▲승리의 여신 니케 PC 런처 다운로드 페이지.
인기 게임 '승리의 여신: 니케'(이하 '니케')에서 공식 PC 런처를 통한 악성코드 유포 사고가 발생했다. 이용자가 정상적인 경로로 게임을 실행하고도 PC 감염 위험에 노출됐다는 점에서 게임업계 전반의 보안 관리 체계에 경고등이 켜졌다. 운영사의 늑장 대응과 미흡한 보상안도 도마 위에 올랐다.
◇ 게임업계로 번진 해킹 공포…인기 게임 '니케'에 무슨 일?
'니케'는 2022년 출시된 건슈팅 액션 역할수행게임(RPG)이다. 국내 게임사 시프트업이 개발하고 중국 텐센트 산하 게임 퍼블리싱 브랜드 레벨 인피니트가 서비스한다. 글로벌 누적 다운로드 수는 4500만건에 달한다.
업계에 따르면 '니케'의 보안 사고는 지난 9월 27일 시작됐다. 일부 게임 서비스에 활용되던 외부 도메인이 제3자에게 탈취됐고, 이를 통해 니케 PC 런처가 불러오는 공식 CDN의 자바스크립트 파일 4개가 변조됐다. 정상적인 게임 실행 과정에서 외부의 악성 코드가 작동할 수 있는 환경이 만들어진 것이다.
실제 악성 프로그램 배포는 10월 30일부터 시작됐다. 변조된 스크립트를 통해 이용자 PC에 악성 프로그램이 내려받아지면서 계정 정보와 브라우저에 저장된 인증 정보 등이 탈취될 위험에 노출됐다.
문제가 외부에 알려진 것은 이달 3일 전후다. 게임 커뮤니티에서 관련 의혹이 제기된 데 이어 보안 연구자가 깃허브에 PC 런처의 스크립트 변조 과정과 악성코드 유포 경로를 분석한 기술 보고서를 공개했다. 이후 국내외 게임·보안 매체가 잇따라 보도하면서 논란이 확산했다.
레벨 인피니트는 4일 런처 스크립트의 이상을 확인하고 조사와 대응에 착수했다. 비정상 스크립트 3개를 교체하고 나머지 1개와 관련된 CDN 캐시 갱신을 진행해 추가 유포를 차단했다. 같은 날 문제를 인정하는 첫 공지를 냈고, 5일에는 공식 사과문과 함께 후속 조치를 발표했다.
◇ 공급망 공격에 게임업계 경각심 고조
이번 사고가 게임업계에 충격을 준 것은 단순한 계정 정보 유출이 아니라 게임을 배포하고 실행하는 공급망 자체가 공격 경로로 악용됐다는 점 때문이다. 이용자가 공식 런처를 이용하더라도 외부에서 불러오는 파일이 변조되면 악성코드 감염으로 이어질 수 있다.
이번에 배포된 악성프로그램은 공격자가 이용자 PC를 원격으로 제어할 수 있는 기능을 갖춘 것으로 분석됐다. 이 경우 공격자는 이용자의 웹 브라우저에 저장된 계정 정보나 API 키, 토큰, 암호화폐 지갑 데이터를 탈취할 수 있다. 이용자 입장에서는 정상적인 경로로 게임을 설치하고 실행했을 뿐인데도, 안전을 보장하기 어려워진 셈이다.
특히 레벨 인피니트는 니케 외에도 크래프톤의 '배틀그라운드 모바일', '델타 포스' 등 여러 게임을 서비스하고 있다. 현재까지 다른 게임에서 추가 피해가 확인된 것은 아니지만, 동일한 서비스 인프라를 이용하는 게임이 많다는 점에서 업계 전반의 보안 점검 필요성이 커졌다.
업계에서는 보안 사고 자체를 완전히 막기 어렵더라도 이상 징후를 얼마나 신속하게 파악하고 이용자에게 알리느냐가 중요하다고 지적한다.
한 게임업계 관계자는 “해킹이나 보안 관련 이슈는 발견하는 즉시 공지하고 조치하는 게 핵심"이라며 “악성 프로그램 배포 후 나흘이나 지났고 그 사이 여론이 빠르게 악화했는데, 그에 비해 레벨 인피니트의 대응이 너무 늦었던 것 아닌가 싶다"고 말했다. 이어 “요즘은 인공지능(AI) 때문에 보안 이슈가 더 심각해지고 있다"며 “모든 게임사가 해킹이나 보안 이슈에서 자유로울 수는 없을 것"이라고 덧붙였다.
◇ PC 전체 포맷까지 했는데 인게임 보상으로 '퉁치기'
이용자 보상안도 논란이다. 레벨 인피니트는 사과와 함께 게임 내에서 사용할 수 있는 주얼, 고급 모집 티켓, 그로우 세트, 커스텀 모듈, 모듈 더블 하이 부스트 등을 지급했다. 그러나 이번 사고로 이용자 PC와 외부 계정까지 위험에 노출됐을 가능성이 제기된 상황에서 게임 내 아이템 중심의 보상이 적절하냐는 지적이 나온다. 게임 플레이와 직접 관련이 없는 PC 보안 점검, 계정 보호 등에 이용자가 직접 시간과 노력을 들여야 한다는 점도 불만 요인이다.
이철우 게임이용자협회 회장(변호사)은 “공식 런처의 배포·업데이트 과정에 보안 관리상 과실이 있고 그로 인해 이용자에게 손해가 발생했다면 운영사를 상대로 계약 위반이나 불법행위에 따른 손해배상을 청구할 수 있다"며 “정보통신망법은 침해사고 발생 시 피해 확산 방지와 신속한 피해 구제에 필요한 조치를 요구하므로 이러한 대응 의무가 제대로 이행되지 않아 발생한 손해에 대해서도 배상 책임이 발생할 수 있다"고 설명했다.
실제 재산상 손해가 발생하지 않았더라도 정신적 손해에 대한 배상 가능성도 존재한다.
이 회장은 “법원은 인터파크와 카드사 개인정보 유출 사건 등에서 개인정보 유출 사실 자체가 불안감과 두려움 등 정신적 손해를 야기할 수 있다고 보고 위자료 책임을 인정한 판례가 있다"며 “쿠팡과 SK텔레콤에 대해 소비자분쟁조정위원회가 위자료 배상 책임을 인정하는 조정안을 의결한 것도 같은 맥락"이라고 말했다. 다만 “손해배상이나 위자료 배상 등이 인정되려면 시프트업이나 레벨 인피니트의 고의 또는 과실이 전제돼야 한다"며 “명확한 피해 범위와 과실 여부가 밝혀질 때까지 지켜볼 필요가 있다"고 덧붙였다.
아이러니하게도 '니케'는 사고 여파에도 4주년 업데이트 효과에 힘입어 국내 모바일 게임 매출 1위에 오르는 등 흥행을 이어갔다. 다만 게임의 인기와 별개로 이번 사고가 이용자 신뢰에 남긴 상처를 해소하는 데는 상당한 시간이 필요할 것으로 보인다.
;){kind=link}