일본 신칸센 온라인 예약 서비스에서 회원정보가 외부로 유출된 사실이 알려지면서 이용자들의 주의가 요구되고 있습니다. 2026년 10월 26일 JR도카이·JR서일본·JR규슈는 공동 발표를 통해 ‘스마트EX’와 ‘익스프레스 예약’ 일부 회원의 개인정보가 외부 이메일 발송업체를 거쳐 유출됐다고 밝혔습니다.
일본 방송은 관련 회원정보를 약 17만 건으로 보도했습니다. 같은 날 외부 서비스 제공업체에서는 누적 5,162만 건이 넘는 데이터 유출이 확인됐는데요. 두 숫자는 서로 다른 범위를 가리킵니다. 신칸센 예약 시스템이 직접 해킹됐다는 뜻도 아닙니다.
어떤 신칸센 예약 서비스가 영향을 받았을까
이번에 이름이 공개된 서비스는 ‘스마트EX(スマートEX)’와 ‘익스프레스 예약(エクスプレス予約)’입니다. 일본 도카이도·산요·규슈 신칸센의 온라인 예약에 이용되는 서비스로, 일본 국내 이용자뿐 아니라 여행객에게도 익숙한 이름이죠.
JR 3사의 공식 설명에 따르면 문제가 발생한 곳은 예약 시스템 본체가 아닌 회원 대상 안내 이메일을 발송하는 외부 서비스입니다. 운영사는 유미르링크이며, JR 측은 이 회사가 제공하는 ‘Cuenote FC’를 일부 이메일 발송에 사용해 왔습니다.
특히 판촉 안내 메일이나 구마모토 지진의 영향으로 열차 출발 시각이 바뀌었다는 알림 등을 이 서비스를 통해 받은 회원이 영향 대상에 포함될 수 있습니다. 따라서 두 예약 서비스에 가입했다고 해서 모든 회원의 정보가 유출됐다고 볼 수는 없습니다.
10월 16일에는 영향이 없다고 했지만
JR 3사가 공개한 경위에 따르면 유미르링크는 10월 16일 불법적인 시스템 접근 사실을 확인했습니다. 당시에는 스마트EX와 익스프레스 예약 이용자에게 영향이 없다는 설명이 전달됐습니다.
하지만 추가 조사 결과가 달라졌습니다. 10월 26일에는 일부 회원정보가 제삼자에게 열람되거나 취득됐다는 통보가 JR 측에 전달됐는데요. JR 3사는 이날 관련 사실을 발표하고 사과했습니다.
현재까지 JR도카이가 보유한 예약 시스템 자체에서 개인정보가 유출된 사실은 확인되지 않았습니다. 이는 외부 위탁업체의 보안 사고가 철도회사 이용자에게 영향을 미친 사례로 이해해야 합니다. 공격자의 신원이나 구체적인 범행 목적은 이번 공식 발표만으로 확정할 수 없습니다.
약 17만 건과 5,162만 건은 무엇이 다를까
CBC방송 등 일본 언론은 JR 3사 관련 회원정보 유출 규모를 약 17만 건으로 전했습니다. 그러나 10월 26일자 JR 3사 공동 발표문에서 대상 건수는 ‘유미르링크가 확인 중’이라고 적혀 있습니다. 따라서 약 17만 건은 보도 수치이며 공식 확정치와 구별해야 합니다.
한편 유미르링크가 발표한 누적 5,162만 8,280건은 회사의 이메일 발송 서비스에서 확인된 데이터 규모입니다. 철도 예약 서비스뿐 아니라 여러 기업과 기관이 이용하는 시스템의 정보가 포함된 수치이죠.
또한 이 숫자는 사람 수가 아니라 중복이 있을 수 있는 데이터 건수입니다. 5,162만 명의 신칸센 이용자가 피해를 봤다는 의미로 받아들이면 안 됩니다. 조사 중인 시스템이 남아 있어 전체 규모와 세부 영향 범위는 추가 발표를 확인할 필요가 있습니다.
유출된 정보와 포함되지 않은 정보
JR 3사는 유출된 항목을 이메일 주소, 회원 ID, 가타카나로 적힌 이름, 회원 구분이라고 설명했습니다. 반면 다른 형태의 성명, 생년월일, 주소, 전화번호, 신용카드 번호와 유효기간 등은 이번 유출 대상이 아니라고 밝혔습니다.
신용카드 번호가 유출되지 않았다는 점은 중요하지만, 이메일 주소와 회원 ID만으로도 사칭 메일이나 피싱 공격에 악용될 위험을 경계해야 합니다. 실제로 특정 회원에게 피싱 피해가 발생했다는 사실까지 이번 발표에서 확인된 것은 아닙니다.
JR 3사는 문제가 발생한 이메일 발송 서비스의 사용을 즉시 중단했으며, 일본 개인정보보호위원회에 보고했습니다. 영향 대상 회원에게는 이메일 등 적절한 방법으로 개별 연락할 예정이라고 안내했습니다.
일본 신칸센 예약 이용자가 주의할 점
스마트EX나 익스프레스 예약을 이용한 경험이 있다면 예약 변경, 환불, 계정 확인 등을 요구하는 이메일을 특히 주의해서 살펴보는 것이 좋습니다. 메시지에 적힌 링크를 곧바로 누르기보다 직접 저장한 공식 웹사이트나 앱에 접속해 내용을 확인하는 편이 안전합니다.
비밀번호나 카드정보 입력을 요구하는 메일을 받더라도 발신자 표시만 보고 신뢰해서는 안 됩니다. 같은 비밀번호를 다른 사이트에서도 사용하고 있다면 변경을 검토하고, 이용 가능한 추가 인증 기능을 활용하는 것이 도움이 됩니다.
이번 사고는 예약 시스템의 직접 침해가 확인되지 않았더라도, 외부 업무 위탁 과정에서 회원정보가 노출될 수 있음을 보여줍니다. 피해 규모와 유출 항목은 각 회사의 공식 후속 발표를 기준으로 확인하는 것이 중요합니다.
참고 자료: JR도카이 · TBS NEWS
