도코모 정보 유출 최대 30만 건, 본인확인서류 번호도 빠져나갔다

NTT도코모가 11월 6일, 자사 My docomo와 도코모 온라인숍에 외부에서 불법 접속이 있었고 최대 약 30만 건의 고객 정보가 유출됐다고 발표했습니다. 도코모가 밝힌 상한은 개인 20만 4,157건, 법인 9만 682건입니다. 5일 2차 공지에서는 이름과 주소 정도가 거론됐지만, 6일 3차 공지에서 본인확인서류 번호와 일부 고객의 은행 계좌 정보까지 포함된 것으로 범위가 넓어졌습니다.

9일 오후 6시 기준 구글 트렌드 일본판에서 "NTT ドコモ 不正アクセス"는 24시간 검색량 1만 건 이상으로 기술 분야 상위에 올라 있습니다. 두 서비스의 각종 절차는 5일 새벽부터 멈춘 상태이고, 복구 시점은 정해지지 않았습니다. 보도에 따르면 도코모는 피해 고객에게 위로금(見舞金) 지급을 검토 중이지만 금액은 아직 나오지 않았습니다.

▲ 도쿄 요요기의 NTT 도코모 요요기 빌딩 (2018년 촬영 · Wikimedia Commons / CC BY-SA 4.0)

11월 4일부터 6일까지, 시간대별 경과

도코모 공지와 Keitai Watch 보도를 맞춰 보면 흐름은 이렇습니다. 11월 4일 오전 10시 30분경 대량 접속 경보가 울렸고, 오후 2시 30분에 해외 IP 주소를 차단했지만 효과가 없어 특정 공격 경로를 따로 막았습니다. 밤에는 경보가 멈췄다가 심야에 다시 불법 접속 가능성이 감지됐습니다.

5일 새벽에 고객 정보 유출이 확인됐고, 1시 5분경부터 My docomo와 온라인숍의 각종 절차가 중단됐습니다. 오전 9시 1차 공지는 외부 불법 접속 가능성이 높다는 수준이었습니다. 유출 사실은 오후 6시 30분 2차 공지에서 처음 확인됐습니다. 6일에는 개인 고객에게 SMS 발송이 시작됐고, 오후 6시에 ahamo 신규 접수 사이트도 예방 차원에서 멈췄습니다.

눈에 띄는 건 시간 차입니다. 첫 경보에서 유출 확인까지는 하루가 채 걸리지 않았는데, 이용자가 공지에서 유출이라는 말을 본 건 5일 저녁이었습니다. 경보 단계에서 어떤 판단이 오갔는지는 아직 설명이 없습니다.

공지 세 번, 무엇이 달라졌나

1차 공지(5일 오전 9시)는 외부 불법 접속의 가능성이 높다는 내용이 전부였습니다. 2차 공지(5일 오후 6시 30분)에서 긴급 점검에 들어가기 전의 접속으로 정보가 유출된 사실이 확인됐고, 항목은 이름·주소·생년월일·휴대전화 번호·연락처 전화번호 "등"이었으며 건수는 최대 약 30만 건이었습니다.

3차 공지(6일)에서는 원인이 외부 불법 접속이라고 못 박았고, 항목이 이메일 주소·본인확인서류 번호·계약 내용까지 늘었습니다. 개인과 법인으로 나눈 건수도 이때 처음 나왔습니다. 건수는 최대 약 30만 건으로 그대로인데 항목만 늘어난 셈입니다. 2차 공지 때 "등"으로 뭉뚱그렸던 부분이 3차에서 실제 항목으로 채워졌습니다. 침입 경로와 복구 시점은 세 번의 공지 모두 조사 중, 미정으로 남아 있습니다.

빠져나간 정보, 이름·주소에서 본인확인서류 번호까지

2차 공지는 이름, 주소, 생년월일, 휴대전화 번호, 연락처 전화번호 "등"이라고만 적었습니다. 3차 공지에서 항목이 구체화됐습니다. 전체 대상자에게 해당하는 건 이름·생년월일·나이, 주소·연락처 전화번호·이메일 주소, 본인확인서류 번호, 휴대전화 번호·계약 시작일, 요금제·옵션·할인 내역입니다.

일부 고객은 여기에 금융기관명·지점명·계좌번호·예금주, 법정대리인과 절차대리인의 이름·연락처, 근무처·법인명과 소재지, 육아 응원 프로그램 관련 정보가 더해졌습니다. 제가 확인한 공지와 보도에는 신용카드 번호나 비밀번호가 유출됐다는 언급이 없었습니다.

다만 본인확인서류 번호와 계좌 정보는 이름·주소·생년월일과 묶이면 명의 도용 시도에 쓰일 수 있는 조합입니다. 도코모도 이 정보를 이용해 도코모나 관계자를 사칭하는 수상한 메일, SMS, 전화가 올 수 있다고 경고했습니다.

개인 20만 건, 법인 9만 건

건수는 개인 204,157건과 법인 90,682건을 합쳐 294,839건이 상한입니다. 공식 표현은 "최대 약 30만 건"이고 확정치가 아닙니다. 조사가 끝나면 숫자가 달라질 수 있습니다. 비율로 보면 개인이 약 69%, 법인이 약 31%입니다.

법인이 9만 건을 넘고 전체의 3분의 1 가까이를 차지한다는 점이 눈에 띕니다. 휴대전화 회선 수로 따지면 개인 비중이 훨씬 큰 회사인데, 이번에 뚫린 My docomo와 온라인숍 쪽에는 법인 계정이 상당히 많이 걸려 있었다는 뜻이 됩니다. 법인 계약에는 담당자 이름과 연락처, 사업장 소재지가 함께 들어 있어서 한 건에 담긴 정보가 개인보다 많을 수 있습니다. 도코모는 법인 고객에게 영업 담당자나 SMS로 따로 연락하겠다고 밝혔습니다.

서비스는 지금 어떤 상태인가

ahamo는 도코모의 온라인 전용 요금제입니다. 이번에 멈춘 건 신규 접수 사이트이고, 기존 가입자의 회선이나 통화·데이터 이용에 문제가 생겼다는 보도는 확인하지 못했습니다.

My docomo와 도코모 온라인숍은 5일 새벽부터 각종 절차가 멈춰 있습니다. 도코모는 외부에서 고객 정보를 가져갈 수 없는 상태로 만들었고 비슷한 공격 경로도 차단했다고 설명합니다. 긴급 점검을 시작한 뒤 새로운 유출은 확인되지 않았다는 입장입니다.

복구 시점은 "미정"입니다. 시스템을 고쳐 안전성을 높이고, 확인이 끝나는 대로 서비스를 차례로 재개한다는 계획만 나와 있습니다. 대상 개인 고객에게는 SMS와 우편으로 추가 안내가 여러 차례 나갈 예정입니다.

문의는 전용 창구 0120-451-360으로 받습니다. 일반 문의는 도코모 휴대전화에서 151, 일반 전화에서 0120-800-000이고 오전 9시부터 오후 8시까지 연중무휴입니다.

수상한 연락이 오면

도코모 공지의 당부는 단순합니다. 도코모를 사칭한 메일이나 SMS에 적힌 URL에 접속하지 않고, 첨부 파일을 열지 않고, 개인정보·비밀번호·신용카드 정보를 입력하거나 답하지 않는 것입니다. 이번에는 도코모가 실제로 대상 고객에게 SMS를 보내고 있어서, 진짜와 가짜를 눈으로 가리기가 평소보다 어렵습니다.

문자 속 링크 대신 도코모 공식 창구 번호로 직접 확인하는 편이 안전합니다. 법인 고객은 담당 영업 직원에게 먼저 확인할 수 있습니다.

아직 알 수 없는 것

침입 경로와 원인은 조사 중이고 구체적인 공격 방식은 공지에 없습니다. 닛케이 비즈니스는 부사장이 "예상하지 못한 공격이었고 시스템 연동을 악용했다"는 취지로 말했다는 기사를 냈는데, 이 사이트는 접근이 막혀 본문을 확인하지 못했습니다. 제목 수준의 정보라 참고만 해 둡니다.

위로금은 개인과 법인 모두를 대상으로 검토 중이며, 금액과 시기는 추후 발표될 예정입니다. 이 글은 도코모 공지, ITmedia, Keitai Watch, INTERNET Watch 보도에서 서로 겹치는 내용만 단정해서 적었습니다.

자주 묻는 질문

Q. 도코모 불법 접속으로 내 정보가 유출됐는지 어떻게 알 수 있나요?

대상 개인 고객에게는 6일부터 SMS가 발송됐고 이후 SMS와 우편으로 추가 안내가 갑니다. 법인은 영업 담당자나 SMS로 연락이 갑니다. 연락이 없는데 걱정된다면 전용 창구 0120-451-360에 문의하는 방법이 있습니다.

Q. My docomo가 안 열리는데 언제 복구되나요?

도코모는 복구 시점을 미정이라고 밝혔습니다. 안전성 확인이 끝나는 대로 순차 재개한다는 것까지만 나와 있고, 날짜는 공지되지 않았습니다.

Q. 도코모 위로금은 얼마나 받나요?

아직 금액은 공개되지 않았습니다. 개인과 법인 모두에게 지급을 검토 중이라는 보도가 있고, 상세는 후일 발표한다고 합니다.

함께 읽으면 좋은 글

• 도코모 5G SA 통신장애, 20시 넘어도 계속… 4G 전환·재시동 방법
• JT 러시아 제조 4개사 임시관리 대통령령, PTS 주가 19% 급락

제가 가장 눈여겨보는 건 항목이 늘어난 방식입니다. 이름과 주소에서 본인확인서류 번호까지, 이틀 사이에 공개 범위가 넓어졌습니다. 다음 공지에서 건수나 항목이 다시 바뀌는지, 복구 일정이 나오는지 확인하겠습니다.

English Summary

NTT Docomo said on November 6 that unauthorized access to My docomo and the Docomo Online Shop leaked data on up to about 300,000 customers: 204,157 individuals and 90,682 corporate accounts. The company detected a surge in access on November 4, suspended procedures at 1:05 a.m. on November 5, and widened the list of exposed items on November 6 to include ID document numbers, and for some customers bank account details. The intrusion route is still under investigation, no restoration date has been set, and Docomo is reportedly considering condolence payments. Customers are urged to ignore suspicious emails, texts and calls that impersonate Docomo.