일본 보안 뉴스를 지켜보는 분이라면 눈치챘을 겁니다. 2026년 9월 이후 거의 매주 새로운 정보 유출 공지가 나오고 있습니다. 포인트 프로그램, 음식점 앱, 예약 사이트, 커뮤니티 플랫폼, 구인 사이트가 잇따라 공지를 냈고, 이 블로그에서도 Lawson ID, 북오프, Commune, Baitoru 사례를 다뤘습니다.
10월 8~9일, 일본의 공식 보안 기관들이 일제히 대응에 나섰습니다. JPCERT/CC는 주의 환기 JPCERT-AT-2026-0030을 공개했고, IPA(정보처리추진기구)는 "즉시 실시해야 할" 점검 항목을 발표했으며, METI(경제산업성)는 업계 단체에 공식 협조를 요청했습니다. 이 글은 중소기업에서 시스템을 운영하는 분들을 위해 이 문서들의 내용을 실무 관점에서 정리합니다.
먼저 중요한 전제가 있습니다. 어느 기관도 특정 기업의 유출을 특정 공격 수법과 연결하지 않았습니다. 위의 사례들은 이번 흐름의 배경일 뿐이며, 각각이 아래 방식으로 일어났다고 말하는 것이 아닙니다.
JPCERT/CC가 밝힌 내용
AT-2026-0030은 2026년 10월 8일 공개되고 10월 9일 갱신되었습니다. JPCERT/CC에 따르면 9월 전후로 일본 국내 조직에서 무단 접근에 의한 개인정보 유출이 잇따랐고, 공유된 기술 정보는 아직 "제한적이고 단편적"입니다. 그럼에도 피해가 확산되고 있어 경고를 내기로 했다고 합니다.
눈여겨볼 점은 두 가지입니다.
- 평소 산발적으로 발생하는 랜섬웨어와는 다른 유형의 공격을 다룹니다. 대량의 개인정보 유출로 이어지는 침입이 초점입니다.
- 일반 이용자용 앱만이 아닙니다. BI(비즈니스 인텔리전스) 도구와 직원용 관리 시스템처럼, 운영자가 "불특정 다수의 접근을 상정하지 않은" 시스템도 피해를 입었습니다.
JPCERT/CC는 모든 사건이 같은 수법을 쓴 것은 아니며, 새로운 정보가 나오면 페이지를 갱신하겠다고 강조합니다.
관찰된 네 가지 공격 패턴
주의 환기는 접수된 보고를 바탕으로 네 가지 "케이스"를 설명합니다. 운영상 세부 사항은 빼고 방어 관점에서 요약합니다.
- 케이스 A — 알려진 취약점 탐색. 한 제품의 단일 결함이 아닙니다. 공격자는 대상별로 이미 알려진 여러 취약점을 스캔하고, 환경 설정 파일이나 백업 파일 탈취처럼 관리 부실을 노리는 공격도 시도합니다.
- 케이스 B — API 악용. 앱 관리용 API에 대한 부정 요청으로 정보가 변조된 사례가 있습니다. 보고된 수법으로는 공개된 스마트폰 앱을 분석해 엔드포인트와 키를 찾아내기, 화면 조작으로는 실행할 수 없는 내부 API 공격(사용자 권한 변경, 부정 계정 생성), 잘못된 형식의 인증 토큰으로 응답 차이 확인, NoSQL 인젝션 블라인드 탐색으로 계정 정보 특정, 다른 시스템 침해로 탈취한 API 키 사용 등이 있습니다.
- 케이스 C — Metabase CVE-2026-72898. BI 도구 Metabase의 SQL 인젝션 취약점으로, 역시 API를 통해 악용됩니다. JPCERT/CC는 8월 14일에 이미 경고했습니다. 자세한 내용은 Metabase CVE-2026-72898 글을 참고하세요.
- 케이스 D — 애플리케이션 서버의 웹셸. 공개 웹 서버에서 접근 가능한 애플리케이션 서버에 WAR 파일이 설치되었고, 그 안의 JSP가 간단한 웹셸로 동작했습니다.
JPCERT/CC는 조사에 활용할 수 있도록 의심스러운 출발지 IP 주소와 User-Agent 예시도 공개했지만, 일부 IP는 현재 정상적으로 사용 중일 수 있다고 덧붙였습니다. 로그를 점검할 때는 갱신될 수 있으므로 공식 페이지(출처에 링크)의 목록을 직접 확인하세요.
API에 대한 권장 대책
주의 환기에서 가장 유용한 부분은 대책 목록입니다. API 접근에 대해 JPCERT/CC는 다음을 권장합니다.
- 단위 시간당 요청 수를 제한하고 반복 접근이나 대량 실행을 막는다.
- 로그인, 비밀번호 재설정, SMS 발송, 검색처럼 위험도가 높은 기능에는 개별 제한을 둔다.
- 비공개 API를 포함한 모든 엔드포인트에 접근 제어를 적용해 허가된 사용자와 HTTP 메서드만 받는다.
- API 사용자와 토큰에는 꼭 필요한 최소 권한만 준다.
- 토큰에 적절한 유효 기간을 두고 장기 토큰을 피한다.
- 더 이상 쓰지 않거나 유출이 의심되는 토큰을 즉시 무효화할 수 있게 한다.
일반 대책으로는 이용 지역이 한정된 서비스의 접속 지역 제한, 취약한 버전의 업데이트 적용, 웹 서버 침해 후 횡적 이동 대책 재검토, 탐지 체계와 초동 대응 재점검, 평소 고객에게 2차 피해 예방 안내(다요소 인증 등), 불필요한 관리 기능의 인터넷 공개 중단, 법정 보관 기간이나 이용 목적이 끝난 데이터 삭제가 제시되었습니다. 참고 자료로 OWASP API Security Top 10이 안내됩니다.
IPA의 즉시 점검 목록
IPA는 10월 9일 대량의 데이터를 보유한 기업의 경영진을 대상으로 한 문서를 공개했습니다. 금융기관과 통신사업자를 포함한 폭넓은 업종에서 유출 공표가 이어지고 있으며, 현 단계에서는 특정 제품이나 서비스의 취약점을 노린 공격이라고 단정할 수 없다고 합니다. 공개된 사례의 경향으로 보면 외부에 공개된 애플리케이션·서비스의 침해와 계정 탈취가 출발점으로 보인다는 설명입니다.
IPA가 지금 바로 요청하는 점검은 다음과 같습니다.
- 외부 공개 애플리케이션: 자체 구축·운영하는 외부 공개 앱과 서비스를 모두 파악하고, 최근 로그에서 이상 징후(오류량, 평소와의 차이)를 먼저 최근 1개월, 이어서 3개월로 범위를 넓혀 확인합니다. 미적용 패치가 있으면 가능한 한 빨리 적용합니다.
- 이용 중인 외부 서비스: 클라우드, VPN 등 부서 단위 이용을 포함해 모두 목록화하고, 서비스별 로그(로그인 실패, 평소와 다른 접속 IP·시간대)를 확인합니다. 만든 적 없는 계정이나 비활성화했던 계정이 다시 활성화되지 않았는지도 살핍니다.
- 보유 데이터: 탈취된 데이터는 협박과 불법 거래로 이어지므로, 정말 보관해야 하는 데이터인지 다시 점검합니다.
이상한 로그나 계정이 발견되면 즉시 보안 사고로 판단하고, 전문 보안 업체에 상세 조사를 맡길 것을 강력히 권고합니다.
이후 대책으로는 외부 공개 범위 재검토, 인증(다요소 인증·비밀번호) 강화, 권한과 API 연동 재점검, 로그 수집 내용과 보존 기간 재검토, 데이터 저장 위치와 암호화 재검토 등이 제시되었습니다.
경제산업성의 요청
경제산업성은 국가사이버통괄실(NCO), JPCERT/CC, 개인정보보호위원회(PPC)의 경고를 일본통신판매협회(JADMA), 일본상공회의소 등 업계 단체에 전달했습니다. 공급망 전체를 고려해 최고경영진의 직접 주도, 취약점 정보의 신속한 파악과 대응, "제로 트러스트"로의 전환을 요구합니다. 사고가 발생하면 소관 업종 기업은 시간 순서, 피해 상황, 공격 유형 등을 담당 부서에 신속히 알리고 경찰 신고도 검토하라고 요청했습니다.
중소기업이 이번 주에 할 일
문서 내용을 현실적인 할 일로 바꾸면 다음과 같습니다.
- 목록을 만드세요. 웹사이트, 온라인 쇼핑몰, 앱, 관리자 화면, BI 도구, VPN, 부서별로 계약한 클라우드 서비스 등 회사 이름으로 인터넷에 나가 있는 모든 것을 적습니다.
- 최근 30일 로그를 보세요. 오류 급증, 사업을 하지 않는 국가에서의 로그인, 비정상적으로 많은 API 호출, 아무도 모르는 신규 계정을 찾습니다.
- 열려 있을 필요가 없는 것은 닫으세요. 관리자 화면과 내부 도구가 인터넷의 아무 IP에나 응답해서는 안 됩니다.
- API 키를 점검하세요. 오래된 키는 폐기하고 권한을 줄이며, 공개된 앱에 키가 들어 있지 않은지 확인합니다.
- 업데이트하세요. 외부에 노출된 구성 요소를 우선하고, Metabase를 쓴다면 수정된 버전인지 확인합니다.
- 보관할 필요 없는 데이터는 지우세요. 데이터가 적을수록 피해도 줄어듭니다.
소규모 기업을 위해 IPA는 "5분 자가 진단"과 SECURITY ACTION 자기 선언, 모니터링·현장 대응·보험을 묶은 "사이버 보안 오타스케타이 서비스" 같은 무료·저비용 자원도 안내합니다.
아직 알려지지 않은 것
각 기관은 일련의 사건을 하나의 그룹이나 하나의 결함과 연결하지 않았고, JPCERT/CC 스스로도 파악한 정보가 부분적이라고 밝혔습니다. AT-2026-0030의 갱신과 피해 기업의 공지를 계속 확인하고, 중요한 변화가 있으면 이 글을 업데이트하겠습니다.
출처
- JPCERT/CC: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 (JPCERT-AT-2026-0030)
- IPA: 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について (2026-10-09)
- JADMA: 経済産業省の注意喚起及び情報提供に係る協力依頼 (2026-10-09)
- 日本商工会議所: 不正アクセスによる情報漏えい等の事案を踏まえたセキュリティ対策の徹底について（経済産業省）
- JPCERT/CC: MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
- Impress Watch: 国内で情報漏えい被害が相次ぐ JPCERT/CCが攻撃手法と対策を公表
- マイナビ TECH+: 国内で不正アクセス相次ぐ、JPCERT/CCが注意喚起
- Macnica セキュリティ研究センター: 相次ぐWEBシステムからの情報漏洩事案について
- OWASP API Security Top 10 (2023)
귀사의 비즈니스에도 도입해 보시겠어요?
KGA IT는 중소기업의 AI 어시스턴트, 업무 자동화, 웹사이트 구축을 지원합니다. 상담은 무료이며 24시간 이내에 답변드립니다. 요금제는 월 ¥5,000부터입니다.
- 전화: 080-9732-1062
- 이메일: kga-it@outlook.com
- 문의 페이지: kga-it.com/ko/contact