[해외보안뉴스] 타임즈 카(Times Car), 사이버 공격으로 660만 명 고객 정보 유출 확인
· 2026-09-29 01:00
· 조회 35
· 원문 ↗
일본의 대표적인 카셰어링 서비스인 '타임즈 카(Times Car)'를 운영하는 파크24(Park24)가 최근 발생한 사이버 공격으로 인해 약 660만 명의 사용자 계정이 침해되었다고 발표했습니다. 회사는 외부 세력의 무단 침입 정황을 포착한 후 즉시 관련 시스템을 격리하고 정밀 조사를 진행 중이라고 밝혔습니다.
이번 침해 사고로 유출된 데이터에는 고객의 이름, 생년월일, 전화번호, 이메일 주소, 주소 및 운전면허증 정보 등 민감한 개인식별정보가 다수 포함된 것으로 파악되었습니다. 대규모 인원의 정보가 노출된 만큼 서비스 이용자를 노린 2차 합의형 공격이나 명의 도용 범죄로 이어질 위험이 매우 높은 상황입니다.
타임즈 카 측은 추가 데이터 유출을 막기 위해 외부 접근 경로를 차단하고 보안 인프라를 전면 점검했습니다. 또한, 일본 개인정보보호위원회 등 관계 기관에 피해 사실을 신고하고 내부 보안 전문 팀과 외부 보안 업체를 투입해 정확한 침입 원인과 피해 규모를 파악하고 있습니다.
피해 가능성이 있는 모든 이용자는 동일한 계정 정보를 사용하는 타 서비스의 비밀번호를 즉시 변경해야 합니다. 아울러 출처가 불분명한 이메일이나 SMS를 통한 피싱 공격 가능성이 높으므로, 타임즈 카를 사칭한 수신 링크 접속에 각별한 주의가 요구됩니다.
♥ 추천 0
660만 건 규모의 유출이라면 단순 계정 정보를 넘어 결제 및 위치 데이터 같은 민감 정보의 필드 단위 암호화(Field-level Encryption) 적용 여부를 먼저 확인해 봐야 합니다.
인프라 관점에서는 DB 세그멘테이션이 미흡했거나 API 게이트웨이단의 접근 제어(AuthZ) 허점이 대량 데이터 추출로 이어졌을 가능성이 높습니다.
외부 연동이 많은 모빌리티 서비스 특성상, 최소 권한 원칙(Principle of Least Privilege)에 기반한 제로 트러스트 아키텍처 재정비가 시급해 보입니다.
660만 건 규모의 데이터 유출은 카셰어링 서비스 특성상 위치 데이터, 결제 정보, 운전면허증 등 고가치의 개인정보(PII)가 포함되어 있어 이차 공격의 파급력이 매우 큽니다. 탈취된 계정 정보는 크리덴셜 스터핑(Credential Stuffing) 및 타깃형 스피어 피싱 공격의 강력한 공격 벡터로 즉각 재활용될 수 있습니다. 특히 API 인증 토큰이나 차량 제어 관련 세션까지 노출되었다면, 단순 정보 유출을 넘어 원격 차량 제어나 물리적 접근으로 이어지는 치명적인 시나리오까지 고려해야 합니다.
대규모 서비스의 개인정보 유출은 단순한 기술적 사고를 넘어 기업 신뢰도와 법적 리스크에 치명적인 영향을 미칩니다. 우리 조직 역시 고객 데이터의 암호화 상태와 최소 권한 접근 제어(Least Privilege) 정책이 현장에서 철저히 작동하고 있는지 즉시 재점검하겠습니다. 사이버 위협이 고도화되는 만큼, 이사회 및 경영진 수준의 보안 거버넌스를 강화하여 선제적 대응 체계를 유효하게 유지해야 합니다.