KDDI, ISP용 메일 기반에 침투…최대 1422만 건 유출 가능성

2026-06-23

KDDI는 23일 인터넷 접속 사업자용으로 제공하는 메일 시스템이 무단 접근을 받아 최대 1422만 건의 개인정보가 유출됐을 가능성이 있다고 발표했다. 이메일 주소와 비밀번호가 포함돼 있으며, 메일 본문이 유출됐을 우려도 있다.

피해 개요

대상은 외부 ISP 6개사

KDDI는 외부 인터넷 접속 사업자 6곳에 제공하는 시스템이 피해를 입었다고 설명했다. 대상은 STNet, KDDI웹커뮤니케이션즈, JCOM, 주부테레커뮤니케이션, 니프티, 빅로브다. KDDI 본체의 메일 서비스는 별도 기반으로 운영하고 있어 영향은 없었다.

취약점 악용

17일 파악, 개보수 실시

회사 측은 17일 상황을 파악하고 피해 확대를 막기 위해 시스템 개보수를 실시했다. 제3자 제작 소프트웨어의 취약점이 악용된 것으로 알려졌다. 무단 접근이 의심되는 지점도 특정해 기술적 방어 조치를 취했다.

이메일 주소와 비밀번호 확인

로그인 가능 상태였을 우려

현 시점에서는 대상 메일 서비스에서 생성된 메일박스에 연결된 이메일 주소와 비밀번호의 유출이 확인됐다. 메일박스에 로그인 가능한 상태였던 것으로 보이며, 메일의 무단 열람이나 발송 기능 악용이 발생할 우려가 있다.

이용자에 업데이트 요청

개인정보보호위원회와 총무성에 보고

KDDI는 ISP를 통해 대상 이용자에게 비밀번호를 조속히 변경해 달라고 요청하고 있다. 개인정보보호위원회와 총무성에도 보고를 마쳤으며, 앞으로는 ISP와 연계해 영향 범위 특정 작업을 서두를 방침이다.

통신업계서 잇따른 유출

상장사 사고는 180건

도쿄상공리서치에 따르면 2025년 상장사와 그 자회사가 공표한 개인정보 유출·분실 사고는 180건에 달했다. 피해자는 전년 대비 약 2배인 3000만 명을 넘었고, 원인의 60%는 무단 접근이나 바이러스 감염이었다.

KDDI에서는 1월 네트 광고 대리업을 맡는 산하 기업에서 허위 거래에 따른 부정 회계 문제가 드러나 자회사 사장이 사임했다. 마쓰다 히로미치 사장도 월례 보수의 일부를 반납했다. 23일 공표한 임시 보고서에서는 17일 정기 주주총회에 부의한 이사 신임안에서 다카하시 마코토 회장 선임에 대한 찬성이 62.34%, 마쓰다 사장이 77.67%로 집계됐으며, 둘 다 전년의 90% 초과에서 크게 낮아졌다.

이 글이 도움이 되셨다면 공유해 주세요.