들어가며
2026년 10월 9일, 온라인 커뮤니티 플랫폼 Commune과 사내용 버전 Commune for Work를 제공하는 일본 기업 코뮨 주식회사(コミューン株式会社)가 무단 접근 피해를 입었다고 밝혔습니다. INTERNET Watch가 정리한 회사 발표에 따르면, 플랫폼 고객사가 운영하는 커뮤니티의 회원 약 30만 7천 명의 정보가 유출됐습니다.
이 사건이 주목받는 이유는 피해가 한 회사에 그치지 않았기 때문입니다. Commune은 유명 브랜드의 사용자 포럼, 팬클럽, 고객 커뮤니티에 쓰입니다. 이후 며칠 사이 Sansan, 야마하, 스즈키, 고이케야, 모리나가 유업, 반다이남코 익스피리언스, 그리고 아오모리현까지 각자 회원 피해에 관한 공지를 냈습니다.
이 글에서는 확인된 사실, 피해를 입은 곳, 그리고 무엇보다 일본의 중소기업이 이번 일에서 무엇을 배울 수 있는지 정리합니다. 온라인 커뮤니티를 운영하는 기업뿐 아니라 고객 데이터를 맡긴 클라우드 서비스를 쓰는 기업에도 해당하는 내용입니다. 모든 정보는 글 끝의 출처를 바탕으로 합니다.
코뮨 측이 밝힌 경위
회사가 공개하고 INTERNET Watch가 보도한 타임라인은 다음과 같습니다.
- 10월 5일 오후 6시경(일본 시간): 서비스에 대한 무단 접근이 시작됨.
- 10월 6일: 코뮨이 공격을 탐지하고 의심스러운 통신을 차단한 뒤 조사를 시작. 오후 9시경 모든 커뮤니티를 유지보수 모드로 전환하고 데이터 복구에 착수.
- 10월 7일 오후 1시 17분부터: 공격자가 유지보수 중에도 열려 있던 통신 경로를 악용해 부정 가입과 열람을 함. 이 경로는 같은 날 오후 2시 58분에 차단됨.
- 10월 8일부터: 보호 조치를 적용한 뒤, 재개를 요청한 고객사의 커뮤니티부터 순차적으로 다시 열기 시작.
원인에 대해 회사는 제3자가 코뮨 자체 시스템의 결함을 악용했다고 설명합니다. 구체적으로 공격자는 다음과 같은 일을 했습니다.
- 비공개 커뮤니티 초대 링크를 부정하게 입수해 일반 회원으로 가입했습니다.
- 관리자를 사칭해 회원 정보를 열람·탈취하고 데이터를 덮어썼습니다.
모리나가 유업은 공지에서 이번 사고가 코뮨 시스템의 여러 결함 때문에 일어났으며 모리나가 자체 설정이나 운영 때문이 아니라고 강조했습니다.
피해 인원과 유출된 정보
코뮨의 추정치는 다음과 같습니다.
- 약 30만 7천 명의 회원 정보가 어떤 형태로든 유출됨.
- 그중 약 12만 6천 명은 이메일 주소를 포함한 정보가 유출됨. 이 수치에는 코뮨 직원 계정과 테스트용 데모 계정 약 4만 2천 개가 포함됩니다.
- 약 18만 1천 명은 이메일 주소가 없는 정보(표시 이름, 자기소개, 비공개 그룹 소속 등)가 유출됨.
회사의 다른 서비스인 Commune CRM과 Commune Engage는 접근 시도가 있었지만 유출은 확인되지 않았습니다. Commune Voice, Commune Navigator, Commune DataHub는 발표 시점에 무단 접근이 확인되지 않았습니다.
피해를 입은 곳
고객사들의 공지를 보면 규모를 짐작할 수 있습니다. 몇 가지 예입니다.
- Sansan(Sansan User Forum): 유출이 확인된 회원 1,325명(이메일, 표시 이름, 자기소개, 프로필 사진, 그룹 소속), 유출 가능성이 있는 회원 8,687명(같은 정보, 이메일 제외). Sansan은 비밀번호는 포함되지 않았고, 10월 9일 개인정보보호위원회(PPC)에 보고했으며, Sansan·Bill One·Contract One·Eight 서비스는 영향을 받지 않았다고 밝혔습니다.
- 스즈키(Suzuki Village): 약 3,000명. 열람됐을 수 있는 정보는 이메일, 닉네임, 가입일, 성별, 연령대, 거주 도도부현, 보유 차종 등입니다.
- 야마하(네트워크 엔지니어 커뮤니티 / Yamaha Corporation): 약 1,600명.
- Yamaha Motor("YAMAHA PAS Life"): 약 1,600명. 10월 12일 공지. 성명, 생년월일, 성별, 주소, 이메일, 회원 ID, 닉네임, 자기소개, 소속 그룹이 열람·취득되었을 가능성. 카드·결제 정보는 포함되지 않음. Yamaha Corporation 네트워크 엔지니어 커뮤니티와는 별건.
- 고이케야: 최대 1,800명.
- 모리나가 유업(Mount Cafe-bu): 291명. 이메일, 사용자 이름, 자기소개, 프로필 항목, 그룹, 포인트, 마지막 활동 일시.
- 아오모리현(Aomori Biiki): 전체 회원 15,847명 중 2,950명. 이메일, 닉네임, 연령대, 성별, 거주지, 여행 관련 응답 등.
- 반다이남코 익스피리언스(Wangan Midnight 아케이드 포털): 인원 비공개.
예방 차원에서 서비스를 멈췄다가 이후 유출이 없었다고 밝힌 커뮤니티도 있습니다(DyDo 등).
회원에게 실제로 위험한 것
어떤 출처도 카드 정보는 언급하지 않습니다. 더 직접적인 위험은 정교하게 겨냥한 피싱입니다. 예를 들어 스즈키 커뮤니티의 이메일 목록을 가진 사람은 각 회원의 차종, 연령대, 거주지까지 압니다. 이를 이용하면 브랜드를 사칭한 매우 그럴듯한 가짜 메시지를 만들 수 있습니다.
그래서 스즈키와 모리나가는 회사 이름을 내세운 이메일과 문자 메시지를 경계하고, 의심스러운 링크나 첨부 파일을 열지 말며, 비밀번호나 개인정보를 입력하지 말라고 당부합니다. 스즈키는 커뮤니티와 같거나 비슷한 비밀번호를 다른 서비스에서 쓰고 있다면 변경을 검토하라고도 권합니다.
우리 회사가 배울 점
이번 사건은 빅에코 유출 사고에서 본 교훈을 되풀이합니다. 시스템을 외부에 맡겨도 책임까지 맡길 수는 없다는 것입니다. 데이터를 수집한 기업은 원인이 위탁업체에 있어도 고객에 대한 책임을 집니다. 실무적인 조치를 몇 가지 소개합니다.
- 고객 데이터를 보관하는 클라우드 서비스를 목록으로 정리하세요. 포럼, CRM, 폼, 이메일 마케팅 도구, 채팅 등. 고객 명단을 가진 업체가 몇 곳인지 모르는 중소기업이 많습니다.
- 초대 방식을 점검하세요. 비공개 공간에 초대 링크를 쓴다면 유효 기간이 짧거나, 일회용이거나, 수동 승인이 필요한 링크를 택하세요. 영원히 돌아다니는 링크는 열린 문과 같습니다.
- 관리자 계정을 보호하세요. 2단계 인증을 의무화하고, 관리자 수를 줄이고, 관리자 접근 로그를 정기적으로 검토하세요.
- 필요한 정보만 수집하세요. 커뮤니티에 연령대나 차종이 필요 없다면 묻지 마세요. 저장하지 않은 데이터는 유출되지 않습니다.
- 사고 통보 조항을 계약에 넣으세요. 위탁업체에 신속한 통보를 요구하세요. 일본 개인정보보호법(APPI)에 따르면 1,000명을 넘는 유출이나 무단 접근처럼 부정한 목적이 의심되는 유출은 PPC 보고가 의무입니다. 보고는 두 단계로, "지체 없이" 하는 속보(PPC에 따르면 대체로 3~5일 이내)와 30일 이내(부정한 목적이 의심되면 60일 이내)의 확정 보고가 있습니다.
- 공지 템플릿을 미리 준비하세요. 같은 날 명확한 공지(무슨 일이 있었는지, 어떤 정보인지, 고객이 할 일, 문의 창구)를 낸 기업일수록 신뢰를 지켰습니다.
- 피싱이 오기 전에 고객에게 알리세요. "당사는 이메일로 비밀번호를 묻지 않습니다"라는 간단한 메시지만으로도 사기 피해를 크게 줄일 수 있습니다.
마무리
Commune에 대한 공격은 며칠에 불과했지만, 공유 플랫폼의 결함 하나가 여러 브랜드의 고객을 동시에 위험에 빠뜨릴 수 있음을 보여 줬습니다. 조사는 아직 진행 중이며 수치는 바뀔 수 있습니다. 코뮨이나 피해 고객사가 새로운 사실을 공개하면 이 글을 업데이트하겠습니다.
우리 회사에 던질 실무적인 질문은 이것입니다. 내일 우리가 쓰는 클라우드 업체가 해킹당한다면, 그곳에 어떤 데이터가 있는지, 누구에게 알려야 하는지, 고객에게 무엇을 말해야 하는지 바로 답할 수 있을까요?
출처
- コミューン株式会社: 「Commune」「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ
- INTERNET Watch: コミュニティサービス「Commune」「Commune for Work」に不正アクセス、推計約30万人の個人情報が漏えい
- Sansan: オンラインコミュニティー「Sansan User Forum」における会員情報漏えいに関するお詫びとお知らせ
- スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ (PDF)
- 森永乳業: 委託先システムへの不正アクセスによる「マウントカフェ部」会員情報漏洩に関するお詫びとお知らせ
- 青森県: 「青森びいき」会員情報の漏洩について (PDF)
- ヤマハ発動機: 外部委託先への不正アクセスによるお客様情報漏えいの可能性について（YAMAHA PAS Life）
- 個人情報保護委員会 (PPC): 漏えい等の対応とお役立ち資料
귀사의 비즈니스에도 도입해 보시겠어요?
KGA IT는 중소기업의 AI 어시스턴트, 업무 자동화, 웹사이트 구축을 지원합니다. 상담은 무료이며 24시간 이내에 답변드립니다. 요금제는 월 ¥5,000부터입니다.
- 전화: 080-9732-1062
- 이메일: kga-it@outlook.com
- 문의 페이지: kga-it.com/ko/contact