해킹 피해 확산하는 일본, 한큐한신 126만 건 유출 등 민관 전방위 강타

핵심요약

기사 핵심 요약

일본에서 백화점 모회사 H2O리테일링의 126만 건 유출을 비롯해 유미르링크와 니후티 등 민간 기업과 정부망을 겨냥한 연쇄 해킹이 발생했다. 도난당한 개인정보가 생성형 AI와 결합해 2차 시스템 침투 도구로 악용될 수 있다는 우려가 제기된다.

일본 전역에서 백화점과 통신망을 겨냥한 연쇄 해킹으로 대규모 개인정보가 유출됐다.

• H2O리테일링 온라인 주문 시스템 경유로 126만 건의 고객 정보 유출 정황이 확인됐다.
• 유미르링크 900만 건, 니후티 최대 54만 건 등 통신 및 의료 도매망까지 동시다발적인 침해를 입었다.
• 보안 전문 기업은 유출 데이터가 생성형 AI와 결합해 표적 피싱과 추가 침입에 악용될 수 있다고 경고했다.

일본 전역에서 백화점과 인터넷 서비스, 의료 분야를 겨냥한 해킹 피해가 잇따라 발생했다. 해킹 피해 확산하는 일본 백화점 고객·의료인 정보도 털렸다…日 사이버공격에 '몸살' 한큐한신백화점 모회사의 고객 정보 126만 건이 유출된 데 이어 이메일 솔루션 기업과 인터넷망 기업, 의약품 도매업체까지 뚫렸다. 최근 정부 내부망과 공공 인프라까지 침해 사고가 번진 상황에서 대규모 유출 데이터가 2차 침입에 악용될 수 있다는 우려가 나온다.

H2O리테일링 고객정보 126만 건 유출 확인

한큐한신백화점의 모회사인 H2O리테일링에서 발생한 해킹 피해 규모는 126만 건에 달하며, 온라인 주문 시스템을 경유한 부정접속이 직접적인 원인으로 드러났다. 유출 사고 당시 개인정보의 부정 이용 이력은 확인되지 않았다. 다만 이용자의 상품 주문 이력과 신용카드 번호 일부가 외부로 빠져나갔을 가능성이 있다.

H2O리테일링 측은 백화점 고객관리시스템에 부정접속이 발생한 사실을 확인하고 피해 경로를 조사했다. 온라인 주문 결제 체계와 맞물린 전산망이 경로로 지목되면서 유통망 전반의 거래 보안 취약점이 드러났다는 평가가 나온다.

고객 결제 수단과 구매 내역이 함께 노출되면 금융 사기나 2차 범죄로 이어질 위험이 있다. 이에 따라 결제 데이터 분리 보관과 암호화 체계 강화를 비롯한 사이버 보안 기업 전략 수립의 필요성이 제기된다.

통신·이메일·의료 전방위로 번진 부정접속 사례

H2O리테일링 외에도 유미르링크, 니후티, 도호홀딩스 등 통신과 의료 서비스 분야의 주요 기업들이 동일한 시기에 부정접속 공격을 받아 개인정보를 도난당했다. 전자상거래 플랫폼뿐만 아니라 이메일 전송망과 의약품 유통망까지 동시에 침해당하면서 사회 필수 서비스 전반이 공격 표적이 됐다.

이메일 서비스 기업 유미르링크는 외부 부정접속으로 메일 주소를 포함한 개인정보 약 900만 건이 유출됐을 가능성이 있다고 공표했다. 인터넷망 서비스 기업 니후티 역시 부정접속으로 고객 이름, 주소, 전화번호 등 최대 54만 건에 이르는 정보가 유출된 것으로 파악했다.

의약품 도매 기업 도호홀딩스는 의료기관을 대상으로 제공하던 서비스 데이터베이스가 해킹을 당해 의료 종사자 이름 등 개인정보가 유출되는 사고를 겪었다. 가전 양판점 조신과 비디오 대여·중고물품 판매 기업 세컨드리테일링도 같은 시기 해킹 피해를 인정했다.

민간 부문에서 공식 발표된 주요 기업별 사이버 침해 및 정보 유출 현황은 다음과 같다.

표: 일본 주요 기업 부정접속 및 정보 유출 피해 현황

기업명	업종	피해 규모(건)	유출 추정 항목
H2O리테일링	백화점·유통	1,260,000	상품 주문 이력, 신용카드 번호 일부 등
유미르링크	이메일 서비스	약 9,000,000	메일 주소 포함 개인정보
니후티	인터넷망 서비스	최대 540,000	이름, 주소, 전화번호 등
도호홀딩스	의약품 도매	집계 중	의료 종사자 이름 등 개인정보

*출처: 각 사 공식 발표 자료(2026)

이번 침해 사건은 특정 업종에 머무르지 않고 여러 산업군을 관통했다. 일상생활과 직결된 이메일과 네트워크망이 뚫리면서 이용자 개인 식별 정보가 대규모로 노출됐다.

정부망부터 대학·클라우드까지 이어진 사이버 침해

일본 내 침해 사고는 민간 기업을 넘어 정부 행정망, 교육 기관, 클라우드 서버 등 공공 및 기간망 전반으로 확대되어 누적되고 있다. 최근 몇 달간 이어진 연속 공격은 인프라의 규모나 보안 수준과 무관하게 광범위한 취약점을 노렸다.

지난 7월 일본 정부 내부망인 '정부 솔루션 서비스'가 무단 침입을 받아 공무원 24만6천여 명의 개인정보가 유출되는 사고가 발생했다. 국가 행정 전산망마저 침입을 허용하면서 공공 보안망의 신뢰성에 타격을 입었다.

오사카공립대에서는 전산 시스템에 대규모 장애가 발생해 학사 관리 체계 전체가 마비되는 혼란을 겪었다. 일상적인 학사 행정이 멈추면서 학생과 교직원의 학사 일정 운영에 차질이 빚어졌다.

민간 이동 서비스 분야에서는 일본 최대 차량공유 업체 타임즈카에서 이용자 660만 건의 개인정보가 해킹으로 빠져나갔다. 대규모 계정 유출 사고는 과거 글로벌 플랫폼 대규모 계정 유출 사례처럼 많은 이용자에게 직접적인 보안 위협을 안긴다. 소프트뱅크 자회사 IDC프론티어의 법인용 클라우드 서비스 시스템 역시 랜섬웨어 공격을 받아 최소 495곳의 기업과 지방자치단체가 서비스 장애 피해를 입었다.

보안 업계의 2차 침입 경고와 생성형 AI 악용 우려

보안 전문 기업들은 도난당한 개인정보가 기업 시스템에 다시 침투하기 위한 도구로 악용돼 공격이 급증할 것이라고 경고했다. 확보된 유출 데이터를 결합해 표적 시스템의 인증 체계를 무너뜨리는 2차 공격 위협이 가시화되는 양상이다.

IT 보안 회사 트렌드마이크로는 도쿄 기자회견에서 사이버 범죄자들이 탈취한 대량의 개인정보를 이용해 기업 내부 시스템 침입을 가속할 것이라고 분석했다. 범죄 생태계 안에서 유출 데이터베이스가 거래되면서 연쇄 침투 시도가 늘어날 수 있다는 진단이다.

에바 첸 트렌드마이크로 최고경영자(CEO)는 "인공지능으로 인해 유출 정보의 정리와 정교한 사기 문장의 생성이 매우 간단해졌다"고 분석했다. 이어 "개인정보가 사기 조직이나 다른 사이버 범죄자에게 매각돼 표적형 피싱 메일이나 새로운 시스템 침입을 감행하는 핵심 수단으로 전용될 수 있다"고 지적했다.

생성형 AI 기술이 공격자의 정보 분석 비용과 피싱 정밀도를 낮추면서 유출 사고 이후의 파급력은 더 커졌다. 대규모 개인정보 유출이 단일 사건에 그치지 않고 추가 침입의 발판이 될 수 있는 만큼, 기업과 공공기관의 체계적인 점검이 요구된다.

자주 묻는 질문

H2O리테일링에서 유출된 고객 정보의 세부 항목은 무엇인가요?

온라인 주문 시스템을 통해 침입이 발생했으며, 이용자의 상품 주문 이력과 신용카드 번호의 일부가 외부로 유출되었을 가능성이 확인되었습니다.

민간 기업 외에 공공 부문에서도 유사한 해킹 피해가 있었나요?

지난 7월 일본 정부 행정망인 정부 솔루션 서비스가 무단 침입을 받아 공무원 24만6천여 명의 개인정보가 유출되었으며, 오사카공립대 학사 시스템도 장애를 겪었습니다.

보안 업계가 유출 데이터의 2차 피해를 경고한 이유는 무엇인가요?

탈취된 대량의 개인정보가 암시장에서 거래되고 생성형 AI와 결합할 경우, 매우 정교한 표적형 피싱 메일 제작과 기업 전산망 2차 침입에 악용될 위험이 크기 때문입니다.

참고자료

1. 도호홀딩스