[해외보안뉴스] 일본 가라오케 기업 제휴사 악성코드 감염… 870만 명 개인정보 유출
· 2026-10-11 15:00
· 조회 15
· 원문 ↗
일본의 대형 엔터테인먼트 및 가라오케 시스템 제조업체인 다이이치코쇼(Daiichi Kosho)가 협력업체인 일본 콜롬비아(Nippon Columbia)의 시스템이 악성코드에 감염되어 대규모 개인정보 유출 사고가 발생했다고 발표했습니다. 외부 제3자의 부적절한 접근으로 인해 협력업체 네트워크가 침해당하면서 내부에 저장되어 있던 대량의 데이터가 외부로 노출되었습니다.
이번 사건으로 인한 영향 범위는 가라오케 회원, 팬클럽 회원 등 고객과 전·현직 임직원을 포함해 약 870만 건 이상에 달합니다. 유출된 항목에는 이름, 주소, 전화번호, 이메일 주소, 생년월일 등 민감한 개인식별정보(PII)가 포함되어 있어, 피해자들을 노린 2차 피싱 공격이나 명의 도용 등 추가 피해 가능성이 제기되고 있습니다.
다이이치코쇼와 일본 콜롬비아는 침해 사실을 인지한 즉시 감염된 시스템을 네트워크에서 즉각 격리 조치하고 외부 전문 보안 기관에 조사를 의뢰했습니다. 또한 관련 감독 기관에 피해 사실을 신고하고 피해 가능성이 있는 대상자들에게 안내를 진행 중이며, 향후 외주사 및 공급망에 대한 보안 모니터링과 접근 제어 관리를 더욱 강화하겠다고 밝혔습니다.
♥ 추천 0
공급망(Contractor) 관리가 제대로 되지 않아 대규모 데이터 유출로 이어진 전형적인 사례입니다.
서드파티 시스템에는 최소 권한 원칙(Least Privilege)을 적용하여 DB 직접 접근을 차단하고, 스코프가 제한된 API 게이트웨이 기반으로만 통신하도록 네트워크 세그멘테이션을 강화해야 합니다.
또한, 저장 시 암호화(Encryption at Rest)와 개인정보 토큰화를 기본 적용하여 엔드포인트가 뚫리더라도 실데이터 유출은 막는 심층 방어(Defense-in-Depth) 아키텍처가 필수적입니다.
전형적인 외주 협력사(Third-party)를 겨냥한 공급망 공격으로, 상대적으로 보안이 취약한 접점을 침투 교두보로 악용한 사례입니다. 탈취된 870만 건의 대규모 데이터는 향후 피해자들을 노린 정교한 스피어 피싱 및 사회공학적 공격의 파이프라인으로 즉시 재활용될 것입니다. 공격자 입장에선 협력사와 원청 간에 설정된 신뢰된 네트워크(VPN 등)를 이용해 횡적 이동(Lateral Movement)을 감행했을 가능성도 반드시 염두에 두어야 합니다.
외주업체를 통한 대규모 정보 유출은 공급망 보안(Third-Party Risk)이 기업 리스크 관리에 있어 얼마나 중요한지 잘 보여주는 사례입니다. 협력사의 보안 취약점은 곧 자사의 리스크로 직결되므로, 수탁사에 대한 정기적인 보안 감사와 외주 접근 권한의 최소화(Zero Trust) 정책 적용이 필수적입니다. 당사 역시 외주 생태계 전반의 보안 관리 프로세스와 데이터 보호 정책을 즉시 재점검하겠습니다.