최근 시프트업의 인기게임 '승리의 여신: 니케'에서 발생한 보안 사고는 글로벌 게임산업이 직면한 새로운 위험을 드러냈다. 게임서비스에 사용되는 콘텐츠전송네트워크(CDN)의 자바스크립트 파일이 제3자에 의해 변조되면서 공식 PC 런처를 통해 악성 프로그램이 유포됐다. 이용자가 믿고 실행한 게임이 PC 보안을 위협하는 통로가 됐다.
사고는 게임을 직접 공격하는 대신 연결된 외부 시스템의 취약점을 파고든 '공급망 공격'이라는 점에서 주목된다. 지난 9월 말 관련 도메인 탈취 이후 악성 프로그램 유포가 시작됐지만 운영사가 이를 확인하고 추가 유포를 차단하기까지 상당한 시간이 걸렸다.
게임산업의 국경은 허물어졌다. 국내 게임을 해외 퍼블리셔가 서비스하고 여러 국가에 흩어진 스튜디오가 프로젝트를 공동 수행한다. 개발부터 배급, 업데이트, 운영에 이르기까지 다양한 기업과 시스템이 연결돼 있다. 글로벌 진출 효율성을 높인 구조가 역설적으로 보안의 취약점이 될 수 있다는 의미다.
하나의 공급망에서 발생한 문제가 국경을 넘어 수많은 이용자에게 영향을 미칠 수 있다. 개인정보나 게임 데이터 유출을 넘어 악성 프로그램이 이용자 PC에 침투하면 게임 외부의 계정 정보와 금융 자산까지 위협받을 수 있다.
게임사 입장에서도 위험은 막대하다. 국가마다 개인정보 보호와 사이버보안 관련 법률, 제재와 피해 보상 기준이 다르다. 하나의 사고가 여러 국가 규제와 소송으로 이어질 수 있다. 자칫 기업의 존립까지 위협할 수 있다.
게임 보안의 범위를 다시 생각해야 한다. 개발사가 직접 작성한 코드뿐 아니라 외부 퍼블리셔의 배포 시스템, CDN, 업데이트 서버, 협력사 개발 도구까지 공급망 전반을 살펴야 한다. 사고 발생 시 국가와 기업의 경계를 넘어 신속하게 대응할 수 있는 협력체계가 필요하다.
게임은 이용자가 자발적으로 설치하는 콘텐츠다. 그런 게임이 악성코드를 퍼뜨리는 통로가 되는 일만큼은 막아야 한다. 이번 사고가 게임산업 전체에 공급망 보안의 중요성을 일깨우는 계기가 되기를 바란다.
박정은 기자 jepark@etnews.com
