플레이스테이션 네트워크(PSN) 계정에 관리자가 허가하지 않은 패밀리 멤버가 추가됐다는 피해 사례가 10월 6일 이후 잇따라 보고되고 있다. 일본 게임 매체 GAME Watch는 비밀번호나 2단계 인증을 회피한 것으로 보인다고 전했지만, 구체적인 경로와 피해 규모는 확인되지 않았다. 소니 인터랙티브 엔터테인먼트는 26일 오후 5시 30분 기준으로 이 문제에 대한 공식 발표를 내놓지 않았다.
현재까지 알려진 내용
GAME Watch는 26일 오후 4시 19분 기사에서, PSN에서 관리자의 허가 없이 패밀리 멤버가 추가되는 피해가 나오고 있다고 보도했다.
기사 제목은 'PSN에 새로운 취약점이 드러난 것인가'라는 의문형이다. 취약점의 존재 자체가 확정된 것은 아니라는 뜻이다.
보도에 따르면 피해 시점은 10월 6일 이후다. 피해를 본 계정에는 패밀리 멤버가 여러 명 추가돼 있었다고 한다.
이 매체가 소개한 사례에는 해외에서 접속한 것으로 보이는 정체불명의 자녀 멤버가 6명 추가된 화면도 있다.
추가된 멤버를 통해 신용카드 정보를 비롯한 개인정보가 빠져나갈 가능성이 있다는 우려도 함께 전해졌다.
다만 기사는 이를 확정 사실이 아니라 가능성으로 다루고 있다. 실제로 결제 정보가 유출됐다고 확인된 사례는 현재까지 찾지 못했다.
'2단계 인증 우회'는 아직 주장 단계
국내에서는 루리웹 콘솔 게시판에 같은 내용이 올라오며 알려졌다. 이 게시글도 출처로 GAME Watch 기사를 인용했다.
두 곳 모두 비밀번호나 2단계 인증을 우회해 멤버가 추가된 것으로 보인다고 전하지만, 어떤 방법이었는지는 밝히지 않았다.
피해 사례의 출발점은 X(옛 트위터)다. 25일 밤 9시 36분(한국시간)쯤 올라온 한 일본어 게시글은 자녀 계정 형태로 모르는 계정이 메인 계정에 만들어졌다며 피해를 호소했다.
이 게시글은 26일 오후 5시 30분쯤 확인한 시점에 좋아요 약 5,000건, 리포스트 약 4,100건, 조회수 약 123만 회를 기록했다.
일본 PlayStation 소식 계정 PlayStation INSIDE도 26일 새벽 소니에 대응을 촉구하는 장문의 글을 올렸다. 소니 공식 계정이 아니다.
이 글은 부정하게 추가된 자녀 계정을 관리자가 직접 삭제하지 못하는 점을 문제로 지적했다. 과거 보고된 취약점은 수정된 것으로 알려졌다는 서술도 있지만, 이 역시 근거가 제시되지 않은 주장이다.
이런 주장은 개별 이용자와 계정의 게시글이라 사실로 확인되지 않았다. 해킹 전문 매체나 소니의 별도 확인도 아직 찾을 수 없다.
게시글 댓글에서는 계정 정보 유출, 연결된 이메일 탈취 등 여러 추측이 오갔지만 이 역시 근거는 없다.
현재로서는 피해 건수, 영향을 받은 지역, 원인이 소니 측 결함인지 이용자 계정 정보 유출인지 모두 알 수 없는 상태다.
소니의 입장은 아직 없다
GAME Watch는 기사 시점에 소니 인터랙티브 엔터테인먼트가 이 건에 대해 정식 발표를 하지 않았다고 전했다.
기사 게재 이후에도 소니의 공식 성명이나 PlayStation 지원 페이지의 별도 공지는 확인되지 않는다. 영문권 주요 매체의 보도도 아직 찾지 못했다.
한 가지 눈에 띄는 대목은 소니의 기존 안내다. 소니 지원 페이지는 패밀리 관리자가 할 수 없는 일로 '자녀 멤버 삭제'를 명시한다. 페이지에는 자녀 멤버는 패밀리에서 삭제할 수 없다는 문구가 있다.
성인 멤버는 관리자가 계정 관리의 패밀리 관리 메뉴에서 패밀리 제외 방식으로 뺄 수 있다.
따라서 자녀 멤버 형태로 추가된 계정이 있다면 이용자가 직접 지울 수 없을 가능성이 있다. 이 경우 소니 지원에 문의해야 할 것으로 보인다.
이 부분이 이번 피해 사례에서 실제로 어떻게 처리되는지는 확인된 바 없다. 일부 이용자가 지원 문의 후 일정 보류 기간을 거쳐야 한다고 전하고 있으나, 개인 경험담일 뿐 소니가 확인한 절차는 아니다.
지금 확인해 볼 항목
GAME Watch가 안내한 PS5 확인 경로는 설정(톱니바퀴) → 사용자 및 계정 → 패밀리 → 패밀리 관리다. 모르는 멤버가 보이면 이상 징후다.
소니 공식 지원 문서가 안내하는 기본 보안 조치는 다음과 같다.
먼저 2단계 인증이다. 소니는 문자(SMS) 또는 인증 앱으로 휴대폰에서 고유 인증 코드를 받아 계정에 보안을 한 단계 더하는 기능이라고 안내한다. 비밀번호도 다른 서비스와 겹치지 않게 안전하게 관리하라고 권한다.
패스키 로그인도 소니가 공식 지원한다. 계정 관리의 보안 메뉴에서 '패스키로 로그인'을 켜고 패스키를 만들 수 있고, PS5에서는 설정 → 사용자 및 계정 → 계정 → 보안에서 설정한다.
다만 소니의 패스키 안내 페이지에는 2단계 인증이나 이번 피해와의 관련성에 대한 언급이 없다. 패스키가 이번 건을 막아 준다는 근거는 현재 없다.
계정이 탈취된 것으로 의심될 때는 소니 지원 문서가 이메일 계정의 비밀번호부터 바꾸라고 권한다. 이어 모든 기기에서 PlayStation 로그아웃, 콘솔 비활성화, 등록된 결제 수단 삭제를 안내한다.
모르는 멤버가 확인되면 소니 지원에 연락하고 신용카드 등 결제 정보를 지우라는 것이 GAME Watch와 루리웹 게시글의 공통 조언이다.
참고로 이번 건과 별개로, 소니 지원 담당자를 속여 계정 소유권을 넘겨받는 사회공학적 탈취 사례가 올해 5월부터 보도돼 왔다. 다만 이번 패밀리 멤버 추가 피해와 같은 수법인지는 확인되지 않았다.
앞으로 확인할 부분
이번 보도는 GAME Watch와 이를 인용한 커뮤니티 글, X 게시글에 의존하는 단일 계열 정보다. 해외 주요 매체나 소니의 확인이 나오기 전까지는 원인과 규모를 단정할 수 없다.
소니가 공식 입장을 내놓으면 원인이 소니 측 결함인지, 외부에서 유출된 계정 정보를 이용한 침입인지가 가장 먼저 가려질 전망이다.
자녀 계정을 관리자가 삭제할 수 없는 현행 규정이 이번 사례에서 어떻게 조정될지도 지켜볼 대목이다.
그때까지는 PSN 계정을 쓰는 이용자가 패밀리 관리 화면을 한 번 열어 보는 것만으로도 피해 여부를 가릴 수 있다.
