무슨 일이 있었나
2026년 10월 8일, 일본 3대 편의점 체인 중 하나인 로손은 앱과 각종 서비스에서 쓰는 통합 계정 로손 ID의 2,155,345건 개인정보가 무단 접근으로 유출됐다고 발표했습니다. 크리스마스 케이크 같은 시즌 상품 예약 서비스 로손 앱 예약의 26건도 노출됐습니다.
회사에 따르면 접근은 9월 12~14일(로손 ID)과 9월 17일(예약)에 있었지만, 10월 7일 조사에서야 발견됐습니다. 3주 이상 지난 뒤였습니다.
유출된 정보
- 로손 ID(2,155,345건): 이름과 이메일. 캠페인·경품 응모 시 정보를 입력한 경우 성별, 전화번호, 주소, 뉴스레터 수신 정보도 포함
- 앱 예약(26건): 이름, 전화번호, 신용카드 번호 일부
- 일본 언론 보도에 따르면 비밀번호는 유출되지 않았고, 발표 시점까지 부정 사용은 확인되지 않았습니다.
원인
로손은 원인을 앱 관련 시스템의 부정 이용이라고 설명했습니다. 본래 이용자 본인에게만 정보를 표시하기 위한 보안 메커니즘이 제3자에게 무단 접근돼 다른 사람의 데이터를 얻을 수 있었다는 것입니다. 구체적 수법이나 취약점은 밝히지 않았습니다.
실제로는 앱에서 매우 흔한 결함 유형인 객체 수준 권한 검증 실패(BOLA/IDOR), 즉 API가 요청자의 소유인지 확인하지 않고 아무 ID의 데이터나 반환하는 문제와 비슷합니다. 주의: 이는 저희의 해석이며 로손이 확인한 내용은 아닙니다.
회사는 다른 무단 접근이나 악성코드 감염은 없었다고 밝혔습니다. 별도로 9월 하순 로손의 사내 메일 서버가 악용돼 수상한 메일이 발송된 일이 있었지만, 보도에 따르면 두 사건의 연관성은 확인되지 않았습니다.
대응
- 수상한 접근 출처를 차단하고 앱 예약 기능을 중단
- 일본 **개인정보보호위원회(PPC)**에 보고
- lawson_id@mailservice.lawson.jp에서 대상자에게 개별 이메일 안내
고객이 해야 할 일
- 로손이나 유출을 언급하는 이메일, 문자, 전화를 경계하세요. 특히 링크나 정보 요청에 주의하세요.
- 공식 발신자인지 확인하고 앱이나 공식 사이트로 직접 접속하세요.
- 예약을 이용했다면 카드 명세서를 확인하세요.
앱을 운영하는 기업을 위한 교훈
- 개인정보를 반환하는 모든 API는 요청마다 소유자를 확인해야 합니다.
- 양과 패턴을 모니터링하세요: 3일 만에 수백만 건을 가져가는 것은 눈에 띄는 이상입니다.
- 탐지 시간을 줄이세요: 공격에서 발견까지 3주는 너무 깁니다.
- 캠페인에서 데이터를 덜 수집하세요: 존재하지 않는 데이터는 유출되지 않습니다.
10월 일본에서는 유출이 잇따랐습니다(skyticket, 야키니쿠 킹, 다이이치코쇼, 북오프). 소비자 앱 API 점검이 더 시급해졌습니다.
출처
- 로손 공식 공지(2026.10.8): https://www.lawson.co.jp/contents/cont07/1533174_3310.html
- ITmedia NEWS: https://www.itmedia.co.jp/news/article/2610/09/2000002148/
- 비즈니스+IT: https://www.sbbit.jp/article/cont1/187372
앱 API 보안을 점검하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com