시프트업이 개발하고 레벨 인피니트가 서비스하는 '승리의 여신: 니케'의 PC 런처를 둘러싼 해킹 의혹이 11월 3일 밤부터 4일까지 이어졌고, 5일 0시 40분 현재도 조사가 진행 중이다. 발단은 보안 연구자 MotherSphere가 3일 GitHub에 공개한 보고서다. 레벨 인피니트 공식 CDN의 자바스크립트 파일 4개가 9월 27일 변조됐고, 런처를 실행한 PC에 원격 제어 프로그램이 설치될 수 있었다는 내용이다. 레벨 인피니트는 4일 'PC 런처 스크립트 파일이 제3자에 의해 변조됐을 가능성이 있는 이상 현상'을 확인했다며 클라이언트를 수정했다. 다만 실제 감염자 수와 정보 유출 여부는 확인되지 않았다. 이 글은 보고서 원문과 국내외 보도를 교차해, 11월 5일 0시 40분 기준으로 확인된 사실과 아직 불명확한 부분을 나눠 정리했다. 이용자가 지금 할 수 있는 조치는 니케 PC 런처 해킹 의혹 이용자 대응 가이드에 정리했다.
발단 — MotherSphere의 GitHub 보고서가 말하는 것
보고서는 GitHub의 공개 게시물(Gist)로 올라왔다. 제목은 'NIKKE PC launcher compromise'다. 게시물은 3일 협정세계시(UTC) 16시 57분에 만들어졌고, 이후 계속 갱신됐다. 한국 시간으로는 4일 오전 1시 57분이다. 5일 0시 40분에 확인한 본문의 마지막 갱신 표기는 4일 12시 11분(UTC), 한국 시간 4일 오후 9시 11분이다.
작성자는 이 보고서가 감염된 PC 한 대의 분석에 다른 피해자들이 댓글로 올린 제보를 더한 것이라고 밝혔다. 악성 프로그램은 실행하지 않고 정적으로 분석했다고 한다. 댓글 제보 가운데 직접 검증하지 못한 부분은 '보고됨'으로 따로 표시했다.
핵심 주장은 이렇다. 레벨 인피니트 CDN에 있는 공식 자바스크립트 파일 4개가 9월 27일에 수정됐다. 니케 PC 런처는 이 파일들을 불러온다. 그래서 런처를 켜면 외부 서버와 통신해 원격 제어 프로그램을 받아 실행할 수 있었다는 것이다.
국내 매체는 이 보고서를 4일 아침부터 보도하기 시작했다. 인벤은 오전 10시 23분, 전자신문은 11시 56분, 바이라인네트워크는 오후 5시 3분에 기사를 냈다. 인벤은 중국 커뮤니티 NGA에서 이상 징후가 먼저 언급됐다고 전했다.
보고서에 따르면 3일 16시 11분(UTC) 니케 커뮤니티 디스코드에 첫 공개 경고가 올라왔다. 이 시각도 한국 시간으로 4일 오전 1시 11분이다. 이 내용은 보고서 연표에 적힌 것이며, 디스코드 게시물을 따로 확인한 것은 아니다.
날짜가 엇갈리는 이유 — 9월 27일, 10월 23일, 10월 24일
보도마다 '언제부터 위험했는가'가 달라 독자가 혼란스러울 수 있다. 근거를 나눠 보면 이렇다.
9월 27일은 파일이 변조된 날짜다. 보고서는 CDN의 파일 4개가 9월 27일 협정세계시 6시 41~42분께 수정됐다고 적었다. 테크M은 이 날짜를 중심으로 '9월 27일경 변조'라고 보도했다.
10월 23일은 악성 프로그램이 실제로 실행된 정황의 시점이다. 보고서는 '늦어도 10월 23일부터' 런처를 열면 원격 제어 프로그램이 설치될 수 있었다고 썼다. 바이라인네트워크와 디지털데일리, 전자신문 등이 이 표현을 따랐다.
10월 24일이라는 보도도 있다. 아시아경제는 보고서 게시자가 '10월 24일 이후 런처를 실행한 모든 이용자'를 위험 대상으로 밝혔다고 전했다. MTN도 일부 PC에서 10월 24일부터 실행됐다고 썼고, 인벤은 '늦어도 10월 24일'이라고 전했다.
참고로 보고서 연표에 적힌 최초 실행 제보 시각은 10월 23일 16시 40분(UTC)이다. 이는 한국 시간으로 10월 24일 오전 1시 40분에 해당한다. 날짜 차이가 표기 기준 때문일 가능성도 있지만, 매체들이 어느 기준을 썼는지는 기사에 나와 있지 않다.
또 하나 짚어둘 점이 있다. 보고서는 악성 프로그램이 런처를 열 때마다 설치되는 것은 아니라고 설명한다. 한 PC에서는 약 19번 실행 중 3번만 설치됐다고 적었다. 그래서 '언제부터 감염됐나'와 '언제부터 노출될 수 있었나'는 서로 다른 질문이다.
이 글은 어느 날짜가 맞는지 확정하지 않는다. 9월 27일은 파일이 바뀐 시점, 10월 23~24일은 실행 정황이 보고된 시점이라는 보고서 구분만 전한다. 나머지는 공식 조사 결과를 기다려야 한다.
변조된 파일 수도 보도마다 다르다. 테크M은 파일 3개라고 썼고, 나머지 대부분은 4개라고 썼다. 보고서가 4개라고 밝혔으므로 이 글도 4개를 기준으로 쓴다.
영향 범위 — PC 런처가 대상, 스팀판은 확인되지 않는다
문제가 된 것은 니케의 PC 런처다. 보고서와 인벤은 모바일 앱은 분석 대상이 아니었다고 밝혔고, 디지털데일리도 모바일 영향 여부는 확인되지 않았다고 전했다.
런처 버전 번호는 보고서와 보도에서 확인되지 않았다. 문제의 파일은 런처가 불러오는 CDN 파일이라, 특정 버전이 아니라 실행 시점에 어떤 파일을 받았는지가 중요하다는 것이 보고서의 구조다.
스팀판 여부도 보도에서 확인되지 않는다. 이 글을 쓰는 시점에 스팀 스토어에서 '니케'를 검색하면 게임 본편은 나오지 않고, 스텔라 블레이드의 콜라보 추가 콘텐츠만 나온다. 즉 스팀으로 서비스하는 판본이 있는지 근거를 찾지 못했다.
리눅스와 스팀덱은 별개 문제다. 보고서는 윈도 호환 계층(Proton)으로 PC 런처를 실행하는 리눅스·스팀덱 환경도 위험하다고 적었다. 이는 스팀에서 파는 판본이 아니라, 공식 PC 런처를 그런 환경에서 돌리는 경우를 말한다.
보고서가 위험 대상으로 지목한 이용자는 이렇다. 늦어도 10월 23일부터 수정 전까지 PC 런처를 연 사람, 그리고 캐시나 오래된 CDN 서버 때문에 변조된 파일을 계속 불러온 사람이다.
악성 프로그램의 기능은 보고서와 보도에서 확인되는 범위만 짧게 옮긴다. 원격 명령 실행, 파일 열람, 화면 캡처, 브라우저에 저장된 비밀번호와 쿠키, 개발 도구 인증 정보, 암호화폐 지갑 관련 데이터 접근이 가능하다는 설명이다.
바이라인네트워크는 보고서가 '19종의 명령'을 설명한다고 전했다. 다만 보고서와 언론 모두 '이런 기능이 있다'는 분석이지, 실제로 어떤 정보가 빠져나갔다는 확인은 아니다. 전자신문과 MTN도 같은 취지로 썼다.
공식 대응 — 레벨 인피니트 "변조됐을 가능성", 시프트업 "경위 파악 중"
레벨 인피니트는 4일 공식 채널로 입장을 냈다. 국내 보도가 공통으로 옮긴 핵심 문장은 "PC 런처의 스크립트 파일이 제3자에 의해 변조됐을 가능성이 있는 이상 현상을 확인했다"는 것이다.
회사는 같은 날 오전 2시 30분께 클라이언트 수정과 업데이트를 진행했다고 밝혔다. 현재 영향 범위를 확인 중이며, 후속 조치는 별도 공지로 안내하겠다고 덧붙였다. 디지털데일리에 따르면 게임 이용 불편에 대한 사과도 포함됐다.
공지 게시 시각은 매체마다 다르게 적혀 있거나 아예 적혀 있지 않다. 테크M은 공식 커뮤니티에 'PC 런처 이상 상황 안내' 공지가 4일 오후 1시께 올라왔다고 전했다. 보고서는 레벨 인피니트가 공식 X 계정(@NIKKE_en)에 올린 글을 협정세계시 4일 3시 13분 게시로 기록했다. 한국 시간 낮 12시 13분이다.
보고서는 이 입장문이 파일 이름도, 악성 프로그램의 성격도 설명하지 않고 이용자에게 구체적인 행동 요령도 주지 않았다고 지적했다. 이 점은 보고서 작성자의 평가이며, 공지 원문 전체를 이 글에서 직접 확인하지는 못했다. 테크M은 이용자들이 '해킹'이 아닌 '이상 현상'이라는 표현을 쓴 데 반발하고, 피해 확인 뒤 12시간 넘게 구체적 후속 계획이 없었다고 비판했다고 전했다.
시프트업은 개발사로서 입장을 밝혔다. 바이라인네트워크는 시프트업이 '퍼블리셔인 레벨 인피니트를 통해 정확한 경위와 관련 상황을 파악하고 있다'고 했다고 전했다. 테크M은 시프트업이 레벨 인피니트에 내용을 확인 중이며, 피해 여부와 보상 등은 공식 채널로 알리겠다고 했다고 보도했다.
4일 오후에는 시프트업 김형태 대표가 직접 나섰다. 테크M은 김 대표가 4일 자신의 SNS 계정에 사과문을 올렸다고 전했다. 게시 시각은 기사에 나오지 않는다.
테크M이 옮긴 글에 따르면 김 대표는 지휘관들에게 '깊은 심려와 피해를 끼쳐 정말 죄송하다'고 했다. 또 레벨 인피니트와 협력해 근본적인 해결 방법을 찾고 있으며, 후속 조치도 준비 중이라고 밝혔다.
같은 기사는 이 사과가 퍼블리셔의 늑장 대응 비판 속에 나왔다고 평가했다. 이 글은 사과문 원문을 직접 확인하지 못했고 테크M 보도에 따랐다.
복구 상황은 보고서가 비교적 자세하다. 4개 파일 중 3개는 3일 17시 4~23분(UTC), 한국 시간으로 4일 오전 2시 4분~2시 23분 사이에 정상 파일로 교체됐다. 나머지 1개는 10월 28일 원본 서버에서는 정상 파일로 바뀌었지만, 일부 CDN 서버에는 변조본이 남아 있었다. 보고서에 따르면 확인한 CDN 서버 4곳이 모두 정상 파일을 내려준 것은 4일 협정세계시 3시 12~21분, 한국 시간 낮 12시 12~21분이다. 인벤은 4일 오전 7시 26분 기준으로 지역 배포 서버 두 곳이 변조본을 계속 내려주고 있었다고 전했다.
보고서는 4일 11시 20분(UTC, 한국 시간 오후 8시 20분) 확인한 CDN 서버 4곳에서 4개 파일이 모두 정상이었다고 적었다. 공격에 쓰인 외부 서버는 3일 협정세계시 18시 31분(한국 시간 4일 오전 3시 31분)에 보고서 작성자의 분석 환경에서 응답하지 않았다고 한다.
다만 서버 파일이 정상화됐다고 이미 감염된 PC가 저절로 깨끗해지는 것은 아니다. 보고서와 디지털데일리 모두 이 점을 강조했다. 보고서는 공식 안내 전까지 PC 런처 실행을 중단하라고 권고했다.
최초 침입 경로, 즉 CDN에 쓰기 권한이 어떻게 탈취됐는지는 아직 밝혀지지 않았다. 전자신문과 보고서가 같은 취지로 전한다.
업계 반응 — 넥슨은 '런처 삭제' 공지, 다른 게임사는 감시 강화
4일 오후에는 다른 게임사의 대응도 보도됐다. 먼저 밝혀둘 점이 있다. 넥슨 관련 내용은 MTN의 단독 보도에서 나왔고, 넥슨의 공식 입장은 이 글에서 확인하지 못했다.
MTN은 넥슨이 4일 계열사를 포함한 전사 임직원에게 긴급 보안 공지를 보냈다고 전했다. 사내 PC에 니케 PC 런처가 설치돼 있으면 삭제하고 보안팀에 넘기라는 내용이다. 이 단독 보도는 게임업계 관계자를 출처로 한다.
보안뉴스도 같은 내용을 전했지만 별도 출처를 밝히지 않았다. 따라서 넥슨 건은 사실상 MTN 한 곳이 출처인 단일 보도로 봐야 한다.
크래프톤과 넷마블에 대해서는 MTN과 보안뉴스의 서술이 조금 다르다. MTN은 크래프톤이 보안 조직을 통해 사안을 확인하고 조치할 방침이지만 별도의 추가 대응은 없는 것으로 파악됐다고 썼다. 크래프톤은 '사내 보안은 상시 정책에 따라 관리하고 있다'고 했다고 한다.
넷마블은 기존 정책에 따라 개인 이메일 계정의 게임 로그인을 제한하고 있고, 이번 사고와 관련한 별도 공지는 확인되지 않았다고 MTN은 전했다. 엔씨도 전사 차원의 별도 공지는 내리지 않은 것으로 파악됐다는 보도다. 반면 보안뉴스는 크래프톤과 넷마블이 사내 단말과 업무망 접속 모니터링을 강화했다고 서술했다.
같은 사안을 두고 보도가 엇갈리는 만큼, 어느 회사가 어떤 조치를 했는지는 각 회사의 공식 발표를 기다리는 것이 안전하다.
다른 게임으로 번질 수 있다는 우려도 나왔다. 레벨 인피니트는 '왕자영요'(Honor of Kings), '델타 포스', '배틀그라운드 모바일' 등을 서비스한다. 전자신문은 해외 커뮤니티에서 영향설이 퍼지고 있지만 다른 게임의 공식 파일에서 같은 악성코드가 발견됐다는 공개 근거는 확인되지 않는다고 전했다.
보고서도 '모든 텐센트 게임이 해킹됐다'는 목록은 근거 없는 익명 게시물에서 비롯됐고, 다른 런처가 같은 로더를 불러온 사례는 알려지지 않았다고 선을 그었다. 같은 CDN 호스트가 다른 레벨 인피니트 웹 서비스에도 쓰이지만, 공격자가 거기까지 닿았다는 증거는 없다는 설명이다.
게임메카는 크래프톤이 '배틀그라운드 모바일은 PC 버전이 없어 무관하다'는 입장이라고 전했다. MTN은 이 게임이 텐센트의 에뮬레이터로 PC에서도 즐길 수 있다고 짚으면서, 동일한 침해가 확인된 것은 아직 없다고 했다. 두 보도 모두 영향이 '확인되지 않았다'는 선에서 일치한다.
아직 확인되지 않은 것 — 피해 규모와 원인
5일 0시 40분 기준으로 확인되지 않은 것을 정리하면 이렇다.
감염자 수와 정보 유출 규모. 모든 보도가 '확인되지 않았다'고 쓴다. 보고서도 총 피해자 수는 알 수 없다고 적었다. 보고서에 담긴 일부 제보는 검증되지 않은 것이다.
실제로 무엇이 빠져나갔는가. 기능 설명은 있지만, 어떤 명령이 어느 PC에서 실행됐는지는 알 수 없다. 보고서는 런처 로그에 명령 기록이 남지 않아 피해자가 로그만으로 판단할 수 없다고 설명했다.
침입 경로. 공격자가 CDN에 어떻게 쓰기 권한을 얻었는지는 미상이다. 보고서는 이 접근이 닫히지 않으면 새 로더가 다시 올라올 수 있다고 지적했다.
공식 후속 조치. 레벨 인피니트는 영향 범위 조사와 후속 조치를 별도 공지로 안내하겠다고 했다. 이용자 보상이나 구체적인 대처 안내는 이 글을 쓰는 시점까지 확인된 공식 발표가 없다. 머니투데이(4일 오후 5시 45분)와 테크M(오후 5시 49분) 기사에도 보상 관련 내용은 없다.
공격 주체. 별도 분석 저장소(WormW)는 공격자 쪽 인프라의 등록 시점 등을 다룬다. 다만 누가 했는지는 확인된 바 없고, 이 글도 추정하지 않는다.
이번 사건은 게임 클라이언트 자체의 결함이 아니라 배포 인프라, 곧 공급망에서 시작됐다는 의혹이다. 보안뉴스는 이 점을 짚으며 소스 코드 빌드부터 CDN 배포까지 전 과정의 무결성 검증이 필요하다는 전문가 의견을 전했다.
최근 게임 이용자 정보를 둘러싼 보안 사고는 이어져 왔다. 밸브의 스팀 하드웨어 구매자 정보 유출이 물류사 해킹에서 비롯됐고, PSN 2단계 인증 우회 피해는 계정 단계에서 불거졌다. 이번 사건은 이용자 PC에 들어가는 런처라는 점에서 결이 다르다.
'니케'는 '페르소나' 콜라보 등으로 화제를 모아 왔고, 인벤에 따르면 10월 29일에는 글로벌 4주년 업데이트가 있었고, 의심 파일은 업데이트가 아니라 PC 런처가 불러오는 파일에서만 발견됐다. 이 사건이 서비스에 어떤 영향을 줄지는 아직 알 수 없다.
이 글은 11월 5일 0시 40분 기준이며, 공식 공지와 보고서가 계속 갱신되고 있다. 이 시각까지 4일 밤 이후 레벨 인피니트나 시프트업의 새 공식 공지를 담은 국내 보도는 찾지 못했다. 최신 내용은 레벨 인피니트의 공식 공지와 보고서 원문을 확인하길 권한다.
