무인양품 운영사 료힌게이카쿠, MUJI Card 109만 건 전체 카드번호 외부 접근 가능성 공개

본문

무인양품을 운영하는 일본 료힌게이카쿠는 11월 4일 추가 공지에서 MUJI Card 회원 약 109만 건의 전체 카드번호, MUJI Card ID, 생년월일이 자사 시스템에서 외부 접근 대상이 됐을 가능성을 밝혔습니다. 회사는 당시 해당 정보의 다크웹 유통이나 악용 피해를 확인하지 못했다고 했습니다.

료힌게이카쿠의 10월 30일 첫 공지는 MUJI 앱 이용자 최대 약 2,726만 건의 이메일 주소·생년월일·성별 등이 외부 접근 대상이 됐을 가능성을 알리고, 카드정보와 이름·주소·전화번호는 포함되지 않는다고 설명했습니다. 11월 4일 추가 공지에서는 앱을 이용하지 않는 고객을 포함한 온라인 스토어 이용자도 대상 범위에 들어간다고 밝혔습니다. 업데이트된 기본정보에는 회원 ID가 포함되며, 최대 약 2,726만 건 가운데 약 52만 건은 이름·주소·전화번호도 포함할 수 있습니다.

약 109만 건의 카드정보는 별도 범주입니다. 대상은 2000년 10월부터 2021년 7월까지 MUJI Card에 가입한 회원으로, 약 34만5000건은 현재 유효하고 나머지 약 74만5000건은 해지되거나 만료됐습니다. 2021년 8월 이후 발급된 카드는 대상에서 제외됩니다.

카드정보 항목에는 전체 카드번호와 MUJI Card ID, 생년월일이 포함됐고 카드 명의·유효기간·보안코드는 들어 있지 않았습니다. 크레디세존은 포인트 혜택을 제공하기 위해 2000년 10월부터 2021년 7월까지 카드번호를 료힌게이카쿠에 전달했다고 설명했습니다. 포인트 부여 방식을 바꾼 뒤 카드번호 전달을 중단했지만, 기존 정보는 료힌게이카쿠의 시스템에 남아 있었습니다.

두 정보 범주의 겹침도 확인됐습니다. 료힌게이카쿠는 현재 유효한 카드 약 34만5000건 가운데 약 16만8000건은 이메일·생년월일·성별·회원 ID와 시스템에서 함께 열람 가능한 상태였고, 이 가운데 약 2만5000건은 이름·주소·전화번호까지 함께 열람 가능했다고 밝혔습니다.

앱이나 온라인 스토어에 등록한 카드정보 약 120건은 또 다른 범주입니다. 여기에는 카드번호 앞 6자리와 뒤 2자리, 카드 명의가 포함될 수 있으며 유효기간과 보안코드는 포함되지 않았습니다. 회사는 이 기록도 이름·주소·전화번호가 포함된 고객 기본정보와 시스템에서 함께 열람 가능했다고 밝혔습니다.

크레디세존에 따르면 무단 접근은 10월 29일 오전 1시경 료힌게이카쿠 시스템에서 발생했습니다. 크레디세존은 자사 시스템에 대한 무단 접근이나 자사 시스템에서의 정보 유출은 확인되지 않았다고 밝혔습니다. 료힌게이카쿠는 외부의 무단 접근을 차단하고 다른 시스템에 미친 영향도 살피고 있으며, MUJI 앱과 온라인 스토어는 정상적으로 이용할 수 있다고 설명했습니다.

크레디세존은 MUJI Card 이용 모니터링을 강화했고, 당시 부정사용 증가를 확인하지 못했다고 밝혔습니다. 대상 고객에게는 료힌게이카쿠가 이메일이나 우편으로 개별 연락하며, 회사가 연락처를 파악하지 못한 카드 회원은 크레디세존이 연락합니다. 크레디세존은 카드 이용명세 확인을 안내하고, 요청하는 고객에게 카드를 재발급한다고 밝혔습니다.

자료: NHK 뉴스·료힌게이카쿠·크레디세존 / 정리·해설: Trawling