카카오픽코마, 日서 100만건 이메일 유출로 보안 도마에

카카오의 일본 웹툰 플랫폼 자회사 카카오픽코마가 외부 이메일 위탁 시스템 해킹으로 인해 100만 건이 넘는 이용자 이메일 주소를 유출당했다. 일본 앱 시장 전체 매출 1위를 달리고 있는 핵심 플랫폼에서 대규모 정보 유출 사고가 발생하며 현지 보안 신뢰도에 적지 않은 타격이 불가피해졌다.

24일 카카오픽코마 일본 공식 발표에 따르면 회사는 외부 이메일 발송 위탁 시스템 '블라스트메일(Blastmail)'에 대한 제3자의 해킹 공격으로 픽코마 이용자 이메일 주소 100만2404건이 외부로 유출된 사실을 파악했다.

유출된 정보는 픽코마의 이메일 매거진 수신을 위해 등록된 주소의 1회 발송분에 해당한다.

이번 사고는 블라스트메일 운영사인 일본 클라우드 서비스 기업 라쿠스라이트클라우드의 서버가 공격받으며 발생했다. 해당 업체는 지난 21일 0시 30분경 시스템에 대한 불법 접근을 감지하고 전체 서비스를 긴급 정지했다.

이 이메일 발송 위탁 시스템은 픽코마뿐만 아니라 일본 정부 부처와 주요 기업, 지자체들도 널리 사용 중이어서 현지에서 피해가 전방위로 확산하고 있다. 일례로 블라스트메일을 사용하는 일본 환경성은 공식 발표를 통해 "환경성 관련 복수의 이메일 매거진 발송에 이용하는 블라스트메일에서 제3자의 불법 접근이 발생해 발송처 정보가 유출됐을 가능성이 확인됐다"고 밝혔다. JR시코쿠, 요코하마시 등도 연달아 피해 가능성을 발표한 상태다.

카카오픽코마 측은 픽코마 앱이나 자체 웹 서비스가 직접 해킹된 것은 아니라고 선을 그었다. 고객의 이름이나 결제용 신용카드 정보, 비밀번호 등은 해당 위탁 시스템에 애초에 넘기지 않아 추가적인 유출 피해를 피했다.

카카오픽코마는 "현재 조사에서는 유출된 것은 이메일 주소뿐이며, 고객 식별 관리 번호나 최종 과금일 등의 정보는 포함되지 않은 것을 확인했다"고 설명했다.

회사는 사태 파악 직후 즉각 이메일 매거진 발송을 전면 중단했다. 아울러 해커가 당사를 사칭한 피싱 이메일을 보내는 것을 막기 위해, 블라스트메일 시스템에서 발송되는 메일이 픽코마 정식 메일로 취급되지 않도록 보안 설정을 변경했다.

또한 일본 개인정보보호위원회에 해당 사실을 공식적으로 보고했으며, 이메일 주소가 유출된 고객 100만여 명에게 개별 연락을 취하고 있다.

카카오픽코마는 2016년 일본 서비스 출시 이후 10주년을 맞은 올해, 시장조사업체 센서타워 집계 기준 2025년 일본 국내 모바일 앱 매출 종합 1위를 기록하는 등 압도적인 성장세를 보여왔다.

하지만 이번 대규모 정보 유출 사태로 인해 이용자들의 불안감이 커진 만큼 위탁사 관리 강화와 2차 범죄 예방 조치가 시급해졌다. 신속하고 투명한 사후 대처가 향후 플랫폼의 신뢰를 유지하는 데 핵심 과제로 남았다.