료힌게이카쿠, 계정정보 대입 공격에 무인양품 온라인몰 재개 연기

료힌게이카쿠는 11월 9일, 11월 6일부터 일시 중단한 무인양품 온라인몰의 재개를 연기한다고 밝혔습니다. 회사는 외부에서 부정 취득됐을 가능성이 있는 ID와 비밀번호를 이용한 리스트형 공격을 받았다고 발표했습니다. 이 공격은 확보한 로그인 정보를 계정에 대입해 접근을 시도하는 방식입니다.

회사는 리스트형 공격으로 새롭게 약 27만 건의 정보가 유출됐을 가능성이 있다고 밝혔습니다. 대상 정보에는 이메일 주소와 생년월일, 이름·주소·전화번호, 구매 이력, 포인트가 포함될 수 있습니다. 현재까지 해당 정보가 악용된 피해는 확인하지 못했다고 밝혔습니다.

회사는 앞서 10월 30일 MUJI 앱에 대한 부정 접근으로 회원 정보 최대 약 2,726만 건이 외부에 유출됐을 가능성을 발표했습니다. 이 가운데 이름·주소·전화번호가 포함될 수 있는 정보는 약 52만 건으로 알렸으나, 이번에 약 75만 건으로 수정했습니다. 11월 4일 2차 발표에서는 MUJI Card의 카드번호 등도 유출 가능 정보에 포함했습니다.

또 2020년 1월 2일부터 2025년 2월 10일까지 무인양품 매장이나 온라인몰에서 접수된 대금상환 배송의 수취인 정보 약 44만 건도 유출됐을 가능성이 있다고 밝혔습니다.

료힌게이카쿠는 11월 6일 오후 4시 보안 강화를 위해 온라인몰을 일시 중단했고, MUJI 앱도 회원증 바코드 표시를 제외한 기능을 정지했습니다. 온라인몰 재개 시점은 필요한 대책과 확인을 마친 뒤 다시 알릴 예정입니다. 회사는 재개 시 모든 이용자에게 비밀번호를 재설정하도록 요청하는 방안을 준비하고 있습니다. 대상자에게는 료힌게이카쿠와 MUJI Card 발급사 크레디세존이 11월 10일부터 이메일이나 우편으로 순차 연락하며, 회사는 다른 서비스와 다른 비밀번호를 사용하도록 안내했습니다.