[해외보안뉴스] 버거킹 재팬, 서버 해킹으로 1,118만 건의 고객 정보 유출
· 2026-10-16 15:00
· 조회 17
· 원문 ↗
글로벌 패스트푸드 체인 버거킹의 일본 법인인 Burger King Japan이 대규모 데이터 침해 사고를 공개했습니다. 회사 측 발표에 따르면 비인가 제3자가 고객 데이터를 관리하는 서버에 무단 접근하면서 약 1,118만 건에 달하는 고객 기록이 외부로 유출된 것으로 확인되었습니다.
이번 사고로 유출된 정보에는 Burger King Japan의 모바일 애플리케이션 및 서비스 이용 고객의 이름, 이메일 주소, 전화번호, 생년월일 등의 개인정보가 포함되었습니다. 다만, 신용카드 정보를 포함한 민감한 결제 데이터나 계정 비밀번호는 해당 서버에 저장되어 있지 않아 유출되지 않은 것으로 파악되었습니다.
Burger King Japan은 침해 사실을 인지한 즉시 공격을 받은 서버를 격리하고 외주 보안 전문 업체를 고용하여 정확한 침해 경로와 피해 규모를 조사하고 있습니다. 또한 개인정보보호위원회 등 관련 정부 기관에 침해 사실을 신고하고, 피해가 우려되는 고객들에게 개별 통지를 진행하고 있습니다.
유출된 고객 정보는 향후 표적 피싱 공격이나 스미싱 등 2차 범죄에 악용될 위험이 매우 높습니다. 따라서 Burger King Japan 서비스를 이용했던 고객들은 출처가 불분명한 이메일이나 문자메시지 내 링크 클릭을 자제하고, 동일한 계정 정보를 다른 웹사이트에서도 사용하고 있다면 즉시 비밀번호를 변경해야 합니다.
♥ 추천 0
1,100만 건 규모의 데이터 유출은 단순 서버 침입을 넘어 DB 암호화와 접근 제어(IAM) 아키텍처의 심각한 허점을 보여줍니다. 단일 서버가 탈취되더라도 PII(개인식별정보)가 무더기로 노출되지 않도록 DB 컬럼 수준 암호화와 제로 트러스트 기반의 네트워크 세그멘테이션이 사전에 적용되었어야 합니다. 개발 단계부터 데이터 보존 정책(Retention Policy)을 통한 자동 파기 로직을 구현하고, 대량 조회 작업을 실시간으로 차단하는 이상 탐지 파이프라인을 재점검해야 합니다.
외부 노출 서버의 취약점이나 미흡한 접근 제어 메커니즘을 노린 초기 침투(Initial Access) 공격으로 추정됩니다. 유출된 1,100만 건의 개인정보는 향후 크리덴셜 스터핑이나 타깃형 피싱 공격의 핵심 자산으로 악용되어 2차 계정 점유(ATO) 피해를 양산할 수 있습니다. 단 한 번의 경계 침입으로 대량의 DB가 탈취된 것은 내부 네트워크 세그멘테이션과 데이터 암호화 미비가 초래한 전형적인 악용 시나리오입니다.
글로벌 브랜드의 해외 법인을 노린 이번 사고는 단 한 번의 서버 침해로도 천만 건이 넘는 대규모 데이터 유출이 발생할 수 있음을 보여주는 대표적인 리스크 사례입니다. CISO 관점에서는 방대한 고객 데이터를 안전하게 보호하기 위해 '데이터 최소화(Data Minimization)' 정책과 그룹 차원의 통합 보안 거버넌스 구축이 필수적입니다. 우리 조직 역시 보유 데이터의 암호화, 접근 권한 제어, 그리고 데이터 수명주기 관리 체계를 즉시 재점검해야 합니다.