GMO 구마가이 사장 첫 회견, 8월 침입을 두 달 뒤에야 알았다

GMO인터넷그룹 구마가이 마사토시 사장이 11월 2일 오후 도쿄에서 기자회견을 열고 자사 클라우드 서비스의 불법 접속 사태를 공식 사과했습니다. 문제가 알려진 뒤 처음 공개 석상에 선 자리였습니다. 회견에서 가장 무거웠던 대목은 시간표입니다. 공격자는 8월 20일에 서버에 들어왔는데, 회사가 이를 알아챈 것은 두 달 뒤인 10월 20일이었습니다.

영향을 받았을 수 있는 가상 서버는 2만 6,739대입니다. 공격자는 10월 21일 80억 엔을 요구했고 회사는 거부했습니다. FX 계좌에서 생긴 손실은 전액 보상하겠다는 입장입니다. 아래 내용은 회견을 다룬 벤고시닷컴, IMPRESS WATCH, 교도통신 보도를 맞춰 본 것입니다.

▲ 2일 회견에서 사과하는 구마가이 마사토시 GMO인터넷그룹 사장 (2026년 촬영 · TBS NEWS DIG 유튜브 화면)

GMO 불법 접속, 8월 20일 침입과 10월 20일 인지

보도를 맞춰 보면 경로는 이렇습니다. 공격자는 고객이 쓰던 VPS(가상 사설 서버) 한 대를 통해 들어와 관리자 권한을 얻었습니다. 그 시점이 8월 20일입니다. 이후 두 달 동안 GMO 쪽은 침입 사실을 인지하지 못했습니다.

인지 시점은 10월 20일이고, 이튿날인 21일에 상황이 한꺼번에 터졌습니다. 공격자가 80억 엔을 요구했고, 같은 날 고객의 FX 계좌가 조작되어 일부러 손실을 만드는 거래가 실행됐습니다. 두 달을 숨어 있던 쪽이 요구를 내놓은 날과 계좌 조작이 시작된 날이 겹칩니다.

IMPRESS WATCH 기사에는 침입 날짜가 10월 21일로 적혀 있습니다. 벤고시닷컴은 8월 20일, 방송사 보도 제목도 "8월에 서버 침입, 10월까지 몰랐다"여서 이 글은 8월 20일을 따랐습니다. 다만 21일은 요구가 들어온 날로 읽는 편이 앞뒤가 맞습니다.

피해 대상은 FX 자동매매용 VPS, 서버 2만 6,739대

문제가 된 서비스는 "오나마에닷컴 데스크톱 클라우드"입니다. 그중에서도 FX 자동매매를 돌리는 VPS 상품이 대상이었습니다. 이용자는 자동매매 프로그램을 이 서버에 올려 두고 24시간 거래를 맡깁니다. 서버 안에는 FX 업체와 증권사 로그인 정보가 저장돼 있었고, 이 정보가 제3자에게 넘어가 무단 거래에 쓰였습니다.

VPS는 한 대의 물리 서버를 쪼개 이용자마다 독립된 컴퓨터처럼 빌려 주는 방식입니다. 고객이 자기 서버에 프로그램을 깔고 로그인 정보를 넣어 두기 때문에, 서버 하나가 뚫리면 그 안의 증권·FX 계정이 같이 위험해집니다.

2만 6,739대는 "영향을 받았을 가능성이 있는 서버 수"입니다. 실제로 계정이 털린 이용자가 몇 명인지는 회견에서 공표되지 않았습니다. 서비스는 회견 시점에도 중단된 상태입니다.

80억 엔 요구와 "범죄자에게 돈을 내지 않겠다"

구마가이 사장은 협박 요구에 응하지 않겠다는 입장을 분명히 했습니다. 닛폰TV 계열 보도 제목은 "범죄자에게 돈을 내는 일은 하지 않는다"입니다. 협박은 요구액에서 끝나지 않았습니다. 공격자는 고객 정보를 공개하겠다고 위협했고, 10월 27일에는 한 사람 몫의 정보를 실제로 올렸습니다. 돈을 내지 않으면 매일 추가로 공개하겠다는 주장도 붙였습니다.

▲ "범죄자에게 돈을 내지 않겠다"고 밝힌 구마가이 회장 (2026년 촬영 · 닛폰TV NEWS NNN 유튜브 화면)

요구액 표기는 보도마다 조금 다릅니다. 구마가이 사장이 10월 26일 블로그에서 밝힌 금액을 교도통신은 5천만 달러(약 79억 엔)로 전했고, 회견 보도는 80억 엔으로 적었습니다. 같은 요구를 환산한 차이로 보입니다. 10월 28일 GMO는 고객 정보를 올린 협박 사이트가 정지된 것을 확인했다고 밝혔고, 새 사이트가 열리면 같은 조치를 취하겠다고 했습니다. 공격자 특정으로 이어지는 제보에는 최대 100만 달러(약 1억 5,800만 엔)의 현상금을 걸었습니다.

2024년 그룹 내부 지적이 서비스에 반영되지 않았다

이번 사태에서 사과의 중심에 놓인 것은 사전 경고입니다. 그룹 안의 보안 전문가들이 2024년에 이 서비스의 시스템 문제를 지적했는데, 구마가이 사장은 회견에서 그 지적을 서비스 운영에 살리지 못했다고 인정했습니다. 10월 25일 밤 블로그에서도 사내 기술자들이 "개선해야 할 과제"를 미리 짚었고, 대응이 충분하지 않아 공격자에게 틈을 줬다고 설명한 바 있습니다.

IMPRESS WATCH는 지적을 한 곳이 자회사 GMO사이버시큐리티 바이 이에라에라고 전했습니다. 지적 시점부터 침입까지 2년, 침입부터 인지까지 두 달입니다. 지적의 구체적 내용과 반영되지 않은 이유는 보도에 나오지 않았습니다. 이 부분이 이후 검증의 핵심이 될 가능성이 큽니다.

▲ 회견에서 "고객을 지키지 못해 죄송하다"고 말하는 구마가이 사장 (2026년 촬영 · FNN 프라임온라인 유튜브 화면)

구마가이 사장의 SNS 셀카 논란

회견에서는 사장 본인의 SNS 대응도 사과 대상에 올랐습니다. J-CAST 보도로 흐름을 정리하면 이렇습니다. 10월 27일 구마가이 사장은 인터폴에 상담했다는 글에 셀카를 붙였습니다. 28일에는 도쿄대 강의를 마쳤다는 답글에 웃는 셀카를 올렸습니다. "너무 둔감하다", "왜 웃고 있느냐"는 반응이 이어졌고, 29일 그는 피해자에 대한 배려가 부족했다며 사과했습니다.

사진은 지우지 않았습니다. 협박에 굴하지 않겠다는 뜻을 보이려는 의도라며 당분간 그대로 두겠다고 했습니다. 회견에서는 이 건도 다시 사과했습니다. 닛폰TV 방송 제목에는 눈물을 보인 장면이 있었다고 적혀 있습니다.

GMO 주가, 10월 26일 하루에 15% 하락

시장 반응은 빨랐습니다. 10월 26일 도쿄 증시에서 GMO인터넷그룹은 전 거래일 대비 15% 넘게 빠져 590엔 하락한 3,179엔에 마감했습니다. 계열사 GMO인터넷도 14% 넘게 내려 418엔으로 거래를 마쳤습니다. 이용자 계좌에서 기억에 없는 거래가 확인된 만큼, 고객 보상 비용과 실적 영향을 걱정한 매물이 나왔다는 것이 보도의 설명입니다.

11월 2일 회견 직후의 주가 움직임은 이 글을 쓰는 시점에 확인하지 못했습니다.

보상 방식과 아직 비어 있는 숫자

벤고시닷컴에 따르면 FX 계좌에서 발생한 손실은 전액 보상됩니다. 정보 유출이 확인된 고객에게는 위로금이 지급되고, 금액은 유출된 정보의 종류에 따라 최대 300만 엔까지입니다. 다른 매체 제목에는 "일률 5,000엔 위로금"이라는 표현도 있어서, 단계별 금액 구조가 있는지는 추가 보도를 기다려야 합니다.

NHK는 한 피해자의 손실이 약 4,000만 엔에 이른다고 10월 30일 보도했고, 11월 1일에는 고객 정보가 약 9년 가까이 외부에서 취득 가능한 상태였다는 보도도 냈습니다. 둘 다 NHK 제목 수준의 정보라 세부는 확인하지 못했습니다. 회견에서도 총 피해액과 확인된 피해자 수, 재발 방지책의 구체적 내용은 나오지 않았습니다. 경영진 보수 삭감이 발표됐다는 정도가 확인되는 조치입니다.

구마가이 사장은 정부에 "능동적 사이버 방어"의 긴급 적용도 요청했습니다. 공격 원점 서버에 들어가 무력화하는 조치인데, 원래 상정 대상은 전력과 철도 같은 기간 인프라 사업자입니다. GMO는 자사가 기간 인프라 사업자가 아니라고 인정하면서도 국가의 단호한 방침과 연계가 필요하다고 호소했습니다.

자주 묻는 질문

Q. GMO 불법 접속은 언제 시작됐나요?

회견 보도에 따르면 8월 20일입니다. 공격자가 고객 지정 VPS를 거쳐 관리자 권한을 얻었고, GMO가 알아챈 것은 10월 20일입니다.

Q. GMO 불법 접속 피해 고객은 몇 명인가요?

확인된 피해자 수는 공표되지 않았습니다. 영향 가능성이 있는 가상 서버가 2만 6,739대라는 숫자만 나와 있고, 서버 수와 이용자 수는 같지 않습니다.

Q. 구마가이 마사토시 사장은 몸값을 냈나요?

내지 않았다고 밝혔습니다. 80억 엔 요구를 거부했고, 회견에서도 지불하지 않겠다는 입장을 되풀이했습니다.

Q. 중단된 GMO 서비스는 다시 열렸나요?

IMPRESS WATCH 보도 기준으로 회견 시점에도 중단 상태였습니다. 재개 일정은 회견 보도에 나오지 않았습니다. 이용자는 GMO의 공지에서 직접 확인해야 합니다.

함께 읽으면 좋은 글

• 마쓰에 급식 히스타민 식중독 307명, 원인은 하마치 유자후추구이
• 크리스타 파이크, 집행 실패 한 달 만의 첫 입장과 격리 병동 소송

다음에 확인할 일은 두 가지입니다. 사전 지적의 구체적 내용과 반영되지 않은 경위가 밝혀질지, 중단된 서비스가 언제 재개되는지입니다.

English Summary

GMO Internet Group CEO Masatoshi Kumagai apologized at a press conference on November 2, 2026, over a breach of the Onamae.com Desktop Cloud FX trading VPS service. Reports say attackers gained administrator access through a customer-named VPS on August 20, but GMO noticed only on October 20. Up to 26,739 virtual machines may be affected. The attackers demanded 8 billion yen on October 21, which GMO refused to pay. The company says it will fully reimburse FX losses. Kumagai admitted that warnings from security specialists inside the group in 2024 were not reflected in the service, and he also apologized for smiling selfies he posted during the incident.