AI 요약
2026년 10월 7~9일 사이 일본 개인정보보호위원회, JPCERT/CC, 국가사이버통괄실, IPA 등이 잇따른 부정 접속에 의한 개인정보 유출 주의보를 발표했다. 피해는 일반 이용자용 앱뿐 아니라 BI 도구, 직원용 관리 시스템 등 관리·운영 측 시스템까지 확산됐다. JPCERT/CC는 공격 유형을 4가지 케이스(기존 취약점 스캔, API 악용, Metabase SQL 인젝션 CVE-2026-72898, WAR 파일 웹셸)로 정리했고, 한 보안기업은 동일 공격자가 약 40분간 326개 IP로 1,200건 이상 접속한 정황을 관측했다.
핵심 포인트
- 2026년 10월 7~9일 개인정보보호위원회·JPCERT/CC·국가사이버통괄실·IPA 등이 연쇄 주의보 발표
- JPCERT/CC가 4가지 공격 유형 제시: 기존 취약점 스캔, API 악용, Metabase SQL 인젝션(CVE-2026-72898), WAR 파일 웹셸
- Metabase 취약점은 8월 6일 공표, 8월 14일 JPCERT/CC 주의보, 제로데이 공격 확인
- 보안기업 관측: 동일 공격자가 약 40분간 326개 IP로 1,200건 이상 접속, IP당 접속 수가 적어 탐지 회피
- 금융청도 운전면허증 등 신분확인 서류 이미지 포함 고객정보 유출 사례 언급
향후 전망
- JPCERT/CC는 상황에 따라 정보를 추가 공개할 가능성을 시사
- IP별 접속량·도구 패턴에 의존한 기존 모니터링으로는 탐지가 어려워, API·권한 설계 재점검 필요성 부각