게임 켰는데 PC가 공격 통로로…'니케' 런처 변조, 한 달 넘게 몰랐다

[경제일보] 게임을 실행하는 공식 프로그램이 이용자 PC에 악성코드를 들여보내는 통로가 됐다. 시프트업의 ‘승리의 여신: 니케’ PC 런처 보안 사고와 관련해 운영사 레벨 인피니트가 악성 프로그램 유포 사실을 인정하고 사과했다. 운영사가 공개한 경과에 따르면 외부 파일이 변조된 뒤 이상을 알아채기까지 한 달 넘게 걸렸다.

레벨 인피니트는 5일 공식 커뮤니티에 사과문과 후속 조치 안내를 게시했다. 레벨 인피니트는 중국 텐센트의 글로벌 게임 퍼블리싱 브랜드로, 시프트업이 개발한 니케의 서비스를 맡고 있다.

이번 사고는 PC 런처가 외부에서 불러오는 자바스크립트 파일이 변조되면서 발생했다. 이용자가 정상적인 경로로 설치한 공식 런처를 실행하더라도 악성 프로그램에 노출될 수 있었던 것이다.

운영사 조사에 따르면 지난 9월 27일 오전 10시59분 게임 서비스에 사용하던 외부 도메인이 탈취됐다. 같은 날 오후 3시41분부터 콘텐츠전송네트워크(CDN)의 자바스크립트 파일 4개가 변조됐으며, 10월 30일 오전 3시52분부터 악성 프로그램 유포가 시작됐다. 시간은 모두 한국 기준이다.

운영사가 이상을 확인한 것은 11월 4일 0시께다. 오전 2시4분부터 2시23분까지 비정상 파일 3개를 교체했고, 낮 12시9분 나머지 파일의 CDN 캐시 갱신을 완료했다. 이후 정상 파일을 각 CDN 서버에 순차적으로 반영했다고 설명했다.

사고 초기에는 이용자와 독립 분석자들이 대응 정보를 공유했다. ‘마더스피어’라는 이름의 분석자는 깃허브에 변조 파일과 악성 프로그램의 작동 방식, 감염 흔적을 정리하고 PC 점검 도구를 공개했다. 커뮤니티에서도 로그 확인과 악성 파일 제거 방법이 확산했다.

이 분석에 따르면 악성 프로그램에는 원격 명령 실행과 파일 열람, 화면 캡처, 브라우저에 저장된 비밀번호·쿠키 등을 수집하는 기능이 포함됐다. 피해 위험이 게임 계정 밖으로 번질 수 있는 구조다. 실제 정보 유출 범위와 금전 피해 규모는 운영사가 조사 중이다.

공격 시점을 둘러싼 차이도 남아 있다. 운영사는 유포 시작일을 10월 30일로 밝혔지만, 마더스피어의 최신 분석에는 10월 23일 실행 흔적이 제보됐다는 내용이 담겼다. 해당 기록의 진위와 발생 경위에 따라 피해 조사 기간이 넓어질 수 있다.
 
레벨 인피니트는 5일 오전 8시부터 공식 PC 클라이언트에 이번 사고와 관련한 악성 프로그램 자동 검사·제거 기능을 추가했다. 크롬 등 실행 중인 브라우저를 모두 종료하고 클라이언트를 실행하면 검사가 진행된다. 악성 프로그램이 발견되면 안내에 따라 관련 파일과 등록 정보를 제거하도록 했다.

이미 게임을 삭제했거나 런처 실행을 원하지 않는 이용자를 위한 수동 점검 안내도 공식 커뮤니티에 게시했다. 운영사는 모바일 버전은 이번 사고의 영향을 받지 않았다고 밝혔다.

점검 권고 대상은 9월 27일 오후 3시41분 이후 PC 런처를 한 차례라도 실행한 이용자다. 운영사는 해당 PC에서 이용한 계정의 비밀번호를 바꾸고, 저장된 API 키와 액세스 토큰은 폐기한 뒤 재발급받도록 안내했다. 비밀번호 변경은 보안 점검을 마친 PC나 안전한 다른 기기에서 진행하도록 권고했다.

게임 밖 서비스의 계정 이상이나 금전 피해 신고도 공식 고객센터에서 접수한다. 운영사는 신고 내용을 조사해 대응 방안을 검토하고, 별도로 게임 내 사과 보상을 제공할 예정이다. 금전 피해에 대한 구체적인 배상 기준은 이번 공지에 제시하지 않았다.

공지 시점을 놓고도 비판이 나온다. 운영사는 4일 첫 안내에서 스크립트 파일이 제3자에 의해 변조됐을 가능성을 언급했다. 악성 프로그램 유포 사실과 상세 경과, 이용자 점검 방법을 공개한 것은 다음 날이었다.

레벨 인피니트는 CDN을 포함한 네트워크 환경을 재점검하고, 외부에서 불러오는 파일의 변조 여부를 검증하는 체계를 구축하겠다고 밝혔다. 런처의 기능별 권한도 필요한 최소 수준으로 줄일 계획이다.

회사는 “게임을 즐기기 위해 실행한 공식 프로그램이 오히려 이용자의 안전을 위협할 수 있었다는 것은 결코 있어서는 안 될 일”이라며 책임을 인정했다.