3자 서비스의 보안 취약점을 이용한 데이터 도난인지는 추가 조사가 필요하다.
아이리스 오야마는 아이리스 플라자에서 사용한 비밀번호가 다른 웹사이트나 네트워크 서비스에서도 사용되는 경우, 가능한 한 빨리 해당 계정 비밀번호를 변경해야 함을 소비자에게 상기시켜 드립니다. 이번 사건에는 이름, 주소, 전화번호, 생년월일 등의 개인정보가 포함되어 있기 때문에 공격자는 이러한 실제 정보를 이용해 향후 쇼핑 플랫폼을 사칭하여 환불 알림, 물류 이상 알림 또는 계정 보안 경고를 보내는 등 정확한 피싱 사기를 수행할 수도 있습니다.
회사는 사용자에게 Alice Oyama 및 관련 정부 기관을 사칭하는 이메일, 문자 메시지, 전화 통화 및 가짜 웹사이트를 조심할 것을 특별히 상기시킵니다. 공식 직원은 이메일이나 문자 메시지를 통해 이용자에게 비밀번호, 개인식별번호, 인증코드 제공을 요구하지 않으며, 알 수 없는 링크를 통해 민감한 정보를 입력하도록 이용자에게 요구하지 않습니다.
회사는 영향을 받을 가능성이 있는 소비자에 대해서는 조사 진행 상황에 따라 이메일 등을 통해 순차적으로 소비자에게 알릴 계획이다. 현재 개인이 영향을 받았는지 여부를 공개적으로 확인할 수 있는 온라인 도구는 없습니다.
이 사건은 타사 클라우드 서비스에 의존하는 대규모 소매업체가 직면한 데이터 보안 위험을 다시 한번 강조합니다. 회사 자체 공식 홈페이지와 내부 시스템이 직접적인 공격을 받지 않더라도 고객 데이터를 저장하는 외부 클라우드 플랫폼에 보안 취약점이 있는 한 수백만 명의 소비자 정보가 여전히 노출될 수 있습니다. 대규모 사용자 데이터베이스를 보유한 소매업체의 경우 권한 관리, 데이터 암호화, 액세스 모니터링 및 타사 클라우드 서비스 공급업체 보안 검토는 무시할 수 없는 보안 링크가 되었습니다.
댓글