유미르링크, 메일 발송 서비스 유출 정보 집계 4786만 건으로 정정

메일 발송 서비스 운영사 유미르링크는 11월 11일 자사 서비스 Cuenote FC에서 외부로 유출된 정보 집계를 47,864,147건으로 정정했습니다. Cuenote FC는 기업이 여러 수신자에게 이메일을 한꺼번에 보내는 서비스입니다. 새 수치는 10월 26일 2차 보고에서 최대 약 51,628,280건으로 추산했던 것보다 줄었습니다. 유미르링크는 로그와 데이터베이스를 대조해 실제 출력 대상 레코드를 확인하고 중복 집계한 레코드를 제외했다고 밝혔습니다. 집계는 개인 수가 아닌 이메일 주소 등 정보 레코드의 누적 건수입니다.

유출은 Cuenote FC의 일부 고객사 전용 시스템 49개에서 확인됐습니다. 유미르링크가 밝힌 항목별 건수는 이메일 주소 47,864,147건, 회원 ID 30,500,167건, 이름 6,665,055건입니다. 성별·생년월일·전화번호·우편번호·주소 등도 포함됐고, 해시 처리한 비밀번호 226,158건과 고객이 운영하다 2026년 2월 폐쇄한 서비스의 인증정보 420,419건도 확인됐습니다. 결제정보 유출은 현재까지 확인되지 않았다고 회사는 밝혔습니다.

메일 발송 서비스와 별도로 유미르링크의 고객관리 시스템 Cuenote BASE에서도 정보 노출이 있었습니다. 회사는 프로그램 취약점 때문에 계약 기업명, 담당자 이름, 전화번호, 이메일 주소 등 190건이 외부에서 열람 가능한 상태였다고 밝혔습니다. 대응을 마쳤지만 시스템 가동은 보류 중이며, 다른 시스템을 이용해 운영하고 있습니다.

유미르링크가 확인한 공격 경로는 두 가지입니다. 첫 번째는 프로그램 취약점을 이용해 서버에 악성 프로그램을 설치하고 데이터베이스에 직접 접근해 정보를 꺼내는 방식입니다. 공격자는 관리용 내부 네트워크를 통해 다른 서버로 침입을 넓히기도 했습니다.

두 번째 경로에서는 공격자가 취약점을 이용해 당시 로그인 중이던 이용자의 세션 정보를 훔쳤습니다. 세션 정보는 로그인 상태를 이어 주는 임시 인증 정보입니다. 공격자는 이를 사용해 해당 이용자로 가장하고 관리 화면에 들어간 뒤, 서비스에 원래 있던 CSV 다운로드 기능으로 데이터를 가져갔습니다. 이 방식은 악성 프로그램 설치나 데이터베이스 직접 접근을 거치지 않고 정상적인 관리자 조작처럼 보일 수 있었습니다. 유미르링크는 전체 시스템의 웹 접근 로그와 인증 로그를 다시 조사해 이 경로를 확인했다고 밝혔습니다.

이용 기업이 공개한 영향 규모는 각 회사의 서비스 이용자나 회원정보를 기준으로 합니다. @cosme 운영사 아이스타일은 11월 9일, 10월 14일 오전 5시 이후 Cuenote FC로 이메일을 받은 일부 이용자 약 280만 명의 주소가 영향을 받았다고 발표했습니다. 10월 16일 당시 주소록에 등록된 일부 약 8,000명의 이메일 주소도 포함됐으며, 일부에는 이름과 소속 회사·부서 정보가 함께 있었습니다. ITmedia는 JR도카이 등 3개사가 11월 5일 신칸센 예약 서비스 ‘스마트EX’와 ‘익스프레스 예약’에서 회원 정보 약 17만 건이 유출됐다고 발표했다고 보도했습니다. 이 사례들의 집계 기준은 유미르링크가 발표한 전체 레코드 수와 다릅니다.

유미르링크는 취약점 수정, 악성 프로그램 제거, 접속 IP 제한 등 확인된 공격 경로에 필요한 조치를 마쳤다고 밝혔습니다. 외부 전문기관의 포렌식 조사를 위해 가동을 멈춘 Cuenote FC 일부 시스템과 Cuenote BASE를 제외한 서비스는 정상 운영 중이라고 설명했습니다. 재발 방지책으로 AI를 활용한 코드 검토, 다중 인증을 전제로 한 보안 게이트웨이, 작업 시점에 필요한 최소 권한만 부여하는 운영 방식과 24시간 상시 감시 체계를 추진할 계획입니다. 외부 전문기관의 최종 조사 결과를 받은 뒤 최종 보고서를 공개할 예정입니다.