'4주년 악재' 맞은 시프트업...'니케' PC런처 해킹에 해외 커뮤니티 긴급 경고 잇따라

[포인트경제] 시프트업이 개발하고 중국 텐센트의 글로벌 게임 퍼블리싱 브랜드 레벨인피니트가 서비스하는 대표작 '승리의 여신: 니케(이하 니케)'의 공식 PC 런처가 해킹 공격에 악용된 정황이 드러나면서 파장이 확산하고 있다.

흥행 장기화와 4주년 이벤트로 한창 흥행몰이를 해야 할 시점에 유통사의 배포 인프라 관리 부실이 대형 보안 악재로 불거졌다는 지적이다.

런처만 틀어도 감염…공식 배포망이 '악성코드 창구'로 전락

4일 게임 업계 및 보안업계에 따르면, 독립 보안 연구자 '마더스피어(MotherSphere)'는 지난 3일 깃허브(GitHub)를 통해 니케 PC 런처 침해 사고에 관한 기술 분석 보고서를 전격 공개했다.

보고서에 따르면 공격자는 지난 9월 27일 레벨인피니트의 공식 CDN(콘텐츠전송네트워크) 서버에 등록된 자바스크립트(JS) 파일 4개를 변조했다. 해당 파일들은 이용자가 PC 런처를 가동할 때 자동으로 실행되는 핵심 구성 요소다. 공격자는 정상 파일에 외부 스크립트를 불러오는 명령어를 삽입해, 이용자가 런처를 실행하는 것만으로도 원격제어 프로그램(RAT)이 침투하도록 설계했다.

탈취 대상에는 웹 브라우저에 저장된 계정 정보와 비밀번호, 세션 쿠키, SSH 보안키, API 및 클라우드 인증 정보 등이 포함됐다. 특히 크롬 브라우저에 설치된 28종의 가상자산 지갑 확장 프로그램 데이터를 수집하는 정황까지 포착돼, 가상자산 보유 이용자들의 자산 탈취 우려마저 커진 상황이다.

장기간 변조 파일이 방치됐다는 점도 비판을 피하기 어렵다. 10월 24일 이후 런처를 실행한 이용자 대다수가 감염 위험 노출 대상으로 분류됐기 때문이다.

글로벌 팬 커뮤니티 경고 확산…'k2f_chan' 검색 등 임시 조치 공유

해외 팬 커뮤니티에서도 이용자 간 자발적인 경고와 임시 대응책 공유가 잇따르고 있다. 특히 글로벌 버추얼 유튜버 그룹 '홀로라이브' 멤버들의 니케 4주년 홍보 방송을 계기로 PC 버전을 설치한 이용자가 많았던 만큼, 레딧(Reddit) 등 관련 커뮤니티를 중심으로 감염 여부 확인법이 집중적으로 게시됐다.

유저들이 공유 중인 감염 확인 방법과 임시 대응 요령에 따르면, 먼저 PC 내 설치드라이브 로그 파일에서 'k2f_chan' 단어가 검색되면 감염이 의심된다.

이 경우 즉시 니케 런처를 종료하고 PC 인터넷 연결을 차단(랜선 제거 및 Wi-Fi 해제)해야 한다. 이후 감염되지 않은 스마트폰 등 별도 기기를 활용해 '이메일을 포함한 주요 계정 비밀번호 전체 변경', '모든 기기에서 로그아웃'을 실행하고 2단계 인증(2FA)을 활성화할 것을 권고하고 있다.

성장에 매몰된 기본 보안 프로세스...업계 전반 경각심 필요

이번 사태는 정상적인 퍼블리싱 인프라가 해커의 악성코드 유포 경로로 악용됐다는 점에서 게임업계 전체에 거센 파장을 일으키고 있다. 이에 따라 국내 주요 게임사들도 일제히 자체 보안 점검에 착수했다.

넥슨은 전사 차원의 긴급 보안 공지를 발령하고, 임직원 PC 내 해당 런처 즉시 삭제 및 보안팀 신고를 지시했다. 회사 내부 시스템으로의 2차 감염 가능성을 사전에 차단하겠다는 조치다. 크래프톤·넷마블·엔씨소프트 등도 상시 보안 정책 점검과 사내 계정 접속 통제를 강화하며 관련 여파를 예의주시하고 있다.

글로벌 플랫폼을 활용한 콘텐츠 유포 방식은 대형 퍼블리셔의 필수 인프라로 자리 잡았다. 그러나 이번 '니케' 런처 해킹 사고로 인프라 외주·위탁 관리의 허점이 명확히 드러난만큼, 외형적 성장에 몰두해 기본적 보안 프로세스를 소홀히 한 것은 아닌지 근본적인 점검이 필요한 시점이다.

시프트업과 레벨인피니트 측은 사고 파악 후인 4일 새벽 클라이언트 수정 조치를 진행하고, 실제 감염 여부 및 피해 규모 조사를 거쳐 후속 공지를 낼 것으로 알려졌다. 그러나 모바일 버전의 직접적 영향은 미확인 상태에, 배포 인프라 전체의 신뢰도가 실추되면서 유통사의 안일한 검증 시스템과 늑장 대응에 대한 비판을 피하긴 힘들 것으로 보인다.