일본 통신기업 KDDI가 자사 ISP(Internet Service Provider, 인터넷 공급자)용 이메일 시스템이 해킹 공격을 받은 사실을 공개하면서 최대 1422만건의 고객 이메일 주소와 비밀번호가 외부로 유출됐을 가능성이 제기됐다. KDDI는 이달 17일 침해 사실을 확인한 직후 공격을 차단하고 시스템을 개정했으며, 조사 결과 익명의 제삼자 소프트웨어 취약점이 악용된 것으로 드러났다.

미국 IT 매체 블리핑컴퓨터에 따르면 이번 사고는 KDDI가 여러 인터넷 서비스 제공업체에 공동 제공하던 이메일 플랫폼이 공격받으면서 피해가 확산된 구조적 문제도 드러냈다. 해당 플랫폼을 사용하는 STNet, JCOM, Chubu Telecommunications, NIFTY, BIGLOBE 등 5개 ISP의 이메일 서비스가 영향을 받았다. 또 현재·과거 고객뿐 아니라 장기간 사용되지 않은 휴면 계정까지 포함해 최대 1422만개의 계정 정보가 노출됐을 가능성이 있다. 일부 비밀번호는 해시 처리 또는 암호화된 형태로 저장돼 있었지만, KDDI는 암호화 방식이나 평문 저장 비율은 공개하지 않았다.

KDDI는 일본 개인정보보호위원회와 총무성에 사고 사실을 즉시 보고했으며, 각 ISP와 협력해 추가 보안 조치를 시행 중이다. 회사 측은 기술적 방어 조치를 완료했지만, 고객 정보가 이미 제삼자에게 넘어갔을 가능성을 배제할 수 없다며 비밀번호 변경을 강력히 권고했다. 또 2단계 인증(2FA)을 지원하는 서비스라면 즉시 활성화해 계정 탈취 위험을 줄여야 한다고 강조했다.

KDDI는 일본 최대 규모의 통신·ISP 기업 중 하나로, 약 4만5000명의 직원을 채용하고 있으며, 연매출이 324억 달러(한화 약 50조1292억8000만원) 규모의 연 매출을 보유한 공기업이다. 이번 사건은 단일 취약점이 여러 ISP 고객에게 연쇄적으로 피해를 줄 수 있음을 보여주는 대표적 사례로 평가되고 있다. KDDI는 아직까지 일본 개인정보위의 조사가 진행 중이라고 밝혔다.