사가와큐빈, 부정 액세스로 최대 5323만건 개인정보 유출 가능성

일본 택배업체 사가와큐빈(佐川急便)이 지난 9월 30일 발견된 부정 액세스로 최대 약 5323만건의 개인정보가 유출됐을 가능성이 있다고 23일 발표했다. FNN, 아사히신문 등 여러 외신 보도에 따르면 유출 가능성이 있는 정보는 6월 21일부터 9월 30일까지 약 100일간 보관된 택배 송장에 적힌 발송인·수취인의 이름, 주소, 전화번호, 법인·개인 계약 고객 정보, 회원제 웹서비스 '스마트클럽' 등록자의 이름·주소·전화번호·이메일·회원 ID 등이다. 신용카드 정보와 비밀번호는 포함되지 않았다. 유출규모는 최대 5323만건(연인원)가량으로 알려졌다. 사가와큐빈은 9월 30일 오전 7시 30분 부정 액세스를 확인했고, 10월 1일 개인정보 유출 가능성을 발표한 뒤 일부 웹서비스를 중단했다. 이번 5차 보도로 대상 건수가 확인됐다. 사가와큐빈은 "중복 정보가 상당수 포함돼 있어 실인원 수는 아니다"라고 설명했다. 외부 전문 기관과 함께 원인 조사와 재발 방지 대책을 진행 중이며, 이용자에게 사가와큐빈을 사칭한 부정 메일·SMS·전화에 주의하라고 당부했다. 사가와큐빈은 23일 물건 추적 서비스를 재개했지만, 법인용 API, 집하 접수, 반품 서비스 등 일부 서비스는 계속 중단 중이며, 재개 시기는 결정되는 대로 공식 사이트에서 안내할 예정이다. 일본에서는 올해 들어 물류·철도·여행·외식 등 생활 밀착 업종을 중심으로 대규모 개인정보 유출 사고가 잇따랐다. 야마토운수(ヤマト運輸)는 10월 16일 불법 접속으로 개인정보 약 531만건이 유출됐다고 발표했고, JR동일본 그룹은 10월 9일 인터넷 열차 예약 서비스와 계열 신용카드 회사에서 관리하던 개인정보 약 609만건이 유출됐을 가능성이 있다고 밝혔다. 같은 시기 여행 예약 사이트 '스카이티켓(skyticket)'을 운영하는 어드벤처는 약 1464만건, 중고서적 판매업체 북오프는 최대 약 643만건의 회원정보 유출 가능성을 공표했다. 차량 공유 서비스 타임즈카(タイムズカー)에서도 운전면허증 이미지 등 개인정보 최대 약 660만건이 유출된 사실이 공개됐다. 이번 사건은 일본에서 AI를 악용한 사이버 공격이 급증하는 가운데 발생했다. 일본 트렌드마이크로에 따르면 9월 말까지 일본 기업·지자체의 부정 액세스 피해 공표 건수는 약 600건에 달한다. 2024년, 2025년 같은 기간보다 각각 100건 이상 많다. 일본 정부는 잇따른 사이버 공격에 대응해 10월 9일 기업들에 IT 시스템 보안 강화를 긴급 주문했다. 국가사이버총괄실(NCO)은 피해 발생 시 관련 정보를 신속히 제공하라고 당부했고, 집권 자민당도 국가사이버보안전략본부 회의를 열어 민관 공동 대응 강화를 요구했다. 자민당에서 AI 정책을 총괄하는 다이라 마사아키(平将明) 본부장은 최근 정보 유출이 AI를 악용한 '포화 공격'의 성격을 띤다고 지적하며, IT 시스템 침해 이후 민감 정보 유출 전에 자동으로 감지해 피해를 최소화할 방안을 모색해야 한다고 강조했다. 일본에서는 개인정보 유출에 따른 2차 피해도 발생하고 있다. 유출된 정보를 이용해 회원 포인트를 빼돌리는 사례가 확인됐으며, 운전면허증 이미지가 유출된 타임즈카의 경우 신분 도용 등 추가 피해 우려가 커졌다. 사가와큐빈의 이번 사건에서도 신용카드 정보와 비밀번호는 포함되지 않았지만, 이름·주소·전화번호 등이 유출돼 피싱이나 사기 등에 악용될 가능성이 제기된다.