KDDI 해킹: 메일 기반 하나가 뚫리자 ISP 6곳 고객 1,223만 명의 메일 주소가 나갔습니다

한눈에 보기

한 회사가 여러 ISP(인터넷 회선과 메일 주소를 함께 파는 회사)에 빌려준 메일 기반 하나가 뚫려, 1,223만 명의 메일 주소가 나갔습니다. 그중 약 762만 명은 메일함 안까지 보이는 상태였습니다(총무성·개인정보보호위원회 발표). 그 메일 기반을 만든 곳은 일본 통신사 KDDI(케이디디아이)인데, 피해 고객 대부분은 KDDI를 고른 적이 없어요. 자기가 쓰는 ISP가 고른 기반이 뚫린 거거든요. 회사 메일을 ISP나 렌털 서버에 맡기고 있다면, 이 일은 우리 회사 일입니다.

언제

• 5/16부터 일부 ISP에서 부정 접근(허락 없이 시스템에 들어온 것)이 시작됐습니다.
• KDDI가 6/17에 확인하고 같은 날 고쳤고, 6/23에 6개 사업자와 함께 공표했습니다.

누가(회사·서비스)

• 시스템을 만든 곳: KDDI.
• 그 위에서 자기 이름으로 메일을 판 6곳: BIGLOBE(빅로브), @nifty(니프티), J:COM(제이콤), 코뮤파 광(コミュファ光, 주부 텔레커뮤니케이션), 피카라(ピカラ, STNet), CPI(KDDI 웹 커뮤니케이션즈의 렌털 서버).
• J:COM이 지역 케이블TV 회사에 도매로 준 메일의 이용자도 피해자에 들어 있습니다.
• KDDI 자체 메일(au메일, UQ mobile메일)은 다른 설비라 영향이 없었습니다.

무엇이 몇 건 나갔나

• 메일 주소 12,231,954名, 비밀번호 7,616,173名입니다(KDDI 7/21 정정값). 비밀번호 인원은 주소 인원 안에 들어 있습니다.
• 6/23 첫 발표의 "최대 1,422万件"은 해지·휴면 계정까지 넣은 최대치였어요. 확정 숫자가 아닙니다.
• 이름·주소·카드번호는 어느 공지에도 유출 항목으로 나오지 않습니다. 다만 메일함 안이 보였던 사람은 그 안에 든 메일과 첨부 파일이 문제입니다.

왜 뚫렸나(공식 발표 기준)

• KDDI 발표: 시스템에 넣은 다른 회사 소프트웨어에 취약점(보안상 약한 곳)이 있었습니다. 그 벤더(소프트웨어 제공사)도 몰랐던 취약점이었습니다.
• 제품 이름, 벤더 이름, 취약점 번호는 공개되지 않았습니다.
• 총무성은 "여러 보안 문제가 겹쳤다"고 봤고, 비밀번호를 평문(바꾸지 않은 원래 글자 그대로)으로 저장한 점을 무겁게 지적했습니다. 비밀번호가 평문이라, 나간 비밀번호로 약 762만 명의 메일함을 열어 볼 수 있는 상태였습니다.

지금 상황

• 각 사업자가 비밀번호 강제 변경이나 무효화를 했습니다. CPI는 8/24에 "대응 완료"를 발표했습니다.
• 총무성은 7/29에 KDDI를 문서로 엄중 주의했고, 개인정보보호위원회는 8/19에 KDDI와 일부 ISP를 지도했습니다.
• 실제로 열린 메일함 수, 부정 로그인 건수, KDDI의 이후 보고 내용은 공개 자료에서 찾지 못했습니다.

우리 회사가 지금 확인할 것

1. 회사 메일이 BIGLOBE, @nifty, J:COM, 코뮤파 광, 피카라, CPI 중 하나인지. 그렇다면 강제 변경·무효화 대상이었는지.
2. 그 메일 비밀번호를 클라우드, 은행, 쇼핑몰 관리 화면 같은 다른 서비스에도 썼는지. 썼다면 그쪽도 바로 바꿉니다.
3. 직원 전원에게 비밀번호 재사용 점검을 알렸는지. 개인정보보호위원회가 회사에 요구한 일입니다.
4. 메일함 안에 고객 정보, 계약서, 비밀번호 재설정 메일이 쌓여 있는지.
5. 우리가 쓰는 메일·서버 업체가 비밀번호를 어떤 방식으로 저장하는지 물어봤는지.
6. 사내 비밀번호 규칙(서비스마다 다른 비밀번호, 2단계 인증이나 패스키, 유출 의심 시 즉시 변경)을 글로 정해 두었는지.

정확히 어떤 일이 있었던 건가요?

날짜순으로 정리하면 이렇습니다.

• 5/16 일부 ISP에서 부정 접근이 시작됐습니다. J:COM도 자사 쪽은 5/16부터라고 밝혔습니다(KDDI 보고¹, J:COM²).
• 5/24 니프티 쪽 부정 접근이 시작됐습니다. 니프티가 나중에 KDDI에게서 받은 보고입니다(니프티³).
• 6/1 니프티가 먼저 "부정 접근 우려가 있다"고 판단해 KDDI에 연락했습니다(같은 공지).
• 6/8 CPI 쪽 영향이 시작됐고, 6/14~6/17에는 피카라를 운영하는 STNet(에스티넷) 정보에 부정 접근이 있었습니다(CPI⁴, STNet⁵).
• 6/17 KDDI가 부정 접근을 확인하고 같은 날 시스템을 고쳤습니다.
• 6/18~6/21 KDDI가 각 사업자에게 차례로 알렸습니다.
• 6/23 KDDI와 6개 사업자가 같은 날 공표했습니다. 이때 숫자가 "최대 1,422万件"입니다(KDDI 6/23⁶).
• 6/24 총무성이 전기통신사업법에 따라 KDDI에 보고를 요구했습니다(총무성⁷).
• 7/6 KDDI가 총무성에 보고서를 내고 확정 숫자를 공표했습니다. 각 사업자도 자기 숫자를 냈습니다.
• 7/21 KDDI가 메일 주소 인원을 12,231,954名으로 정정했습니다.
• 7/29 총무성이 KDDI에 문서로 행정지도(엄중 주의)를 했습니다(총무성 문서⁸).
• 8/19 개인정보보호위원회가 KDDI와 일부 ISP를 지도했습니다(개인정보보호위원회⁹).

총무성은 처음 이상을 알아챈 사업자의 1보부터 공표까지 22일이 걸린 것을 두고 "迅速な対応とは言い難い(신속한 대응이라고 하기 어렵다)"고 적었습니다(총무성 문서⁸).

어떤 정보가, 얼마나 나갔나요?

KDDI의 확정 숫자는 두 개입니다(KDDI 보고¹).

• 메일 주소: 12,231,954名
• 비밀번호: 7,616,173名(주소 인원 안에 포함)

나간 것은 메일 주소와 비밀번호입니다. BIGLOBE는 BIGLOBE ID도 함께 나갔다고 밝혔습니다. 이름·주소·카드번호 같은 정보는 KDDI와 사업자 공지 어디에도 유출 항목으로 나오지 않습니다.

KDDI 자체 메일(au메일, UQ mobile메일, au one net메일)은 다른 설비라서 영향이 없다고 KDDI가 밝혔습니다.

메일함 안이 보였다는 건 무슨 뜻인가요?

개인정보보호위원회는 비밀번호 761만6173명분이 평문으로 저장돼 있었다고 밝혔습니다. 그래서 이것을 가져간 사람은 그 주소로 로그인해서 메일함 안을 볼 수 있는 상태였다는 거예요(개인정보보호위원회⁹).

총무성은 같은 사람들을 "약762万人"으로 적고, 통신의 비밀(남이 주고받은 메일 내용을 지켜야 한다는 법적 의무)이 새어 나간 것으로 인정했습니다(총무성 문서⁸).

메일함 안에는 거래처와 주고받은 메일, 계약서 첨부 파일, 다른 서비스의 비밀번호 재설정 메일이 있을 수 있습니다. 실제로 누가 어느 메일함을 열었는지는 공개되지 않았습니다.

누가 피해를 봤나요?

KDDI 기반 위에서 메일을 판 6개 회사의 고객입니다. 각 회사가 낸 숫자는 아래와 같습니다. 회사마다 단위(人·名·件)가 달라서 그대로 옮겼습니다.

• BIGLOBE(빅로브): 메일 주소·BIGLOBE ID 5,016,432人, 그중 비밀번호 4,631,775人. 대상 계정 중 최근 2개월에 메일을 쓴 사람은 약18%였습니다. 거의 안 쓰던 계정도 피해자라는 뜻이에요(BIGLOBE¹⁰).
• @nifty(니프티): 메일 주소 2,248,708名, 그중 비밀번호 1,862,462名(니프티³).
• J:COM(제이콤): J:COM NET 메일 주소 2,473,191名(비밀번호 유출은 확인되지 않음). 케이블TV 회사에 도매로 준 메일은 메일 주소 118,752名(7/21 정정), 그중 비밀번호 1,257名. J:COM 브랜드가 아닌 지역 케이블TV 회사 고객도 피해자라는 점이 중요합니다(J:COM²).
• 코뮤파 광(주부 텔레커뮤니케이션, ctc): 「コミュファ光」과 법인용 「ビジネスコミュファ」 메일. 메일 주소 727,176名, 그중 비밀번호 724,344名. 거의 전원이 비밀번호까지 나갔습니다(ctc¹¹).
• 피카라(STNet): 고객 397,152名, 메일 주소와 비밀번호 456,159件. 한 사람이 주소를 여러 개 가진 경우가 있어 件이 名보다 많습니다. 법인 고객이 포함돼 있다고 명시했습니다(STNet⁵).
• CPI(KDDI 웹 커뮤니케이션즈): 기업이 홈페이지와 회사 메일을 올리는 렌털 서버입니다. 메일 계정 정보 1,250,543件. 비즈니스 스탠더드와 KWC메일 플랜은 비밀번호를 해시(원래 글자를 알아보지 못하게 바꿔 둔 값)로 보관해서, 비밀번호 자체 유출은 확인되지 않았다고 했습니다(CPI⁴).

법인만 따로 센 숫자를 낸 곳은 없습니다. 그래도 STNet, ctc의 법인용 메일, BIGLOBE의 법인 창구, CPI 렌털 서버를 보면 회사 고객도 분명히 들어 있습니다.

왜 뚫린 건가요?

KDDI의 설명은 이렇습니다. KDDI가 만든 ISP용 메일 기반은 계정 관리, 메일 송수신, 웹메일, 메일 저장을 한 시스템에서 처리했습니다. 그 시스템 일부로 넣은 다른 회사 소프트웨어에 취약점이 있었고, 6/17 시점에 그 벤더(소프트웨어 제공사)도 몰랐던 취약점이었습니다(KDDI 보고¹). 제품 이름과 벤더 이름은 아직 공개되지 않았습니다.

CPI 보고서는 경로를 조금 더 보여 줍니다. 공격자가 서버A에 들어가 그 취약점을 이용했고, 서버B에서 메일함에 묶인 주소 정보를 빼 갔다는 겁니다(CPI 보고서¹²).

정부 쪽 판단은 더 엄합니다.

• 총무성: 취약점 하나가 아니라 "여러 보안 문제점이 겹쳤다", 다층 방어(한 곳이 뚫려도 다음 단계에서 막는 구조)가 제대로 작동하지 않았다고 봤습니다. 비밀번호를 암호화 같은 안전 조치 없이 저장한 것은 "看過できない(그냥 넘길 수 없다)"고 했습니다(총무성 문서⁸).
• 개인정보보호위원회: 많은 비밀번호를 평문으로 저장했는데도, 들어온 공격자가 옆 서버로 번지는 것을 막는 접근 제어가 부족했다고 봤습니다. 평문 저장은 "일부 프로바이더 쪽 사정"에서 비롯됐다고 했고, 어느 회사인지는 밝히지 않았습니다(개인정보보호위원회⁹).

회사와 정부는 어떻게 대응했나요?

KDDI는 6/17에 시스템을 고쳤고, 6/21에 외부 통신을 다루는 모든 서버에 EDR(서버 안의 수상한 움직임을 감시하고 막는 프로그램)을 깔았습니다. 6/23에는 외부 전문 기관의 포렌식(침입 흔적 조사)으로 이 취약점 말고는 수상한 흔적이 없음을 확인했다고 밝혔습니다. 앞으로 설계서와 프로그램 분석에 AI 등을 쓰고, 보안 강도가 높은 통신 규격으로 옮긴다고 밝혔습니다(KDDI 보고¹).

사업자들은 비밀번호를 바꾸게 했습니다.

• 니프티: 6/26 0시까지 안 바꾼 주소의 비밀번호를 차례로 무효화했습니다. 안 바꾼 사람은 메일을 못 쓰게 됐어요(니프티³).
• BIGLOBE: 안 바꾼 사람의 비밀번호를 리셋했고, 법인 고객 전용 창구를 따로 두었습니다(BIGLOBE¹⁰).
• ctc·STNet: 비밀번호를 강제로 바꿨습니다. STNet은 피카라 광 고객에게 새 비밀번호를 우편으로 보냈습니다(ctc¹¹, STNet⁵).
• J:COM: 주소만 나간 고객의 비밀번호는 재설정하지 않고, 고객이 직접 강한 비밀번호로 바꾸라고 했습니다(J:COM²).
• CPI: 7/21에 비즈니스 스탠더드·KWC메일 미변경자를 강제 변경했고, 8/24에 "대응 완료"를 냈습니다(CPI⁴).

강제 변경이 되면 직원들 PC와 스마트폰의 메일 앱에 새 비밀번호를 다시 넣어야 합니다. 회사 업무가 그만큼 멈춘다는 뜻이에요.

총무성은 7/29 문서로 엄중 주의를 하면서 다층 방어 재검토, 초동 대응과 경영진 보고 체계 재점검, 사업자 간 정보 공유 점검을 요구했습니다. 8/31까지 첫 보고, 그 뒤 최소 1년간 분기마다 보고하라고 했습니다(총무성 문서⁸). 공동통신 보도에 따르면 KDDI 마쓰다 히로미치(松田浩路) 사장은 "重く受け止めて、再発防止に全力を尽くす"라고 말했습니다(보도¹³).

개인정보보호위원회는 8/19에 KDDI에 10/19까지 재발 방지 상황을 보고하라고 했습니다(개인정보보호위원회⁹). 8/31, 10/19 보고의 제출 여부와 내용은 공개 자료에서 찾지 못했습니다.

기사마다 숫자가 다른 이유는 뭔가요?

이유는 네 가지입니다.

1. 시점이 다릅니다. 6/23의 "최대 1,422万件"은 해지·휴면 계정과 해시·암호화된 비밀번호까지 넣은 최대치였습니다(KDDI 6/23⁶). 7/6 확정치는 12,233,087名, 7/21 정정치는 12,231,954名입니다. 7/21 이전 기사는 정정 전 숫자를 씁니다.
2. 단위가 다릅니다. BIGLOBE는 人, 니프티·J:COM·ctc는 名, STNet은 名과 件, CPI는 件을 씁니다. 같은 CPI 숫자를 名으로 적은 기사도 있었습니다.
3. 공지를 나눠 읽으면 숫자가 달라집니다. J:COM은 J:COM NET 2,473,191名과 케이블TV용 118,752名을 따로 적습니다. 어떤 기사 제목에는 J:COM 공지에 없는 숫자가 나옵니다.
4. 기관마다 표기가 다릅니다. 총무성 "약762万人", 개인정보보호위원회 "761万6173人", KDDI 비밀번호 유출 7,616,173名은 같은 집단을 가리키는 숫자입니다.

그래서 이 글은 KDDI가 낸 확정 숫자와 각 회사가 자기 공지에 적은 숫자만 씁니다. 사업자별 숫자를 더해서 따로 합계를 만들지 않았습니다.

이 일 때문에 피싱 메일이 오나요?

피싱대책협의회(フィッシング対策協議会)는 6/26에 "국내 ISP 계정을 탈취해 보낸 것으로 보이는" 피싱 메일을 긴급 경고했습니다. VISA 이용 제한, Amazon 계정 제한, 배송 문제를 사칭한 제목이었습니다. 다만 6/29에 KDDI 건과 직접 관련성은 확인되지 않았다고 덧붙였습니다(피싱대책협의회¹⁴).

그래도 개인정보보호위원회는 같거나 비슷한 비밀번호를 다른 서비스에 썼다면 그쪽도 바로 바꾸라고 했습니다. 리스트형 공격(다른 곳에서 얻은 아이디·비밀번호 목록으로 여러 서비스에 로그인을 시도하는 공격)이 걱정되기 때문입니다(개인정보보호위원회⁹). 공동통신 보도 기준으로 7/29 시점에 부정 이용은 확인되지 않았고, 그 뒤 2차 피해 숫자는 공개된 것이 없습니다(보도¹³).

우리 회사와 무슨 상관인가요?

제가 보기에 이 사건의 뿌리는 믿음입니다. 6개 사업자는 상위 회사인 KDDI가 만든 메일 기반을 사업의 일부로 받아 썼습니다. 당연히 문제가 없을 거라 믿고, 별생각 없이 쓰다가 일이 터졌다고 저는 봅니다. 우리 회사가 쓰는 메일과 서버도 같은 믿음 위에 있을 수 있습니다.

저는 이 사건에서 네 가지를 봅니다.

• 메일을 직접 안 만들어도 피해자가 됩니다. 6개 회사 고객은 KDDI를 고른 적이 없습니다. 우리 회사가 고른 업체가, 또 다른 업체의 기반을 쓰고 있을 수 있어요.
• 비밀번호 저장 방식이 피해 크기를 갈랐습니다. 해시로 보관한 CPI 플랜은 비밀번호 자체는 유출되지 않았다고 CPI가 밝혔습니다. 평문이던 약762만 명은 메일함을 열어 볼 수 있는 상태였습니다(실제로 열린 수는 공개되지 않았습니다). 해시냐 평문이냐는 아주 기초적인 이야기입니다. 저는 보안을 덜 따지던 예전 시스템의 평문 저장이 그대로 남아 사고를 키웠을 것이라고 봅니다. 이것은 제 추측입니다. 개인정보보호위원회는 평문 저장이 "일부 프로바이더 쪽 사정"에서 비롯됐다고만 했습니다.
• 안 쓰는 계정도 피해자입니다. 첫 숫자에는 해지·휴면 계정이 들어 있었고, BIGLOBE 대상 계정 중 최근 2개월 이용자는 약18%였습니다. 퇴사자 메일, 옛날 문의용 주소를 그냥 두고 있다면 지금 정리할 때입니다.
• 알리는 속도도 평가받습니다. 총무성은 22일을 두고 「迅速な対応とは言い難い」(신속한 대응이라고 하기 어렵다)고 했습니다. 우리 회사도 사고가 나면 누가, 언제, 누구에게 알릴지 정해 두어야 합니다.

많은 회사와 개인이 비밀번호 하나를 여러 곳에 씁니다. 그래서 비밀번호 하나가 나가면 다른 곳도 위험해집니다. 회사 홈페이지나 쇼핑몰 관리 화면 비밀번호를 회사 메일 비밀번호와 같게 쓰고 있다면, 메일 하나가 나간 순간 다른 문도 함께 열립니다.

그래서 저는 사내 시스템의 비밀번호 규칙을 글로 정해 두라고 권합니다. 서비스마다 다른 비밀번호를 쓰고, 2단계 인증이나 패스키(비밀번호 대신 기기로 로그인하는 방식)를 쓰기를 추천합니다. 유출이 의심되면 바로 바꿉니다.

이번 공격에 AI가 쓰였나요?

이번 사건에 AI가 쓰였다는 공식 발표나 보도는 없습니다. KDDI가 "AI 등을 활용"한다고 쓴 부분은 앞으로 설계서와 프로그램을 분석하는 방어용 계획입니다. 공격 쪽 이야기가 아닙니다.

그러나 흔히 'AI 해킹'이라고 부르는 일, 곧 AI가 약점을 찾고 공격 방법까지 만드는 능력은 이미 확인됐습니다.

• Anthropic은 Claude Mythos Preview 평가에서 이 모델이 주요 OS와 브라우저에서 고위험 취약점을 수천 건 찾았다고 밝혔습니다. 일반에는 공개하지 않았습니다(Anthropic Glasswing¹⁵, Mythos Preview¹⁶).
• 보안 회사 Wiz는 PHP 엔진의 원격 실행 취약점 'PHP2Shell'을 AI로 찾았다고 밝혔습니다(Wiz¹⁷). Amazon은 이 취약점이 공개되기 4일 전에 이미 공격 시도를 관측했다고 밝혔습니다(AWS¹⁸).
• 같은 10월, 일본 기업 약 20곳을 노린 공격 인프라에서 AI 침투 테스트 도구 ARTEX가 확인됐다고 GMO 이에라에(GMOイエラエ)가 발표했습니다(GMO 이에라에¹⁹).

이번 KDDI 건은 벤더도 몰랐던 취약점에서 시작됐습니다. 그런 약점을 찾는 일이 AI로 빨라지고 있습니다. 오래 믿고 써 온 시스템도 이제는 하나하나 돋보기로 들여다보이는 상황이 됐습니다.

그래서 저는, 악의를 가진 쪽이 이런 AI를 쓴다고 가정하고 대비해야 한다고 봅니다. 이번 사건에 AI가 쓰였다는 말이 아닙니다. "지금까지 안전했다"는 전제 자체를 버릴 때라는 뜻입니다.

실제로 일어난 일 (공식 발표 기준)

• 5/16 일부 ISP에서 부정 접근 시작(KDDI). J:COM 쪽도 5/16부터. — KDDI¹, J:COM²
• 5/24 니프티 쪽 부정 접근 시작(KDDI가 니프티에 보고). — 니프티³
• 6/1 니프티가 부정 접근 우려를 판단해 KDDI에 연락. — 니프티³
• 6/8 CPI 쪽 영향 시작. — CPI⁴
• 6/14~6/17 STNet(피카라) 정보에 부정 접근. — STNet⁵
• 6/17 KDDI가 부정 접근을 확인하고 같은 날 시스템을 고침. 벤더도 몰랐던 취약점. — KDDI¹
• 6/18 J:COM이 KDDI 1보를 받음(6/21 정식 보고). — J:COM²
• 6/20 STNet이 KDDI 보고를 받음. — STNet⁵
• 6/21 BIGLOBE·ctc·CPI가 KDDI 보고를 받음. 같은 날 KDDI가 외부 통신을 다루는 전 서버에 EDR 도입. — BIGLOBE¹⁰, ctc¹¹, CPI 보고서¹², KDDI¹
• 6/23 KDDI와 6개 사업자가 공표. "최대 1,422万件"(해지·휴면, 해시·암호화 비밀번호 포함 최대치). — KDDI⁶, BIGLOBE²⁰, 니프티²¹, J:COM²²
• 6/26 니프티가 6/26 0시까지 바꾸지 않은 주소의 비밀번호를 차례로 무효화 시작. — 니프티³
• 7/1 CPI가 비밀번호 변경 요청과 강제 변경 예고. — CPI 보고서¹²
• 7/6 KDDI가 총무성에 보고서 제출, 확정 숫자 공표. 각 사업자도 숫자 공표. BIGLOBE·ctc는 같은 날 개인정보보호위원회·총무성에 보고. — KDDI¹, BIGLOBE¹⁰, ctc¹¹
• 7/10 CPI가 고객사 앞 보고서 공개. — CPI 보고서¹²
• 7/21 KDDI가 메일 주소 인원을 12,231,954名으로 정정. J:COM이 케이블TV용 숫자를 118,752名으로 정정. CPI가 비즈니스 스탠더드·KWC메일 미변경자 비밀번호를 강제 변경. — KDDI¹, J:COM², CPI⁴
• 8/24 CPI가 조사 결과와 "대응 완료" 공표. — CPI⁴

피해를 공표한 회사와 나간 정보

KDDI 숫자는 KDDI가 낸 전체 숫자이고, 사업자별 숫자는 각 회사 공지 그대로입니다. 따로 합계를 계산하지 않았습니다.

영향 없음 발표: KDDI 자체 메일(au메일, UQ mobile메일, au one net메일)은 다른 설비라 영향이 없다고 KDDI가 밝혔습니다. — KDDI¹

기준일: 2026-11-04. 각 회사 공지는 이후 바뀔 수 있습니다.