일본 대형 택배회사 사가와큐빙(佐川急便)이 자사 배송 조회 서비스에 대한 외부의 부정 접근으로 최대 약 5,323만 건의 개인정보가 유출됐을 가능성이 있다고 발표했습니다. 대상에는 택배를 보낸 사람과 받은 사람의 이름, 주소, 전화번호 등이 포함돼 있는데요. 직접 회원으로 가입하지 않았더라도 배송 과정에서 자신의 정보가 기록됐을 수 있다는 점에서 관심이 커지고 있습니다.
사가와큐빙은 2026년 9월 30일 부정 접근을 확인했고, 10월 1일 개인정보 유출 가능성을 알렸습니다. 이후 조사를 진행해 10월 23일 제5차 안내에서 최대 추정 건수를 공개했습니다. 다만 이 수치는 실제 피해자 수나 유출이 확정된 정보의 개수를 의미하지 않습니다.
5,323만 건은 5,323만 명이 아닙니다
회사가 발표한 최대 약 5,323만 건에는 동일 인물의 정보가 여러 번 들어간 중복 기록이 포함돼 있습니다. 택배를 여러 차례 보냈거나 같은 주소로 반복해서 물건을 받은 경우에도 각각의 배송 기록이 남을 수 있죠. 회사는 일부 중복을 정리했지만, 여전히 상당한 중복이 남아 있다고 설명했습니다.
따라서 5,323만 명의 개인정보가 유출됐다고 단정하는 것은 정확하지 않습니다. 실제 대상 인원과 유출 범위는 외부 전문기관과 함께 조사하고 있습니다. 또한 이번에 발표된 수치는 유출됐을 가능성이 있는 정보의 최대치로, 모든 정보가 외부에 반출됐다고 확정된 결과도 아닙니다.
어떤 택배 정보가 대상에 포함됐나
첫 번째는 2026년 6월 21일부터 9월 30일까지 약 100일 동안 취급한 택배의 송장 데이터입니다. 발송인과 수령인의 이름, 주소, 전화번호가 대상에 포함될 가능성이 있습니다. 택배를 받기만 한 사람의 정보도 송장에 기록되기 때문에, 사가와급편 회원인지 여부만으로 대상에서 제외된다고 볼 수는 없습니다.
두 번째는 사가와큐빙과 운임 계약을 맺은 고객의 계약자 정보로, 이름과 주소, 전화번호 등이 해당합니다. 세 번째는 웹 회원 서비스인 ‘스마트클럽’에 등록한 이용자의 이름, 주소, 전화번호, 이메일 주소와 회원 ID입니다.
반면 회사는 신용카드 정보와 비밀번호는 이번 유출 가능성이 있는 정보에 포함되지 않았다고 밝혔습니다. 손으로 작성한 송장으로 접수한 택배 정보도 이번 조사 대상에 포함되지 않는다고 설명했습니다.
배송 조회 서비스는 재개됐지만 일부 기능은 중단
부정 접근을 확인한 사가와큐빙은 피해 확대를 막기 위해 외부 접근을 차단하고 배송 관련 웹 서비스 일부를 중단했습니다. 이후 시스템 점검과 보안 조치를 진행해 10월 23일부터 웹사이트의 ‘인터넷 화물 배송 조회’ 기능을 재개했습니다.
다만 모든 서비스가 정상화된 것은 아닙니다. 배송 조회 API, 일부 택배 접수 서비스, 배송 전후 수령지 변경 기능 등은 10월 23일 발표 당시에도 중단 상태였습니다. 이용자가 필요한 기능이 실제로 재개됐는지는 회사의 최신 공지를 확인하는 것이 안전합니다.
서비스 재개는 회사가 해당 기능의 보안 점검을 마쳤다는 뜻이지만, 과거에 정보가 유출됐는지에 관한 조사가 모두 끝났다는 의미는 아닙니다.
주소와 전화번호가 왜 위험할까
배송 정보는 일상적인 연락처처럼 보이지만, 이름과 주소, 전화번호가 함께 있으면 특정 사람을 겨냥한 사기 시도에 악용될 가능성이 있습니다. 예를 들어 실제 택배회사 이름을 내세워 배송지 확인, 부재중 재배달, 추가 요금 결제를 요구하는 문자나 전화를 보낼 수 있습니다.
특히 택배를 기다리는 사람은 배송 관련 안내를 자연스럽게 받아들이기 쉽습니다. 그러나 이번 사건 때문에 실제로 이런 사기가 발생했다고 확인된 것은 아닙니다. 사가와큐빙은 10월 23일 발표 시점까지 이번 사고와 관련된 개인정보 부정 이용 등의 2차 피해를 확인하지 못했다고 밝혔습니다.
택배 이용자는 어떻게 대응해야 할까
사가와큐빙을 이용했거나 최근 해당 회사의 배송을 받은 사람이라면, 회사 이름을 내세운 문자와 이메일을 평소보다 신중하게 확인할 필요가 있습니다. 배송지 변경이나 결제 정보를 요구하는 링크가 오더라도 메시지 안의 주소를 바로 누르지 말고, 직접 공식 홈페이지나 공식 앱에 접속해 확인하는 편이 안전합니다.
전화로 비밀번호나 인증번호를 요구하거나 급하게 결제를 재촉한다면 특히 주의해야 합니다. 이번 사고에서 비밀번호 유출은 대상에 포함되지 않았다고 발표됐으므로, 이를 이유로 외부 사이트에서 비밀번호를 입력하도록 유도하는 안내도 의심해 볼 필요가 있습니다.
회사는 대상 고객에게 순차적으로 안내하겠다고 밝혔습니다. 아직 연락을 받지 않았다는 이유만으로 자신의 정보가 대상이 아니라고 확정할 수는 없습니다.
앞으로 확인해야 할 부분
이번 사건의 핵심은 대규모 개인정보가 실제로 얼마나 유출됐는지, 중복을 제외한 대상 인원이 몇 명인지, 정보가 악용된 사례가 나타나는지입니다. 사가와급편은 외부 전문기관의 협조를 받아 조사와 보안 대책을 계속 진행하고 있습니다.
10월 23일 기준으로 확인된 사실은 최대 약 5,323만 건의 정보가 유출됐을 가능성이 있으며, 그중 상당수가 중복 기록이라는 점입니다. 실제 유출 규모나 2차 피해를 확정적으로 표현하기보다 회사의 추가 조사 결과를 지켜봐야 합니다. 택배 이용자에게는 자신의 배송 정보를 활용한 연락이 진짜인지 확인하는 습관이 무엇보다 중요합니다.
참고 자료: 사가와큐빙 · INTERNET Watch · TBS
