2026년 10월 9일 JR동일본은 에키넷 등 두 회원 서비스에서 최대 약 206만 건의 정보가 유출됐을 가능성을 발표했다.
“기차표 한 장 예약하려고 사진 퍼즐을 몇 번씩 푸는데 공격자는 들어간다고?”라는 반응이 나올 만하다. 다만 공격자가 예약 사이트의 퍼즐을 풀거나 우회했다는 공식 발표는 없다. 애초에 서로 다른 문에 대한 이야기다.
1. 실제로 어떤 일이 있었나?
JR동일본이 회원에게 이메일을 보내기 위해 이용한 외부 서비스가 영향을 받았다. 일부 이메일 주소가 담긴 발송 기록 등을 제삼자가 보거나 취득했을 가능성이 있다는 설명이다.
IDC프론티어가 제공하는 IDCF 클라우드가 무단 접근을 당한 것이 배경이다. 회사는 10월 7일 오전 3시 40분경부터 장애가 발생했고, 시스템을 잠가 돈을 요구하는 유형의 공격을 확인했다고 발표했다. 기업과 지자체 등 495개 고객 조직이 영향을 받았다고 한다.
유출 ‘가능성’은 모든 정보의 탈취가 확정됐다는 뜻이 아니다. 구체적인 침입 경로도 당시 조사 중이었다.
2. 고객과 공격자가 향한 문은 다르다
일반 이용자는 예약 사이트에 접속해 자동 이용 방지 확인을 거치고 로그인한 뒤 자기 표를 예약한다. 반면 이번에 문제가 된 것은 외부 회사의 이메일 발송 관련 자료다. 공격자가 예약 화면으로 정상 로그인해 회원 명단을 가져갔다고 발표된 사건이 아니다.
역 개찰구를 아무리 단단히 지켜도 옆 건물의 우편 창고에는 다른 자물쇠가 필요하다.
이용자 “개찰구가 안 열려요!”
사건 “저는 옆 건물에서 발생했습니다.”
이용자 “네?”
농담처럼 들리지만 원인을 이해하는 핵심 구분이다.
3. 사진 퍼즐은 무엇을 증명하나?
“로봇이 아닙니다.” “신호등을 모두 고르세요.”
이런 퍼즐의 목적은 주로 기계의 대량 접속과 악용을 막는 데 있다. 도덕성 검사도 아니고 남의 정보를 읽을 권한을 주는 것도 아니다.
악의적인 사람도 인간이다. 퍼즐을 맞혔다고 다른 사람의 예약이나 회원 명부를 볼 수 있는 건 아니다. 비밀번호, 추가 본인 확인, 정보 열람 제한은 각각 별도로 필요하다.
가상의 대화:
고객 “저 사람 맞아요!”
퍼즐 “확인했습니다.”
고객 “그럼 예약은요?”
퍼즐 “다음 담당에게 문의하세요.”
사람인지는 확인했다. 착한 사람인지는 안 물어봤다.
4. 왜 진짜 이용자도 계속 막히나?
반복되는 퍼즐, 느린 화면, 결제 때마다 다시 확인하는 절차에 대한 불만이 이번 뉴스와 만나 터졌다.
일반적으로 자동 이용을 감지하는 시스템은 정상 사용자를 의심할 수 있다. 공용 네트워크나 연결 오류가 불편을 늘리기도 한다. 그러나 이것이 에키넷의 특정 오류 원인이라고 확인된 것은 아니다.
그래도 “나는 이렇게 힘들게 인증하는데 바깥에 맡긴 정보는 어떻게 보호하느냐”는 질문은 충분히 타당하다.
5. 퍼즐 하나로 206만 건을 얻는다면?
다음은 완전히 허구다.
공격자 “회원 정보 전부 주세요.”
퍼즐 “횡단보도를 모두 선택하세요.”
공격자 “완료.”
퍼즐 “축하합니다! 206만 건 지급!”
그건 보안이 아니라 개인정보를 경품으로 내건 탈출 게임이다. 실제 사건이 그랬다는 증거는 없다. 웃긴 상상을 사실로 바꾸면 안 된다.
6. 어떤 정보가 문제인가?
10월 9일 JR동일본 발표의 최대 대상은 다음과 같다.
- 에키넷 약 167만 건: 이메일 주소. 기업용 Business Ekinet 회원은 제외.
- 오토나노큐지쓰 클럽 약 39만 건: 이메일 주소, 회원번호, 생년월일, 신용카드 유효기간.
총 약 206만 ‘건’이지 반드시 206만 명의 서로 다른 사람이 영향을 받았다는 의미가 아니다.
이름, 주소, 전화번호, 신용카드 번호 자체는 이번에 유출 가능성이 있다고 발표된 항목이 아니다. 카드 만료일과 카드 번호는 다르다.
7. 이용자는 무엇을 조심해야 하나?
이메일 주소만 있어도 이용 중인 서비스명을 알면 진짜 같은 사기 메일을 만들기 쉬워진다. JR동일본은 해당 가능성이 있는 회원에게 개별 이메일로 알리겠다고 했다. 가짜 안내를 특히 조심해야 한다.
긴급 결제, 계정 정지, 카드 갱신을 주장하는 메일이 와도 링크를 곧장 누르지 말고 직접 공식 사이트나 앱을 열어 확인하자. 수상한 페이지에 비밀번호를 입력했다면 공식 경로에서 바꾸고 같은 비밀번호를 사용한 다른 서비스도 확인하자.
이번 발표에 비밀번호 유출은 포함되지 않았다. 모두가 즉시 비밀번호를 바꿔야 한다고 단정할 근거는 없다. 최신 조사 결과는 공식 발표를 보자.
8. 회사는 정문만 지키면 안 된다
퍼즐이 쓸모없다는 뜻은 아니다. 자동화된 악용을 줄일 수 있다. 하지만 고객에게 불편을 더한다고 외부 공급업체가 저장한 정보까지 지켜지는 것은 아니다.
불필요한 정보 전달을 줄이고, 접근 가능한 사람을 제한하고, 이상한 움직임을 빨리 발견하며, 장애 복구를 준비해야 한다. 정상 고객의 불편도 줄여야 한다. 이번 사건의 정확한 취약 지점은 아직 확정되지 않았다.
평범한 이용자에게는 난공불락 개찰구, 사고 소식은 다른 건물에서 들려온다.
퍼즐 “인간인 것은 확인했습니다.”
고객 “그럼 내 개인정보는 안전하죠?”
퍼즐 “그건 제 담당이 아닙니다.”
그 담당은 꼭 있어야 한다.
