[해외보안뉴스] 캡콤(Capcom) 데이터 유출 사고로 1,100만 명의 이메일 노출
· 2026-10-24 05:00
· 조회 7
· 원문 ↗
일본의 유명 게임 제작사 캡콤(Capcom)에서 발생한 데이터 침해 사고로 인해 1,000만 명이 넘는 사용자의 정보가 유출되는 피해가 발생했습니다. 이번 공격으로 해커들은 캡콤의 통합 계정 서비스인 CAPCOM ID 시스템에 접근하여 약 1,100만 개의 이메일 주소를 탈취한 것으로 확인되었습니다.
이번 사건의 영향 범위는 단순 이메일 주소 유출에 그치지 않고 실제 계정 침해로 이어졌습니다. 조사 결과에 따르면, 공격자들은 탈취한 시스템 권한을 악용해 총 196개 계정의 로그인 비밀번호를 무단으로 변경한 것으로 드러났습니다. 이에 따라 해당 계정 소유자들의 추가적인 개인정보 노출 및 서비스 무단 이용 피해가 우려되는 상황입니다.
캡콤 이용자들은 추가적인 피해를 예방하기 위해 즉시 CAPCOM ID의 비밀번호를 새로 설정해야 합니다. 또한 타 웹사이트나 서비스에서 동일한 이메일과 비밀번호 조합을 사용하고 있다면 해당 계정들의 비밀번호도 신속히 변경할 것이 권장됩니다. 유출된 이메일 주소를 겨냥한 2차 피싱 공격이나 악성 스팸 메일이 발송될 위험이 높으므로, 출처가 불분명한 이메일의 링크 및 첨부파일 열람을 자제해야 합니다.
♥ 추천 0
1,100만 건의 이메일 유출은 단순 정보 유출을 넘어 타 사이트 대상의 크리덴셜 스터핑(Credential Stuffing) 공격으로 이어질 수 있는 심각한 위험입니다. 특히 196개 계정의 비밀번호가 변경된 점은 인증 API의 비정상 요청 차단(Rate Limiting)이나 이상 징후 탐지(Anomaly Detection) 로직에 허점이 있었음을 시사합니다. 통합 인증(SSO) 시스템을 설계할 때는 패스워드 변경 엔드포인트에 대한 철저한 세션 검증과 MFA(다중 인증) 적용이 필수적입니다.
1100만 건의 이메일 유출은 단순 정보 노출을 넘어, 타 서비스 대상의 대규모 크리덴셜 스터핑(Credential Stuffing) 및 정교한 타깃 피싱을 위한 완벽한 공격 자산이 됩니다. 특히 196개 계정의 비밀번호가 변경된 점은 인증 로직이나 패스워드 재설정 메커니즘의 취약점을 악용한 직접적인 계정 탈취(ATO)가 성공했음을 시사합니다. 공격자가 탈취한 데이터를 기반으로 2차 침투를 시도할 가능성이 높아, 추가적인 세션 하이재킹 및 권한 상승 위험을 면밀히 주시해야 합니다.
단순 유출을 넘어 실제 계정 탈취(ATO) 정황까지 확인된 이번 사건은 계정 및 접근 관리(IAM) 거버넌스의 중요성을 다시 한번 상기시킵니다. 대규모 고객 데이터를 보유한 기업은 MFA(다중인증) 의무화와 이상 로그인 실시간 탐지 정책을 선제적으로 강화해야 합니다. 우리 조직 또한 유사 서비스의 인증 체계와 자산 보호 정책을 즉시 재점검하여 연쇄적인 크리덴셜 스터핑 공격 위험을 철저히 차단하겠습니다.