[보안 이슈] 일본 버거킹 앱서 1,118만 건이 샜습니다 — 비밀번호는 안 털렸다는데, 왜 바꿔야 할까요
일본 버거킹 공식 앱에서 회원정보 1,118만 건이 외부로 유출됐습니다. 이름·이메일·전화번호·생년월일이 통째로 빠져나갔고, 운영사는 2026년 10월 15일 이를 공식 발표했습니다.
안녕하세요, dailybetter입니다.
“일본 버거킹인데 나랑 무슨 상관이냐” 싶겠지만, 이 사건은 비밀번호가 안 털려도 왜 비밀번호를 바꿔야 하는지를 보여주는 교과서 같은 사례입니다.
똑같은 수법이 국내 앱에 그대로 적용될 수 있다는 점에서 남의 일이 아닙니다.
무슨 일이 있었나
버거킹 일본 법인을 운영하는 비케이재팬은 회원정보 관리 시스템이 10월 2일부터 7일까지 외부에서 무단 접속을 당했다고 밝혔습니다. 유출 정황을 인지한 건 13일, 공식 발표는 15일이었습니다. 감지 직후 공격자의 접속 경로는 차단했지만, 엿새 동안 열려 있던 문으로 약 1,118만 명분의 데이터가 빠져나간 뒤였습니다.
침입이 시작된 2일부터 차단까지 엿새, 차단에서 인지까지 또 엿새, 인지에서 발표까지 이틀 — 공격자가 데이터를 들고 나간 시점과 이용자가 그 사실을 안 시점 사이에 2주 가까운 공백이 있었다는 뜻입니다. 1,118만이라는 규모는 일본 인구의 9% 안팎에 해당하는 수치로, 단일 앱 사고로는 이례적으로 큽니다.
주목할 점은 공격 경로가 아직 공개되지 않았다는 것입니다. 랜섬웨어인지, 탈취된 관리자 계정이었는지, 서버 취약점이었는지 회사도 “외부 전문기관과 조사 중”이라고만 밝혔습니다. 원인을 모른다는 건 같은 구멍이 다른 곳에도 남아 있을 수 있다는 뜻입니다.
어떤 정보가 샜나 — 항목별로 뜯어보면
| 유출 항목 | 왜 위험한가 |
|---|---|
| 이름·생년월일·성별 | 다른 유출 데이터와 조합되면 ‘이 사람이 누구인지’ 특정하는 열쇠가 됨 |
| 이메일·전화번호 | 피싱·스미싱 문자의 정확한 발송 타깃이 됨 |
| 거주 지역·가입 정보 | “○○에 사는 ○○님” 식으로 그럴듯하게 꾸민 사칭 메시지 재료 |
| 회원 ID·가입 유형 | 실제 이용자임을 아는 공격자가 “주문 오류” 같은 미끼를 정교하게 설계 |
이번에 빠져나간 건 회원 ID, 이메일, 가입 유형, 거주 광역지자체(도도부현), 성별, 생년월일, 한자·가나 표기 이름, 전화번호였습니다. 다행히 신용카드 번호는 애초에 저장돼 있지 않았고, 로그인 비밀번호가 유출된 정황도 현재까지 확인되지 않았습니다. 그런데도 제목에서 비밀번호 변경을 강조한 이유가 있습니다.
비밀번호가 안 털렸는데 왜 바꾸라는 걸까
“확인되지 않았다”는 “안 털렸다”와 다릅니다. 공격 경로조차 모르는 단계에서는 “현재까지 그 정황이 보이지 않는다”는 중간 보고일 뿐입니다. 더 중요한 건 비밀번호 재사용 문제입니다. 이메일·전화번호가 통째로 빠졌기 때문에, 공격자는 그 이메일을 다른 사이트 로그인창에 대입해보는 ‘크리덴셜 스터핑'(유출된 아이디·비밀번호 조합을 여러 사이트에 무차별 대입하는 공격)을 시도할 수 있습니다.
이 공격이 무서운 건 품이 거의 안 든다는 데 있습니다. 1,118만 개의 이메일을 확보한 공격자가 자동화 도구로 포털·쇼핑몰·간편결제 로그인창에 기존 유출 비밀번호를 대입하면, 성공률이 0.1%만 돼도 1만 개가 넘는 계정이 뚫립니다. 버거킹과 똑같은 비밀번호를 쇼핑몰·포털에도 쓰고 있다면, 버거킹이 안 뚫려도 그 다른 사이트가 뚫립니다.
그래서 해야 할 일은 세 가지입니다.
- 비슷한 비밀번호를 쓰는 다른 사이트부터 변경 — 특히 이메일 계정과 금융 서비스. 같은 이메일을 쓰는 서비스는 피싱 표적이 될 수 있으니 2단계 인증을 켜두세요. 2단계 인증은 비밀번호가 뚫려도 휴대폰 인증코드라는 두 번째 자물쇠가 남아, 크리덴셜 스터핑의 성공률을 사실상 0에 가깝게 떨어뜨립니다.
- 버거킹을 사칭한 이메일·문자·전화 경계 — “유출 관련 본인 확인”, “쿠폰 보상” 같은 메시지의 링크·첨부파일은 열지 말고, 개인정보나 비밀번호를 절대 입력하지 마세요.
- 출처 불명 연락은 공식 앱·홈페이지로 되짚어 확인 — 문자 속 링크가 아니라 직접 앱을 열어 공지를 확인하는 습관이 가장 확실한 방어입니다.
최근 국내에서도 95만 뮤팟 회원 개인정보 유출처럼 이름·연락처가 통째로 새는 사건이 이어지고 있습니다. 유출된 데이터는 지워지지 않고 계속 재활용된다는 점에서, 한 번의 비밀번호 점검이 여러 사건의 피해를 동시에 줄여줍니다.
Q. 일본 앱을 쓴 적 없으면 안심해도 되나요?
이번 유출 대상은 일본 버거킹 앱 회원입니다. 다만 같은 이메일·비밀번호를 여러 서비스에 공유해 쓰고 있다면, 유출의 ‘2차 확산’에서 자유롭지 않습니다. 내 계정이 이번 명단에 없어도, 과거 다른 사고에서 샌 내 비밀번호가 이번 이메일 목록과 엮여 재대입되는 식으로 연결되기 때문입니다.
Q. 신용카드가 안 털렸으면 금전 피해는 없나요?
직접적인 카드 도용 위험은 낮지만, 가장 흔한 2차 피해는 정교한 피싱입니다. 당장 돈이 빠져나가는 게 아니라, 당신을 속여 스스로 입력하게 만드는 쪽이 훨씬 위협적입니다. 생년월일과 거주 지역까지 쥔 공격자가 “○○님, 10월 주문 건 환불 처리 안내”라고 보내오면 가짜라고 의심하기 어렵습니다.
“뚫리지 않는 벽보다, 어디가 뚫려도 번지지 않는 구조가 더 강합니다.”
dailybetter 분석가 Note
💡 dailybetter 분석가 Note
이번 사건의 핵심은 “비밀번호는 안 털렸다”는 발표를 어떻게 읽느냐에 있습니다. 기업은 확인된 사실만 발표하며, 조사가 끝나기 전까지 ‘정황 미확인’은 ‘안전’이 아닙니다. 공격 경로가 공개되지 않은 지금이 오히려 가장 경계해야 할 구간입니다.
1,118만 건이라는 규모가 말해주는 건, 유출 사고에서 내 정보가 ‘포함됐느냐’를 매번 확인하기보다 어느 곳이 뚫려도 피해가 번지지 않는 구조(사이트마다 다른 비밀번호 + 2단계 인증)를 미리 갖춰두는 쪽이 현실적인 방어라는 점입니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요