카카오의 글로벌 웹툰 플랫폼 카카오픽코마가 일본 현지 메일 발송 위탁업체에 대한 사이버 공격으로 이용자 이메일 주소 100만 건 이상이 유출됐습니다. 해킹은 픽코마가 사용해 온 메일 배포 시스템 ‘블라스트메일’을 표적으로 발생했으나, 픽코마 자체 시스템 침해는 없는 것으로 확인됐습니다. 특히 비밀번호와 이름, 신용카드 정보와 같은 민감한 개인정보의 추가 유출 피해는 발생하지 않은 상태입니다. 현재 카카오픽코마는 유출된 이메일을 악용한 스팸이나 피싱 등 2차 사칭 피해를 차단하는 데 총력을 기울이고 있다고 밝혔습니다.

26일 카카오픽코마에 따르면 회사는 최근 메일 매거진(뉴스레터) 발송 대행업체가 해킹 공격을 당해 이용자 이메일 주소 100만 2,404건이 유출됐다고 발표했습니다. 공격받은 업체는 일본 클라우드 기업 라쿠스 라이트 클라우드로, 픽코마는 해당 업체의 메일 배포 시스템을 이용해 왔습니다.

라쿠스 라이트 클라우드는 지난 21일 0시 30분에 공격을 최초로 감지했습니다. 라쿠스는 공격을 감지한 즉시 서비스를 일시 중단했으며, 자체 조사를 거쳐 지난 24일 픽코마에 메일 매거진을 수신해 온 이용자들의 이메일 주소가 유출됐다고 공식적으로 밝혔습니다. 라쿠스가 지난 25일에 발표한 자료에 따르면 이번 공격으로 총 344건의 기업 계약에서 피해가 발생했으며, 이메일 주소 외에도 계약사명, 담당자 이름, 전화번호, 청구지 주소, 계약 및 결제 이력 등이 외부로 흘러 나간 것으로 파악됐습니다.

이번 침해는 해커들이 라쿠스 라이트 클라우드의 API용 서버 2대에 무단 침입해 판매 관리 시스템과 메일 데이터베이스에 접근한 것으로 알려졌습니다. 라쿠스는 “현재 외부 전문 보안 기관이 정밀 조사를 진행 중”이라며 “향후 조사 결과에 따라 피해 건수가 변동될 가능성이 있다”라고 설명했습니다.

픽코마는 “현재까지의 조사 결과 고객을 식별하기 위한 관리 번호나 최종 결제일 등의 금융 식별 정보는 유출되지 않았다”라며 이용자의 비밀번호는 블라스트메일에 위탁 보관하지 않아 유출 가능성이 원천 배제돼 있고, 이름 및 신용 카드 정보는 픽코마 자체 서버에도 보관하지 않는다”라고 전했습니다.

픽코마는 사고 인지 직후 메일 매거진 발송 서비스를 전면 중단하고 일본 개인정보보호위원회에 해당 사안을 보고했습니다. 이어 회사를 사칭한 ‘나이스마시(이메일 발신자 조작)’ 피싱 메일 발송을 원천 차단하기 위해, 블라스트메일 서버에서 발송되는 이메일이 픽코마의 정상 도메인으로 인증 처리되지 않도록 보안 설정을 즉각 변경했습니다. 픽코마는 현재 운영사와 긴밀한 협력을 통해 유출 정보의 세부 내역과 대상 고객을 정밀 대조하고 있으며, 피해 대상 이용자들에게는 개별 안내문을 발송할 계획이라고 밝혔습니다.

픽코마는 “고객의 소중한 정보를 다루는 입장에서 큰 심려와 불편을 끼쳐드린 점 사과드린다”라며 “픽코마나 제휴 출판사를 사칭한 의심스러운 이메일이나 문자메시지에 각별히 주의하고, 출처가 불분명한 메시지에 포함된 URL 링크를 열거나 개인정보, 비밀번호를 입력하지 말아 달라”고 당부했습니다. 이어 “픽코마는 이메일을 통해 비밀번호나 결제 정보를 요구하는 일이 결코 없다”라며 추가적인 사실이 확인되는 대로 투명하게 공지하겠다”라고 말했습니다.

이번 사건은 픽코마에 발 빠른 대처가 없었더라면 더 큰 피해가 나왔을 것이라고 볼 수 있습니다. 사고는 예상치 못한 곳에서 일어납니다. 결국 중요한 건 발 빠른 대응과 사고에 대한 반성 마지막으로 재발을 방지하는 것이 관건입니다.​