카카오게임즈 해킹, 140명 정보 유출…식별코드라서 괜찮을까

무슨 일이 있었나

카카오게임즈가 외부의 비정상적인 접근으로 일부 이용자의 개인정보가 유출된 사실을 공개하고 사과했다. 회사 설명에 따르면 9월 13일 비정상 접근을 확인했고, 조사 과정에서 14일 오전 0시 50분에 실제 개인정보 유출이 있었다는 점을 파악했다.

현재까지 확인된 유출 규모는 이용자 140명이다. 유출 항목은 서비스별로 다르다. 개발사·파트너 대상 서비스인 '파트너스'에서는 외부 연동용 타사 식별코드 또는 타사 아이디가, 광고·마케팅 관련 서비스인 'RINK'에서는 카카오게임즈 자체 식별코드와 일부 국가코드가 빠져나갔다. 회사는 이름, 주소, 성별 같은 민감도가 높은 항목의 유출은 확인되지 않았다고 밝혔다.

사고 인지 후 취한 조치로는 비정상 외부 접근 경로 및 관련 계정 차단, 해당 시스템의 추가 접근 차단과 보안 강화, 로그·증거자료 확보, 취약점 점검과 보완, 추가 유출 여부 조사 등이 제시됐다. 회사는 관계기관에도 신고를 진행하며 정확한 피해 범위를 계속 조사 중이라는 입장이다.

왜 '식별코드 유출'을 가볍게 볼 수 없나

카카오게임즈는 유출된 정보가 식별코드·국가코드 등 그 자체로는 특정 개인을 알아보기 어려운 항목이어서 악용 가능성이 낮다고 설명했다. 기술적으로 틀린 말은 아니다. 식별코드는 서비스 내부에서 계정을 구분하기 위한 값이고, 비밀번호나 결제정보처럼 곧바로 금전적 피해로 이어지는 데이터와는 성격이 다르다.

다만 쟁점은 유출 항목보다 침입 경로다. 140명이라는 숫자는 '현재까지 확인된' 범위이고, 회사 스스로 추가 유출 여부를 조사하고 있다고 밝힌 상태다. 외부에서 파트너스와 RINK라는 두 개의 서로 다른 시스템에 접근한 흔적이 나타났다는 점은, 단일 계정 하나가 뚫린 것 이상의 문제일 가능성을 배제하기 어렵게 만든다. 과거 국내 플랫폼 사고들에서도 초기 발표 규모가 조사 진행에 따라 늘어난 사례가 반복돼 왔기 때문에, 최종 결론은 관계기관 조사 결과를 기다리는 편이 맞다.

또 하나 눈여겨볼 지점은 유출된 정보가 일반 이용자가 아닌 파트너 계정 영역에서 나왔다는 것이다. 파트너스는 게임 개발사·사업 파트너가 쓰는 백오피스 성격의 서비스다. 이런 영역은 이용자 수는 적지만 계정 하나가 다루는 권한과 데이터의 범위가 넓어, 공격자 입장에서는 효율이 높은 표적이다. 최근 몇 년간 국내외에서 늘어난 공급망(서드파티) 침해 흐름과 맞물려 읽힐 수 있는 부분이다.

이용자는 무엇을 해야 하나

카카오게임즈가 공지에서 강조한 대응은 명확하다. 사칭 연락에 대한 주의다. 이름이나 연락처가 직접 유출되지 않았더라도, 공격자는 확보한 식별 정보를 근거로 "고객센터입니다", "보상 지급 안내입니다" 같은 방식으로 접근해 추가 정보를 캐낼 수 있다. 이른바 스피어 피싱의 전형적인 수법이다.

따라서 실질적인 자기방어는 세 가지로 좁혀진다. 첫째, 카카오게임즈나 게임 운영을 사칭해 계정·인증번호·결제정보를 요구하는 연락은 응하지 않는 것. 둘째, 공식 공지는 회사 홈페이지나 게임 내 공지로 직접 확인하는 것. 셋째, 다른 서비스와 같은 비밀번호를 쓰고 있다면 이번 사고와 무관하게 분리하고 2단계 인증을 켜두는 것이다.

업계 관점에서의 함의

게임사는 계정·결제·광고 식별자가 한데 모이는 구조라 침해가 발생했을 때 파급 경로가 여러 갈래로 뻗는다. 이번 사고처럼 유출 항목이 제한적인 경우에도 회사가 초기 공개와 조치 내역을 구체적으로 밝히는 방식은 평가할 만하다. 유출 시점(14일 0시 50분)과 항목을 서비스별로 구분해 공개한 것은, 이용자가 자기 위험 수준을 판단하는 데 필요한 최소 정보를 제공한 셈이다.

반대로 앞으로의 신뢰는 후속 발표에 달려 있다. 침입 경로가 무엇이었는지, 140명이라는 숫자가 최종 규모인지, 파트너 계정 권한 관리에 어떤 구조적 보완이 이뤄지는지가 공개되지 않으면 "비중요 정보였다"는 설명만으로는 부족하다는 지적이 나올 수 있다.