야키니쿠킹(焼肉きんぐ) 앱 개인정보 유출, 회원 거의 전원분의 이름·전화번호가 나갔습니다

한눈에 보기

2026년 10월, 일본 고깃집 체인 야키니쿠킹의 공식 앱 회원관리 시스템에 외부인이 몰래 들어왔습니다. 등록된 10,808,784件(건) 가운데 10,788,963件이 빠져나갔습니다. 회원 거의 전원분이에요. 나간 것은 이름·메일 주소·전화번호·회원번호입니다. 이름과 전화번호는 매장 예약과 연결하려고 갖고 있던 정보였는데, 회사는 사건이 난 뒤에야 2027년 상반기부터 이 정보를 보관하지 않는 방식으로 바꾸겠다고 했습니다. "필요해서 갖고 있던 정보"가 그대로 사고의 크기가 된 사례라서, 고객 명단을 가진 사업자라면 자기 일로 보셔야 합니다.

언제

• 2026년 10월 2일(금) 오전 9시부터 공격이 끊겼다 이어졌다 하며 들어왔습니다.
• 같은 날 회사가 부정 접속(허락 없이 시스템에 들어온 것)을 알아채고 통신을 끊었습니다.
• 10월 3일(토) 정보가 빠져나간 것을 확인했고, 10월 5일(월) 사과 공지를 냈습니다.

누가

• 운영사: 모노가타리 코퍼레이션(株式会社物語コーポレーション). 야키니쿠킹 외에도 여러 외식 브랜드를 운영하는 회사입니다.
• 공격받은 곳: 『焼肉きんぐ』 공식 앱의 회원관리 시스템.

무엇이 몇 건 나갔나

• 나간 것: 회원번호, 성명(앱에 등록한 이름), 메일 주소, 전화번호. 10,788,963件.
• 회사가 "나가지 않았다"고 밝힌 것: 로그인 비밀번호, 생년월일, 성별, 우편번호, 보유 포인트를 포함한 매장 이용 이력.
• 신용카드 같은 결제 정보는 회사가 처음부터 갖고 있지 않았습니다.
• 단위는 '명'이 아니라 '건(件)'입니다. 회사가 그렇게 발표했어요.

왜 뚫렸나

• 회사는 원인과 침입 경로를 발표하지 않았습니다. 10월 20일 두 번째 공지에도 없습니다.
• 그래서 이 글에서도 원인은 "모른다"로 둡니다.

지금 상황

• 앱은 멈추지 않고, 방어 조치를 한 뒤 계속 운영 중입니다.
• 경찰에는 신고를 마쳤고, 개인정보보호위원회(일본의 개인정보 감독 기관) 보고는 10월 20일 기준 "진행 중"입니다.
• 회사는 그룹이 운영하는 공식 앱 11개 모두에서, 2027년 상반기부터 이름과 전화번호를 보관하지 않겠다고 했습니다.
• 10월 5일 기준으로 회사는 "정보가 공개되거나 부정하게 쓰인 사실은 확인되지 않았다"고 했습니다. 동시에 회사를 사칭한 메일·SMS·전화를 조심하라고 알렸습니다.

앱을 쓴 적이 있다면

• 이름·메일·전화번호가 한 묶음으로 나가, 회사를 사칭한 메일·SMS·전화에 쓰일 수 있습니다.
• 회사는 비밀번호나 카드 정보를 묻는 일이 없다고 밝혔습니다. 그런 요구에는 응하지 마세요.

우리 회사가 지금 확인할 것

1. 고객 정보 항목마다 "이걸 왜 갖고 있나"를 한 줄씩 적어 보세요. 이유를 못 쓰는 항목은 지금 지웁니다.
2. 예약·포인트·쿠폰처럼 다른 시스템과 연결하려고 받는 정보가 무엇인지, 그 연결에 정말 그 정보가 필요한지 확인하세요.
3. 앱이나 회원 시스템을 외주로 만들었다면, 누가 그 시스템을 지켜보고 있는지(감시·기록) 외주사에 물어보세요.
4. "우리는 비밀번호·카드 번호를 메일이나 전화로 묻지 않습니다"라는 문장을 지금 고객에게 알려 두세요. 사고 뒤에 쓰면 늦습니다.
5. 사고가 나면 누가, 언제까지, 무엇을 알릴지 정해 두세요. 이번 회사는 부정 접속을 알아챈 10월 2일부터 발표한 10월 5일까지 3일이 걸렸습니다.

정확히 어떤 일이 있었던 건가요?

날짜순으로 보면 이렇습니다.

• 2019년 4월 1일: 야키니쿠킹 공식 앱이 전국 216개 매장에서 시작됐습니다. 포인트, 쿠폰, 순번 예약 기능이 있는 앱이에요. (회사 보도자료, @Press¹)
• 2026년 10월 2일(금) 오전 9시: 외부 제3자의 공격이 시작됐습니다. 회사는 "단속적", 즉 끊겼다 이어졌다 하는 공격이었다고 썼습니다. (회사 2차 공지²)
• 같은 날: 회사가 회원관리 시스템에 대한 부정 접속을 확인하고, 통신을 끊고 방어 조치를 했습니다. (회사 1차 공지³)
• 10월 3일(토): 회원 정보가 빠져나간 것을 확인했습니다. 어떻게 확인했는지는 밝히지 않았습니다. (회사 1차 공지³)
• 10월 5일(월): 회사가 사과 공지를 냈고, 같은 날 일본 언론이 보도했습니다. (닛케이 보도⁴, INTERNET Watch 보도⁵)
• 10월 20일: 회사가 보안·개인정보 보호 강화책을 담은 두 번째 공지를 냈습니다. (회사 2차 공지², 그룹 사이트 공지⁶)
• 11월 4일 현재: 회사 뉴스 목록 첫 페이지에서 10월 20일 이후 사건 관련 새 공지를 찾지 못했습니다. (회사 뉴스 목록⁷)

어떤 정보가, 얼마나 나갔나요?

회사가 발표한 숫자는 두 개뿐입니다. 앱 등록 10,808,784件, 그중 유출 10,788,963件. (회사 1차 공지³)

나간 항목은 네 가지예요. 회원번호, 성명(앱 등록명), 메일 주소, 전화번호.

회사는 나가지 않은 항목도 따로 적었습니다. 로그인 비밀번호, 생년월일, 성별, 우편번호, 보유 포인트를 포함한 매장 이용 이력입니다. 결제 정보는 처음부터 갖고 있지 않았다고 했고요.

여기서 '성명'은 앱에 등록한 이름이에요. 본명이 아닌 사람도 있을 수 있다는 뜻인데, 그 비율은 회사가 밝히지 않았습니다.

누가 피해를 봤나요? 다른 브랜드 앱은요?

피해를 본 사람

• 야키니쿠킹 앱에 회원 등록한 고객입니다. 10,788,963件.
• 등록 건수와 유출 건수 사이에 차이가 있지만, 그 차이가 어떤 계정인지 회사는 설명하지 않았습니다.
• 앱 없이 매장만 이용한 손님, 종업원, 가맹점 정보에 대해서는 공지에 언급이 없습니다. (회사 1차 공지³, 회사 2차 공지²)

다른 브랜드 앱

• 유출이 확인된 앱은 야키니쿠킹 하나입니다.
• 회사는 "다른 브랜드 공식 앱에도 같은 조치를 했고, 유출 사실은 없다"고 했습니다. 앱 이름을 하나하나 적지는 않았어요. (회사 1차 공지³)
• 닛케이 보도에 따르면, 같은 그룹의 마루겐 라멘(丸源ラーメン)과 샤부샤부 체인 유즈안(ゆず庵) 앱은 공격을 받지 않았습니다. (닛케이 보도⁴)
• 10월 20일 공지는 그룹이 운영하는 공식 앱이 모두 11개라고 했습니다. 그런데 이름은 야키니쿠킹만 적었습니다. (회사 2차 공지²)

그래도 나머지 앱도 이번 일과 무관하지 않습니다. 11개 앱 모두 이름과 전화번호를 보관하지 않는 새 시스템으로 바뀌기 때문이에요.

왜 뚫린 건가요?

모릅니다. 회사가 원인과 침입 경로를 발표하지 않았습니다. 10월 20일 공지에도 원인은 없습니다. (회사 2차 공지²)

회사는 "개발회사·관계회사의 협력을 받아 보안과 감시를 강화한다"고만 썼고, 개발회사 이름도 밝히지 않았습니다. (회사 1차 공지³)

인터넷에는 원인을 짐작하는 글도 돌지만, 회사가 확인한 내용이 아니라서 여기서는 옮기지 않습니다.

이름과 전화번호는 왜 갖고 있었던 건가요?

이번 사건에서 제가 가장 중요하게 보는 부분입니다.

회사 설명에 따르면, 앱은 매장 예약 시스템과 연결하기 위해 회원의 성명과 전화번호를 받아 왔습니다. (그룹 사이트 공지⁶) 닛케이도 이 시스템이 매장 예약, 회원 관리, 방문 이력에 따른 쿠폰을 다룬다고 보도했어요. (닛케이 보도⁴)

사건 뒤 회사는 이렇게 정했습니다. (회사 2차 공지²)

• 2027년 상반기, 11개 앱 모두 성명과 전화번호를 보관하지 않는 새 시스템으로 바꾼다.
• 메일 주소는 예약 때문에 당분간 계속 받는다. 장래에는 메일도 보관하지 않을 계획이다.

반대로 보면, 처음부터 갖고 있지 않았던 결제 정보는 이번에 나갈 수가 없었습니다. 갖고 있지 않은 정보는 잃을 수도 없거든요.

회사는 어떻게 대응했나요?

두 공지에 나온 대응을 모으면 이렇습니다. (회사 1차 공지³, 회사 2차 공지²)

• 10월 2일 통신을 끊고 방어 조치. 앱 서비스는 계속.
• 개발회사·관계회사와 함께 보안과 감시 강화.
• 경찰에 신고 완료. 개인정보보호위원회에는 10월 20일 기준 보고 절차 진행 중.
• 관계 정부 부처에 보고하고 재발 방지 조언을 받는 중.
• AI를 활용한 탐지 시스템 도입을 '검토' 중. 이것은 막는 쪽 이야기입니다.
• 그룹 11개 앱에서 성명·전화번호 보관 중단(2027년 상반기 예정).
• 전용 콜센터 0120-795-775, 10시~18시, 토·일·공휴일 포함.

보상이나 사과 쿠폰, 포인트 지급에 대한 언급은 두 공지 모두 없습니다.

사칭 메일이나 전화가 오면 어떻게 하나요?

이름, 메일 주소, 전화번호가 함께 나가면, 그 회사를 사칭한 연락이 가능해집니다. 피싱(진짜 회사인 척 속여 정보를 빼내는 사기)의 재료가 되는 거예요.

회사도 위장 메일과 피싱 사기에 쓰일 수 있다고 경고했습니다. 의심스러운 메일, SMS, 전화에 주의하라고 했고, 회사가 비밀번호나 카드 정보를 묻는 일은 없다고 밝혔습니다. (회사 1차 공지³)

10월 20일 공지는 2차 피해에 대비해 관계 기관과 연계한다고만 썼습니다. 실제 2차 피해가 몇 건인지는 발표되지 않았습니다. 공격자가 누구인지, 돈을 요구했는지, 데이터가 어딘가에 올라왔는지도 어느 출처에도 나오지 않았습니다.

기사마다 숫자가 다른 이유는 뭔가요?

원래 숫자는 하나입니다. 유출 10,788,963件. 나머지는 매체가 줄이거나 바꿔 쓴 표현이에요.

• '약 1,078만 건', '약 1,079만 건', '1,000만 건 초과'는 반올림·버림 차이입니다.
• 비율도 매체마다 다릅니다. 닛케이는 '9할 이상', 한국 YTN은 '99%'라고 썼습니다. 회사는 비율을 발표하지 않았습니다.
• 일부 기사 제목은 '1,078만 명분'처럼 '명'을 썼습니다. (ASCII.jp 보도⁸) 회사 발표 단위는 '건(件)'입니다.
• YTN 보도 속 인터뷰에서 "주소, 이름, 전화번호가 함께 유출됐다"는 말이 나왔습니다. (YTN 보도⁹) 그러나 회사 발표에서 주소는 유출 항목이 아니고, 우편번호도 나가지 않았다고 했습니다.

우리 회사와 무슨 상관인가요?

세 가지로 정리해 보겠습니다.

첫째, 적게 가진 회사가 적게 잃습니다. 저는 이번 사건에서 이게 가장 중요하다고 봅니다. 필요하지 않은 고객 정보는 처음부터 모으지 않는 것입니다. '예약 연동 때문에' 갖고 있던 이름과 전화번호는 거의 전원분이 나갔어요. 회사는 사건 뒤에야 2027년 상반기부터 그것을 보관하지 않겠다고 했습니다. 우리 회사도 항목마다 "왜 갖고 있나"를 적어 보고, 이유가 없으면 사고 전에 지우는 게 맞습니다.

특히 비밀번호와 카드 번호는 갖지 않은 채로 사업을 하는 게 좋다고 생각합니다. 그래야 어딘가 뚫려도 큰 사고까지 가지 않습니다. 이번 회사는 결제 정보를 처음부터 갖고 있지 않아서 나갈 일이 없었습니다. 비밀번호·생년월일은 갖고 있었지만, 회사 발표로는 나가지 않았습니다.

제가 말하는 '비밀번호를 갖지 않는다'는 이런 뜻입니다.

• 비밀번호를 아예 받지 않습니다. LINE 로그인처럼 바깥 서비스의 로그인을 쓰면 됩니다.
• 비밀번호를 주고받을 때는 반드시 보안 통신(암호화된 통신)으로 하게 합니다.
• 받더라도 원래 글자로 되돌릴 수 없는 형태로 바꿔서 보관합니다.

둘째, 앱 하나가 회사 전체 일정을 바꿉니다. 유출은 앱 하나였지만, 그룹 11개 앱 전체의 시스템을 바꾸게 됐습니다. 사업에도 바로 반응이 왔습니다. 닛케이 보도에 따르면 다음 날인 10월 6일 오전 10시 50분, 회사 주가는 전날보다 320엔(5.76%) 내린 5,230엔이었습니다. 장중 숫자이고 종가가 아닙니다. (닛케이 보도¹⁰) 손님 수 영향은 사건 후 첫 달인 10월 월차 숫자가 나와야 말할 수 있습니다. 11월 4일 현재 회사가 낸 월차는 사건 전인 9월분까지입니다. (회사 9월 월차¹¹)

셋째, 고객 명단은 사기 재료입니다. 이름·메일·전화번호만 있어도 우리 회사를 사칭한 연락이 가능합니다. "우리는 비밀번호·카드 번호를 묻지 않는다"는 안내는 사고 전에 해 두셔야 효과가 있습니다. 그리고 이번 회사처럼 토·일·공휴일에도 받는 문의 창구를 바로 열 수 있는지, 미리 정해 두세요.

이번 공격에 AI가 쓰였나요?

이번 사건에 AI가 쓰였다는 공식 발표나 보도는 없습니다. 회사가 말한 AI는 앞으로 도입을 '검토'하는 탐지 시스템, 즉 막는 쪽 이야기예요.

다만 흔히 'AI 해킹'이라고 부르는 일, 즉 AI로 약점을 찾고 공격 방법까지 만드는 능력은 이미 확인됐습니다.

• Anthropic은 자사 모델 Claude Mythos Preview를 평가한 결과, 주요 운영체제와 브라우저에서 고위험 취약점을 수천 건 찾았다고 밝혔습니다. 이 모델은 일반에 공개하지 않았습니다. (Anthropic Glasswing¹², Mythos Preview 평가¹³)
• 보안 회사 Wiz는 PHP 엔진의 원격 실행 취약점(밖에서 서버에 명령을 실행시킬 수 있는 약점) 'PHP2Shell'을 AI로 찾았다고 밝혔습니다. (Wiz 블로그¹⁴)
• Amazon은 이 취약점이 공개되기 4일 전에 이미 공격 시도를 관측했다고 밝혔습니다. (AWS 보안 블로그¹⁵)
• 같은 10월, 일본 기업 약 20곳을 노린 공격 인프라에서 AI 침투 테스트 도구 ARTEX가 확인됐다고 GMO 이에라에(GMOイエラエ)가 발표했습니다. (GMO 이에라에 발표¹⁶)

그래서 저는, 악의를 가진 쪽이 이런 AI를 쓴다고 가정하고 대비해야 한다고 봅니다. 사람이 손으로 찾던 약점을 기계가 더 빨리, 더 많이 찾는 시대라면, 지킬 정보 자체를 줄여 두는 게 가장 확실한 준비라고 생각합니다.

이번 사건의 원인은 공개되지 않았습니다. 그래도 위의 다른 사례들처럼, 공격자는 AI라는 같은 무기로 밖에서 보이는 틈을 찾습니다. 그래서 저는 우리도 밖에서 먼저 점검해 봐야 한다고 봅니다.

실제로 일어난 일 (공식 발표 기준)

• 2026-10-02(금) 09시: 앱 회원관리 시스템에 외부 제3자의 단속적인 부정 접속이 시작됨. ²⁶
• 2026-10-02: 회사가 부정 접속을 확인하고 통신 차단·방어 조치. ³
• 2026-10-03(토): 회원 정보 유출을 확인. ³
• 2026-10-05(월): 사과 공지. 등록 10,808,784件 중 10,788,963件 유출, 항목은 회원번호·성명(앱 등록명)·메일 주소·전화번호. 전용 콜센터 개설. ³
• 2026-10-20: 2차 공지. 경찰 신고 완료, 개인정보보호위원회 보고 절차 진행 중, AI 활용 탐지 시스템 도입 검토, 그룹 11개 앱에서 2027년 상반기부터 성명·전화번호 미보관. ²⁶
• 2026-11-04 현재: 회사 뉴스 목록 첫 페이지에서 10/20 이후 사건 관련 새 공지를 찾지 못함. 원인·침입 경로 미발표. ⁷

피해를 공표한 회사와 나간 정보

• 유출되지 않았다고 발표한 항목: 로그인 비밀번호, 생년월일, 성별, 우편번호, 보유 포인트를 포함한 매장 이용 이력. 결제 정보는 보유하지 않음. ³
• 영향 없음 발표: 같은 그룹의 다른 브랜드 공식 앱은 같은 조치를 했고 유출 사실은 없다고 발표(회사는 앱 이름을 밝히지 않음). ³

기준일: 2026-11-04. 각 회사 공지는 이후 바뀔 수 있습니다.