KuroCMS 개발기 Vol.6 최근 해킹으로 인한 대규모 개인정보 유출에 대응하여 보안을 강화했습니다
최근 AI 해킹으로 정보 유출이 심각합니다. 러시아나 이스라엘처럼 국가가 영토와 존엄을 빼앗는 세상에서 스스로를 지켜야 합니다. KuroCMS는 오픈소스를 유지하며 보안을 대폭 강화했습니다.
2026년 9월 무렵부터 현재까지 이어지고 있는 해킹 피해가 끊임없이 확산되고 있습니다. 시급한 대응이 필요하다는 점은 모두가 알고 있지만 피해 규모는 날이 갈수록 커지고 있습니다. 참고를 위해 최근 발생한 주요 유출 피해 사례를 표로 정리해 보았습니다.
2026년 9월부터 현재까지 발생한 주요 정보 유출 사고 목록#
부정 접속(무단 접근) 등으로 인해 개인정보가 유출되었거나 유출 우려가 있다고 공식 발표한 기업 및 단체(일자는 공표일 기준). 총 64건. ※최신순 정렬
| 날짜 | 기업・단체 | 유출 내용 | 피해 규모 | 원인 |
|---|---|---|---|---|
| 10/17 (토) | 스카이티켓 (여행 예약) | 신용카드 정보 유출 | 약 6,000명 | 무단 접근 |
| 10/16 (금) | 야마토 운수 | 개인정보 유출 | 약 531만 건 | 무단 접근 |
| 닛케이 | 개인정보 유출 | 183만 건 | 무단 접근 | |
| 미쓰비시 가스 화학 | 퇴직자 등 개인정보 유출 | 2,000명 | 위탁업체 | |
| Studio (웹 제작 툴) | 고객 정보 유출 의혹 | — | 무단 접근 | |
| 판클(FANCL) 계열 | 개인정보 유출 | 83만 건 | 무단 접근 | |
| 코믹 시모아 | 회원 정보 유출 (이메일, 생년월일 등) | — | 무단 접근 | |
| 일본우편 | 고객 정보 열람 가능 상태 방치 | 600건 | 무단 접근 | |
| 아스테모(Hitachi Astemo) | 거래처 등 개인정보 유출 | 350명 | 무단 접근 | |
| 타임즈 카 (파크24) | 정보 유출 대응 방침 10월 23일 발표 예정 | — | 후속 보도 | |
| 이와이코스모 증권 | 고객 정보 유출 | 4,600명 | 위탁업체 | |
| 하마마쓰시 | 소방 관련 개인정보 유출 의혹 (아르카디아 서비스 이용) | — | 위탁업체 | |
| BASE 자회사 | 개인정보 유출 (이 중 209만 명은 신용카드 정보 포함) | 2,335만 명 | 미기재 | |
| 게이오 전철 | 사이버 범죄 집단 'Qilin'의 랜섬웨어 공격 주장 확인 | — | 랜섬웨어 공격 | |
| 10/15 (목) | M3 (엠스리) | 제약 서비스 부문 개인정보 유출 | — | 무단 접근 |
| 소스넥스트 | 고객 정보 유출 의혹 | 2,252만 건 | 무단 접근 | |
| 버거킹 | 앱 회원 정보 유출 | 1,118만 건 | 무단 접근 | |
| 메들리 (Medley) | 의료 시스템 정보 유출 의혹 | 최대 787개 기관 | 무단 접근 | |
| 10/14 (수) | 트랜스코스모스 | 계약직 지원자 개인정보 유출 | 약 4,600명 | 미기재 |
| 마쓰다 | 커뮤니티 사이트 정보 유출 의혹 | 4,103명 | 위탁업체 | |
| 아에나 (화장품 판매) | 회원 정보 유출 의혹 | 81만 명 | 무단 접근 | |
| 이즈미 | 정보 유출 우려 | 최대 40만 건 | 소프트뱅크 계열 | |
| JR규슈 요식업 자회사 | 개인정보 유출 의혹 | 2만 6,900명 | 미기재 | |
| 10/13 (화) | 일본우편 | 고객 정보 유출 우려 | 최대 4,807건 | 시스템 결함 |
| 방재 정보 서비스 (지자체용) | 이메일 주소 유출 의혹 | 313만 건 | 무단 접근 | |
| 긴노사라 (스시 배달) | 외부 서버를 통한 고객 정보 유출 의혹 | 최대 650만 건 | 무단 접근 | |
| JR도카이 | 자사 쇼핑몰 내 이메일 주소 유출 의혹 | — | 소프트뱅크 계열 | |
| 시즈오카현 오마에자키시 | 방재 메일 업체를 통한 정보 유출 우려 | — | 위탁업체 | |
| 스카파JSAT | 이메일 주소 유출 의혹 | — | 소프트뱅크 계열 | |
| 야마하 / 야마하 발동기 | SNS 회원 정보 유출 의혹 | 총 3,200명 | 미기재 | |
| 10/10 (토) | 딥 (바이토루) | 이메일 주소 유출 | 최대 388만 건 | 미기재 |
| 테마이라즈 (숙박 예약 시스템) | 정보 유출 의혹 | 445만 명 | 무단 접근 | |
| 10/9 (금) | JR규슈 | 이메일 주소 유출 의혹 | 최대 130만 건 | 소프트뱅크 계열 |
| 라인야후 | 데이터 검색 툴을 통한 개인정보 유출 | — | 위탁업체 | |
| 반다이남코 계열 | 아케이드 게임 회원 정보 유출 | — | 무단 접근 | |
| 미쓰칸 그룹 | 이메일 주소 등 유출 | — | 위탁업체 | |
| 리조트트러스트 | 웹사이트를 통한 회원 정보 유출 | 2만 6,000건 | 무단 접근 | |
| 산산(Sansan) | 외부 클라우드를 통한 정보 유출 의혹 | 1만 명 | 무단 접근 | |
| 스즈키 | 이메일 주소 등 유출 의혹 | — | 위탁업체 | |
| JR동일본 | 이메일 주소 유출 의혹 | — | 소프트뱅크 계열 | |
| 북오프 자회사 | 고객 정보 유출 의혹 | 최대 643만 건 | 무단 접근 | |
| 10/8 (목) | 뉴스픽스(NewsPicks) | 개인정보 유출 가능성 | — | 무단 접근 |
| 로손 | 개인정보 유출 (성명, 주소 등) | 약 215만 건 | 무단 접근 | |
| 다이이치코쇼 | 개인정보 유출 우려 | 872만 건 | 위탁업체 | |
| 이와테 은행 | 고객 정보 유출 의혹 (제휴사 다이와 증권의 위탁업체 경유) | — | 위탁업체 | |
| 10/7 (수) | HIS 자회사 | 여권 정보 유출 의혹 | 최대 627명 | 무단 접근 |
| 손보재팬 | 고객 정보 유출 가능성 | 6만 건 | 무단 접근 | |
| 10/6 (화) | 아사히카세이 계열 | 의료인 전용 포털 내 정보 유출 의혹 | 최대 약 56만 명 | 미기재 |
| 시티즌 | 고객 정보 유출 의혹 | 10만 명 | 위탁업체 | |
| 니모카 (니시테츠 계열) | 고객 정보 유출 | 약 500건 | 무단 접근 | |
| GMO 계열 | 개인정보 유출 및 포인트 부정 사용 피해 | 95만 명 | 무단 접근 | |
| 미스터맥스 | 고객 정보 유출 | 최대 173만 명 | 무단 접근 | |
| 10/5 (월) | 다이키 수산 | 정보 유출 의혹 | 17만 명 | 무단 접근 |
| 오사카공립대학 | 개인정보 유출 우려 | 13만 명 | 랜섬웨어 공격 | |
| 야키니쿠 킹 | 고객 정보 유출 | 1,000만 건 초과 | 무단 접근 | |
| 다이와 증권 | 계좌번호 등 고객 정보 유출 의혹 | 22만 건 | 위탁업체 | |
| 10/4 (일) | 닛케이 | 정보 유출 및 9,000건의 의심스러운 메일 발송 | — | 무단 접근 |
| 닛케이 | 부정 로그인으로 인한 개인정보 유출 의혹 | 1,646명 | 무단 접근 | |
| 10/3 (토) | 아바하우스 | 전체 고객 개인정보 유출 의혹 ('의심스러운 메일' 신고로 발각) | 전체 고객 | 미기재 |
| 10/2 (금) | 다이이치 생명 그룹 | 임직원 개인정보 유출 의혹 (퇴직자 포함) | 12만 명 | 미기재 |
| 사가와 익스프레스 | 개인정보 유출 의혹 (주소, 성명 등) | — | 무단 접근 | |
| 9/30 (수) | 오사카가스 계열 2개사 | 고객 정보 유출 가능성 | 약 8,260건 | 무단 접근 |
| 9/29 (화) | 세코마 (세이코마트) | 앱 서버를 통한 정보 유출 의혹 | 57만 건 | 무단 접근 |
| 9/28 (월) | 타임즈 카 | 개인정보 유출 (운전면허증 스캔 이미지 포함) | 최대 660만 건 | 무단 접근 |
| 합계 (규모가 명시된 44건. 건수와 인원수 합산 및 중복 포함) | 약 1억 2,400만 | |||
실로 끔찍한 피해 규모입니다. 약 1억 2,400만 건. 수치가 명확하지 않은 사례와 중복 집계를 감안하더라도, 사실상 일본 전체 인구수와 맞먹는 규모의 개인정보가 유출된 셈입니다.
이번 피해 사례와 침투 수법의 주요 특징#
이번 사태는 과거의 침해 사고보다 피해 규모가 막대할 뿐만 아니라, '거의 매일 유출 사고가 터지고 있다'는 이상 현상이 벌어지고 있습니다. 공격자들이 첨단 AI 기술을 총동원하고 있음이 명백합니다. 침투 경로를 밝히지 않은 기업도 많지만, 공개된 사례만 보더라도 압도적 다수는 '웹사이트·애플리케이션·API의 보안 취약점'을 파고든 침투였습니다.
그다음으로 많은 침투 경로는 '피싱 메일 및 악성 사이트 유도'입니다. 최근 생성형 AI가 원어민 수준의 자연스러운 문장을 구사하면서, 사용자가 의심 없이 링크를 클릭해 실제 사이트와 완벽히 동일하게 위장된 가짜 페이지에 ID와 비밀번호를 입력하여 계정 정보가 탈취당하는 전형적인 수법입니다.
VPN 네트워크 장비의 취약점도 자주 거론되지만, 이 기간 동안 명시된 사례는 디지털청 1건에 불과했습니다. 압도적으로 위 2가지 경로를 통해 침투가 이루어졌으며, 침투 후 관리자 권한 통제가 극히 취약했다는 공통점이 있습니다. 즉, 외곽 방어선만 뚫리면 내부에서 무제한 권한을 행사할 수 있는 취약한 시스템 설계가 화를 키웠습니다.
그렇다면 KuroCMS의 자체 보안 대책은?#
애초에 피싱 메일이나 가짜 사이트 유도를 통한 계정 탈취는 KuroCMS에서 결코 일어날 수 없습니다. KuroCMS는 오직 패스키(Passkey)만으로 로그인하기 때문입니다. 이는 개발자 본인이 비밀번호를 외우기 귀찮아했던 탓도 있지만, 사용자는 비밀번호를 쉽게 잊어버려 결국 단순하고 반복적인 취약한 암호를 선택하게 되므로, 비밀번호 체계 자체에 구조적 결함이 있다고 판단했기 때문입니다.
그렇다면 이전 v1 버전까지 KuroCMS가 갖추고 있던 기본 보안 기능들을 살펴보겠습니다.
| 버전 | 보안 대책 | 세부 구현 내용 |
|---|---|---|
| v1 | 패스키 전용 로그인 방식 | 서버에 비밀번호 자체를 저장하지 않으므로 유출되거나 도용될 암호가 없습니다. 지문이나 안면 생체 인증으로 로그인하며, 개인키는 단말기 내부 보안 칩을 절대 벗어나지 않습니다. 세션 상태 역시 외부 사이트나 제3자 스크립트가 탈취할 수 없도록 격리 저장됩니다. |
| v1 | AI 수정 내역 전량 버전 롤백 | 본문 글을 덮어쓰거나 삭제하기 직전, 매번 그 시점의 전체 본문을 변경 불가능한 고유 버전으로 보존합니다. 작성 주체(사람, AI, API)는 인증 시스템을 통해 암호학적으로 기록되므로 위조가 불가능합니다. 침입자가 무단으로 글을 수정하더라도 즉시 원상 복구할 수 있습니다. |
| v1 | API 키 해시값만 보관 | AI 연동 작업을 위해 발급되는 개인용 액세스 토큰(PAT)은 데이터베이스에 단방향 암호화 해시값으로만 저장됩니다. 서버에 원본 토큰이 남지 않으므로 데이터베이스가 유출되더라도 키로 악용될 수 없습니다. |
| v1 | Cloudflare 마스터 키 미보관 원칙 | 사용자 본인의 Cloudflare 환경에 배포할 때 설치 프로그램에 입력한 API 토큰은 초기 배포 작업에만 일시 사용되며 어디에도 영구 저장되지 않습니다. 이후의 자동 업데이트는 Worker 배포 권한만 가진 최소 권한의 전용 토큰으로 수행됩니다. |
| v1 | 빌드 완료된 정적 HTML 공개 배포 | 방문자에게는 사전에 완전히 빌드된 정적 HTML만 서비스되므로 페이지 열람 시 실시간 데이터베이스 조회가 발생하지 않아 외부 공격 접점이 극도로 축소됩니다. 외부 URL을 가져오는 기능은 대상 주소를 사전 검증(SSRF 방어)하며, 엣지 CDN 캐싱과 결합하여 경이로운 로딩 속도를 보장합니다. |
그렇다면 이번 v2 업데이트를 통해 새롭게 단행된 대대적인 보안 개선 사항들을 소개합니다:
| 버전 | 강화 내역 | 세부 구현 내용 |
|---|---|---|
| v2 | 본문 내 악성 스크립트 원천 차단 | 게시글 및 사이트 텍스트는 저장할 때와 브라우저에 렌더링할 때의 2단계에 걸쳐 script 태그, DOM 이벤트 속성, javascript: 의사 프로토콜, 비인가 외부 임베드를 철저히 제거합니다. 사람, AI, API, 데이터 가져오기 등 어떤 경로로 작성되든 방문자나 관리자의 브라우저에서 스크립트가 실행되지 않습니다. |
| v2 | 전자서명 및 해시 검증 기반 업데이트 | 새로운 버전 릴리스는 KuroCMS 공식 배포 인프라에서 수신하며, 전자서명과 파일 내용의 해시 무결성을 검증한 후에만 적용됩니다. 업데이트 적용 후 헬스 체크 응답이 정상적이지 않으면 WorkerOps가 이전 안정 버전으로 자동 롤백합니다. |
| v2 | 고객 데이터의 엄격한 물리적 격리 | 콘텐츠와 미디어 자산은 고객 본인의 Cloudflare 계정 내부에만 안전하게 보관됩니다. 매니지드 위탁 호스팅 방식의 경우 인프라와 CMS가 계정 단위로 완벽히 분리되며 사이트별 전용 데이터베이스를 구축하여 타 고객 데이터와 혼재되지 않습니다. 오류 보고 시에도 숫자 코드만 전송될 뿐 본문은 일절 전송되지 않습니다. |
| v2 | 관리자 화면 접속 허용 네트워크(IP) 제한 | 관리자 콘솔은 패스키로 로그인 인증을 거친 특정 IP 네트워크에서만 접속할 수 있습니다. IP 등록은 백그라운드에서 전자동으로 처리되며 활성 사용 중에는 유효기간이 갱신됩니다. 미등록 네트워크에서 세션을 재사용하려 하면 즉각 차단되며 관리자에게 확인 경고 메일이 발송됩니다. |
| v2 | 세션 네트워크 및 물리 단말기 바인딩 | 브라우저 로그인 세션은 최초 접속한 IP 네트워크에 엄격히 구속됩니다. 로그인을 유지하는 리프레시 토큰은 발급받은 단말기의 하드웨어 보안 키에 암호학적으로 결속(Device Binding)됩니다. 만에 하나 세션 토큰이 탈취되더라도 다른 네트워크나 다른 기기에서는 일절 동작하지 않습니다. |
어떻게 변화했는가? 향후 로드맵과 정책 방향의 전환#
가장 핵심적인 혁신은 철저한 IP 접근 제한입니다. 모든 개별 기기에 전 세계 고유의 공인 IP가 할당될 수 있는 IPv6 시대에 발맞추어, KuroCMS 관리자 화면에 접근하려면 등록된 IP와 정확히 일치해야 합니다. IPv6 주소를 위조하는 행위는 대형 통신사 네트워크 엔지니어조차 실행하기 극히 어려운 고난도 기술입니다. 여기에 브라우저와 단말기 내부 보안 칩에 견고히 결합된 패스키가 더해져 일반적인 해킹 침투는 사실상 불가능합니다.
이와 발맞추어 KuroCMS의 핵심 인증 인프라를 신뢰성 높은 기업용 통합 ID 플랫폼으로 전환했습니다. 이는 Cloudflare 계정을 생성하고 PAT를 발급받는 데 어려움을 겪는 사용자들을 위해 '매니지드 위탁 호스팅 방식'을 신설한 것과도 맥을 같이합니다. 기업용 ID 플랫폼이 비정상적인 접근 시도를 실시간 감지하여 대시보드 알림 및 이메일로 경고하고, 관제 센터에 즉각 통보하여 초동 대응이 가능해졌습니다.
이 결정에 이르기까지 깊은 고민이 있었습니다. KuroCMS의 핵심 엔진 소스코드는 계속해서 투명한 오픈소스(OSS)로 공개하되, 안전성을 절대적으로 담보하기 위해 인증 체계만큼은 강력한 보안을 갖춘 기업 전용 플랫폼에 안착시키기로 결정했습니다. 사용자 여러분께 불이익이 없도록 본인 소유 Cloudflare 계정에 직접 배포하는 방식(v1의 유일했던 방식)도 변함없이 완벽히 지원됩니다. 이메일 주소 등록 절차가 추가되어 번거로움을 드린 점 너른 양해 부탁드립니다.
이전 v1과 비교했을 때, 새롭게 진화한 KuroCMS v2는 방어 보안 수준을 비약적으로 끌어올렸습니다. 앞으로도 KuroCMS에 많은 관심과 변함없는 성원을 부탁드립니다.
※KuroCMS v2 릴리스는 이번 주말경이 될 것으로 예상됩니다.