일본 기업 660만 건 개인정보 털려…日정부 "AI 포화공격 대비하라"

1. 개요

2026년 10월 초 일본에서 오사카 공립대(大阪公立大)가 학생증 얼굴 사진 등을 포함한 13만 명 이상의 정보가 유출됐다고 알려지며 개인정보 유출 사건이 불거졌다.

이 사건은 단독 사고라기보다 일본 전역에서 기업·공공기관의 정보 유출이 한꺼번에 터져 나오던 시기에 함께 보도됐다. 이 문서에서 확인되는 오사카 공립대 관련 내용은 아래 보도 한 건이 거의 전부다.

2. 오사카 공립대 유출 보도

에펨코리아 게시물에 첨부된 일본 뉴스 사이트 캡처에 따르면, 2026년 10월 6일 오전 11시 11분자 사회면 기사 제목은 "잇따르는 개인정보 유출, 다이와증권은 고객 11만 명분의 계좌번호를 포함한 22만 건…오사카 공립대는 학생증 얼굴 사진 등 13만 명 이상"이었다. 제목에서 오사카 공립대는 다이와증권과 나란히 묶였다. 이로 볼 때 이 대학의 유출은 독립된 사건으로 따로 다뤄졌다기보다 당시 이어지던 유출 사고 목록의 한 항목으로 소개된 것으로 보인다.

이 보도에서 눈에 띄는 것은 유출 항목이 학생증의 얼굴 사진이라는 점이다. 다만 확인된 것은 제목에 적힌 "학생증 얼굴 사진 등"과 "13만 명 이상"이라는 규모뿐이다. 유출 시점, 침입 경로, 유출 대상이 재학생인지 졸업생·지원자까지 포함하는지는 이 문서가 근거로 삼은 보도에서 확인되지 않는다.

3. 잇따른 유출 사고

같은 시기 일본에서는 대형 유출이 연달아 공개됐다. 에펨코리아 게시물과 파이낸셜뉴스 보도를 종합하면 알려진 사례는 다음과 같다.

• 타임즈카: 차량공유 업체로, 약 660만 건이 유출됐다.
• 다이와증권: 위탁 업체 서버가 해킹당해 최대 22만 건의 고객 정보가 유출됐을 가능성이 있다고 발표했다.
• 시티즌: 외부 위탁 업체 서버에 부정 접속이 있어 약 10만 명분의 정보가 유출됐을 수 있다고 밝혔다.
• 미스터맥스: 온라인 스토어 서버가 부정 접속을 받아 최대 173만 명분이 유출됐다.
• 야키니쿠킹: 앱이 해킹돼 이메일 주소와 전화번호 등 약 1079만 건이 유출된 것으로 알려졌다. 에펨코리아 게시물은 이를 "1000만 건"으로 적었다.
• GMO리서치&AI: 설문조사 사이트에서 약 95만 건이 유출됐다. 여기에 더해 286만 엔 상당의 포인트가 부정하게 교환되는 금전 피해도 났다.
• 니혼게이자이신문: 지난 4일 직원 계정이 공격받아 직원을 사칭한 이메일 약 9000건이 취재원 등에게 발송됐다.

뒤이어 10월 9일에는 항공권 예약 사이트 스카이티켓을 운영하는 어드벤처가 홈페이지에서 약 1464만 건의 유출을 발표했다. 시나노마이니치신문에 따르면 2~4일 사이 서버가 부정 접속을 받았고 5일에 발각됐다. 유출 항목은 이름·이메일·주소 등이며, 신용카드 번호와 여권 이미지는 저장하지 않아 유출되지 않았다고 설명했다.

학생증 이미지는 다른 사건에서도 문제가 됐다. 매일신문에 따르면 타임즈카에서 유출된 정보에는 운전면허증·학생증 이미지 등 본인 확인에 쓰인 서류 160만 건이 포함됐다. 에펨코리아 게시물은 불과 세 달 전 KDDI에서 1422만 건이 털려 일본이 한 차례 뒤집어졌는데 그 직후 또 이런 일이 벌어졌다고 전했다.

4. 일본 정부와 업계의 대응

연쇄 유출이 이어지자 정부가 대응에 나섰다. 트렌드마이크로 집계에 따르면 일본 기업과 지방자치단체가 공표한 부정 접속 피해는 올해 초부터 9월 말까지 600건으로, 지난 한 해 전체인 593건을 이미 넘어섰다. 일본 정부는 10월 9일 기업들에 IT 시스템 보안 강화를 긴급 주문했다. 매일신문은 정부가 최근의 반복되는 부정 접속을 단순한 보안 사고를 넘어 사업 중단으로 이어질 수 있는 경영상 위험이라고 경고하고, 피해 정보를 국가사이버총괄실(NCO) 등에 신속히 제공해 달라고 당부했다고 전했다.

국토교통성은 타임즈카 건과 관련해 업계 단체인 전국렌터카협회에 개인정보 취급 긴급 점검을 요청하고 이달 말까지 결과를 보고하라고 했다. TBS NEWS DIG 보도에 따르면 변호사가 연 집단소송 준비 사이트에는 10월 7일 기준 약 6만 4000명이 등록했다. 한 유튜브 영상에서는 집단소송 준비 사이트 등록자가 약 3만 7000명이라고 했다. 이 문서가 근거로 삼은 보도에는 오사카 공립대 자체의 사과나 후속 조치에 관한 내용이 없다.

5. 진위 논란

핵심 쟁점은 오사카 공립대의 얼굴 사진 유출이 AI를 악용한 대규모 연쇄 공격의 일부냐, 아니면 같은 시기에 겹쳐 보도됐을 뿐 별개의 사고냐는 것이다. 이 대학의 유출 원인은 확인된 보도에 나와 있지 않다.

5.1. 연쇄 공격의 일부라는 쪽

이쪽은 시기와 규모를 근거로 든다. 올해 부정 접속 피해가 9월 말까지 이미 600건으로 지난해 연간 593건을 넘어섰고, 불과 며칠 사이 수백만~천만 단위의 유출이 잇따라 공개됐다. 이런 빈도를 우연의 겹침으로만 보기는 어렵다는 것이다. 여기에 자민당에서 AI 정책을 총괄하는 다이라 마사아키 본부장이 최근의 정보 유출이 AI로 대규모 공격을 자동으로 퍼붓는 "포화 공격"의 성격을 띤다고 지적했다. 일본 수사 당국 관계자도 교도통신에 "과거에는 해킹에 전문 지식이 필요했지만 AI가 등장하면서 지식이 없어도 가능해졌다"고 말했다.

5.2. 별개 사안이라는 쪽

반대쪽은 연관성을 보여 주는 직접 증거가 없다고 맞선다. 일본 보안당국은 연쇄 무단 접속의 배후와 수법을 아직 조사 중이라고 매일신문이 전했다. 배후가 확정되지 않았는데 오사카 공립대를 하나의 공격 흐름에 묶는 것은 앞서 나간 판단이라는 것이다. 알려진 사례만 봐도 위탁 업체 서버 해킹, 앱 해킹, 온라인 스토어 서버 침입, 직원 계정 탈취로 경로가 제각각이다. 학생증 이미지 160만 건이 유출됐다는 보도도 오사카 공립대가 아니라 타임즈카 건이다. 오사카 공립대의 침입 경로와 시점이 공개되지 않은 이상 같은 공격자의 소행이라고 단정할 근거가 없다.

현재로서는 이 대학의 유출이 어느 쪽에 속하는지 판단할 근거가 부족하다. 원인과 경로가 공식적으로 공개되기 전까지는 열린 문제로 남는다.

6. 여담

• 파이낸셜뉴스는 이 시기 일본 보도 가운데 랜섬웨어 조직 킬린(Qilin)의 핵심 멤버가 일본에서 검거돼 독일로 넘겨졌다는 아사히신문 등의 보도를 함께 소개했다. 오사카를 여행 중이던 28세 러시아인 남성을 지난 5월 체포해 10월 2일 독일 당국에 인도했다고 한다. 혐의는 2024년 독일 물류회사 전산망 침입 건이며, 오사카 공립대 유출과 관련이 있다는 근거는 없다.
• 에펨코리아 게시물은 제목에 "펨코식 근황 아님"이라고 달았다.