마루이 고객 최대 9086명 정보 유출…디지털 증권 위탁사 침해

마루이그룹(Marui Group) 고객 최대 9086명의 개인정보 일부와 NTT데이터(NTT DATA)가 제공한 디지털 증권 서비스 관련 회사채 구매자 정보가 시큐리타이즈 재팬(Securitize Japan)의 플랫폼 침해로 유출됐다.

침해는 10월 29일 시큐리타이즈 재팬의 서비스형 소프트웨어(SaaS)에서 발생했다. NTT데이터는 인증 기능의 취약점이 악용돼 관리자 권한이 부정 취득됐고, 시스템 안의 정보가 반출됐다고 밝혔다.

NTT데이터는 10월 31일 위탁 서비스에서 개인정보가 유출됐을 가능성을 알렸다. 11월 2일에는 정보 반출 사실을 확인했다고 공지했으며, 침해 원인과 전체 영향 범위는 조사 중이다.

마루이그룹은 11월 2일 디지털 회사채 신청 계정을 만든 고객 최대 9086명의 개인정보 일부가 유출됐다고 공지했다. 대상 정보는 성명·주소·전화번호·이메일·생년월일·성별·은행 계좌번호·투자 수량이다.

은행 계좌번호까지 유출됐을 가능성이 있는 고객은 54명이다. 마루이그룹은 신용카드 정보를 위탁하지 않았고 자사 시스템에서 정보가 유출된 정황도 발견되지 않았다고 설명했다.

마루이그룹은 고객에게 명의 도용과 의심스러운 이메일·문자메시지에 주의하라고 안내했다. 2차 피해는 공지 당시 확인되지 않았다.

NTT데이터가 확인한 대상에는 발행사 두 곳의 회사채 구매자 111명이 포함됐다. 이들의 정보에는 성명·주소·전화번호·이메일·성별·생년월일이 포함됐다.

별도 발행사 한 곳의 구매자 2678명 정보도 반출됐다. 해당 정보는 가나로 표기한 이름·회사채 구매 수량·이메일이며, 두 집계는 대상 범위가 달라 전체 피해 인원으로 합산할 수 없다.

발행사와 금융기관의 시스템 이용 담당자 정보도 반출됐지만 대상 인원은 조사 중이다. NTT데이터는 유출 정보의 부정 사용은 공지 당시 확인되지 않았다고 밝혔다.

소니은행(Sony Bank)은 시큐리타이즈 재팬 침해로 고객 621명의 정보가 유출됐다고 10월 30일 처음 공지했고, 11월 4일 내용을 갱신했다. 이는 마루이그룹과 NTT데이터가 발표한 정보 유출과 같은 외부 플랫폼 침해에 따른 피해다.

소니은행 고객 중 617명은 성명만, 4명은 성명·주소·생년월일·계좌번호가 유출됐다. 은행은 디지털 증권 거래를 중단했으며, 다른 서비스에 영향이 있거나 부정 거래·정보의 인터넷 공개와 확산이 발생했다고 밝히지는 않았다.

시큐리타이즈 재팬은 미국 시큐리타이즈(Securitize, Inc.)의 완전자회사로 디지털 증권 발행·관리 플랫폼을 제공한다. 디지털 증권은 블록체인 등 디지털 기술로 발행·관리하는 유가증권이다.

이번 공지에서 확인된 피해는 플랫폼에 보관된 투자자와 구매자의 개인정보 반출이다. 가상자산 거래소나 지갑에서 코인이 탈취됐다는 내용은 발표되지 않았다.

시큐리타이즈 재팬은 관련 서비스를 중단하고 무단 접근 경로를 차단했으며, 탈취된 관리자 권한을 무효화했다. NTT데이터도 디지털 증권 서비스 STdirectServices를 멈추고 필요한 안전 대책을 확인한 뒤 재개 여부를 판단할 방침이라고 밝혔다.

국내 금융권 침해사고는 일본 사건과 별도로 집계됐다. 금융위원회는 10월 14일 신한은행 사고 전후 금융회사 16곳에서 침해사고가 확인됐고 정보 유출 규모는 약 10만 건이라고 밝혔다. 목록에는 가상자산사업자 스트리미와 프라뱅이 포함됐으며, 일본 사건과 국내 사고가 연결됐다는 발표는 나오지 않았다.