호주 게임 스튜디오, 랜섬웨어 유출 사건에 이름 올라

애들레이드에 본사를 둔 게임 개발사 마이티 킹덤(Mighty Kingdom)이 디어울프(Direwolf) 랜섬웨어 그룹의 피해자로 지목되었다고 해당 사건 보도가 전했다. 이 그룹은 8월 17일 스튜디오에서 260개 이상의 코드 저장소를 유출했다고 주장한다. 대부분의 랜섬웨어 공개 사례처럼, 이 주장은 먼저 그룹의 유출 사이트에 게재되었으며, 이는 피해자들이 도난당한 데이터가 공개되거나 판매되기 전에 몸값을 지불하도록 압박하는 일반적인 전술이다.

마이티 킹덤은 호주에서 손꼽히는 규모의 독립 게임 개발사 중 하나로, 이번 규모의 침해 사고는 단일 기업의 내부 IT 문제를 넘어서는 의문을 제기한다. 게임 스튜디오의 소스 코드 저장소가 침해되면 그 여파는 플레이어, 파트너, 직원 모두에게 영향을 미칠 수 있으며, 설령 그들의 개인 데이터가 처음부터 주요 표적이 아니었다 하더라도 마찬가지다.

소스 코드 탈취가 일반적인 데이터 침해와 다른 이유

대부분의 이목을 끄는 침해 사고는 고객 기록(이름, 이메일, 결제 정보)과 관련된 경우가 많다. 소스 코드 침해는 다른 유형이지만, 그 심각성은 결코 덜하지 않다. 코드 저장소에는 게임 로직보다 훨씬 더 많은 것이 포함되는 경우가 많다. 여기에는 임베디드 자격 증명, API 키, 내부 문서, 빌드 파이프라인, 그리고 때로는 본인의 이름으로 코드를 커밋한 직원이나 계약자의 개인 데이터가 포함될 수 있다.

디어울프 그룹의 주장이 정확하다면, 260개 이상의 저장소 노출은 공격자에게 마이티 킹덤 내부 시스템의 상세한 청사진을 제공할 수 있다. 이는 두 가지 이유로 중요하다. 첫째, 유출된 소스 코드는 향후 공격에서 악용될 취약점을 찾아내는 데 사용될 수 있으며, 스튜디오 자체뿐 아니라 해당 코드를 기반으로 구축된 모든 제품에도 영향을 미칠 수 있다. 둘째, 도난당한 저장소는 이중 갈취(이중 협박) 수법에서 자주 레버리지로 활용되는데, 공격자는 회사가 백업으로 자체 시스템을 복구했는지와 무관하게 몸값이 지불되지 않으면 데이터를 공개하거나 경매에 부치겠다고 위협한다.

이러한 패턴은 게임 업계를 넘어 다양한 산업에서 점점 더 흔해지고 있다. 랜섬웨어 운영자들은 정부 기관부터 핵심 인프라 제공업체까지 모든 곳을 표적으로 삼아 왔으며, 이번 달 초 보도된 영국 및 스위스 정부 데이터 침해 사례나 중국 사이버 작전과 연계된 IBM 이탈리아 자회사 침해 사건에서 볼 수 있듯이 글로벌 대기업과 연결된 IT 자회사까지 공격 대상이 되었다. 표적이 공공 기관이든 민간 게임 스튜디오든, 유출 후 갈취로 이어지는 기본적인 공격 방식은 놀라울 정도로 일관적이다.

아무도 언급하지 않는 프라이버시 측면

이번 사건에 대한 대부분의 보도는 당연히 마이티 킹덤 게임의 지식재산권 위험에 초점을 맞추고 있다. 그러나 주목할 만한 프라이버시 측면도 있다. 코드 저장소는 협업 공간이다. 저장소에는 누가 언제 무엇을 작성했는지 기록되는 경우가 많으며, 때로는 개발 과정에서 남겨진 실제 직원 또는 사용자 정보를 참조하는 주석, 구성 파일, 테스트 데이터가 포함되기도 한다. 디어울프의 유출 주장이 사실로 확인된다면, 해당 저장소에 우연히 저장된 개인 정보를 가진 사람(현직 또는 전직 직원, 계약자, 베타 테스터)은 의도된 표적이 아니었음에도 간접적으로 노출될 수 있다.

이는 고객 대상 데이터베이스가 아닌 벤더나 내부 시스템에서 시작된 침해 사고에서 반복적으로 나타나는 주제다. 배송 파트너 ShipMonk를 통한 Trezor 침해 사건은 제3자 침해가 기본 회사가 직접 통제하지 않았던 고객 데이터를 노출시킬 수 있음을 보여주었다. 마이티 킹덤의 상황은 그 반대다. 1차 당사자 침해이지만, 도난당한 저장소의 실제 내용에 따라 개인 프라이버시에 대한 파급 효과는 그만큼 실질적일 수 있다.

당신에게 의미하는 바

마이티 킹덤과 관련된 플레이어, 파트너 또는 전직 직원이라면 내부 소스 코드의 운명을 통제할 수 있는 방법은 거의 없다. 그러나 랜섬웨어 사건에 연루된 회사와 상호작용한 적이 있을 때 취할 만한 합리적인 예방 조치가 있다:

  • 마이티 킹덤 계정 또는 연결된 서비스와 관련된 비정상적인 로그인 시도나 비밀번호 재설정 이메일을 주의 깊게 살펴보라.
  • 현직 또는 전직 직원이나 계약자라면 프로젝트 파일에 개인 정보가 저장되었을 가능성을 고려하고, 신원 도용 징후를 모니터링하라.
  • 이번 침해를 언급하는 원치 않는 이메일에 대해 의구심을 가지라. 공격자들은 유출 소식을 이용해 설득력 있는 피싱 시도를 만들기 때문이다.
  • 가능한 모든 곳, 특히 게임 플랫폼이나 개발자 도구와 연결된 계정에서는 다중 인증(MFA)을 활성화하라.

랜섬웨어 그룹은 불확실성과 긴박감을 이용해 몸값과 관심을 끌어낸다. 마이티 킹덤이나 독립 연구자들이 정확히 무엇이 유출되었는지 확인할 때까지, 주장을 지나치게 무시하지도 않고 최악을 가정하지도 않으면서 적절한 주의를 기울여 대응하라.

다음 공개에 대비하기

이와 같은 소스 코드 침해는 데이터 보호가 단지 고객 데이터베이스에만 국한된 문제가 아님을 상기시킨다. 개발 파이프라인, 내부 저장소, 직원 자격 증명은 점점 더 레버리지를 노리는 랜섬웨어 운영자들의 매력적인 표적이 되고 있다. 유출된 경찰관 데이터 및 기타 민감한 저장소와 관련된 사건이 계속해서 표면화됨에 따라, 모든 규모의 조직에 대한 교훈은 동일하다: 개발 환경에 저장된 내용을 감사하고, 불필요한 접근을 제한하며, 노출된 자격 증명이나 저장소가 결국 유출 사이트에 등장할 수 있다고 가정하라.

당분간 마이티 킹덤과 관련된 모든 사람은 회사의 공식 업데이트를 주시하고, 디어울프 그룹의 주장을 확인되지 않은 상태로 취급하되 면밀히 모니터링할 가치가 있는 것으로 간주해야 한다.