Steam과 PC 게임 업계에서 가장 영향력 있는 타이틀들을 만든 회사인 Valve가 12TB 규모의 내부 파일 대량 노출을 확인했습니다. 하지만 일반적으로 게임 뉴스 사이클을 장악하는 유출 사건들의 헤드라인과 달리, 이번 건은 해커가 방어 체계를 뚫고 들어온 것이 원인이 아닙니다. 약 10년간 노출된 채 방치된 공개 엔드포인트가 원인이었으며, 2003년부터 2013년까지의 내부 빌드와 에셋이 조용히 유출되고 있었습니다.

Valve 유출로 실제로 노출된 것

보도에 따르면, 유출된 데이터에는 Valve 역사의 10년에 걸친 내부 게임 빌드와 개발 에셋이 포함되어 있습니다. 이는 전통적인 의미의 유출 공시에서 말하는 고객 계정 데이터나 결제 정보가 아닙니다. 대신 내부 개발 자료의 보고입니다. 즉, 게임이 어떻게 만들어지고 테스트되고 반복 개선되었는지 비공개된 환경에서 보여주는 파일들입니다.

개발 과정에 대해 그토록 비밀주의로 유명한 Valve로서는 이번 노출도 상당히 중대한 사건입니다. 내부 빌드는 공개되지 않은 콘텐츠, 폐기된 기능, 소스 코드 일부, 그리고 결코 공개될 의도가 없었던 개발 관행을 드러낼 수 있습니다. 규모만 놓고 봐도 12TB는 최근 게임 업계에서 보고된 내부 데이터 노출 중 가장 큰 사례 중 하나입니다.

해킹이 아닌 공개 엔드포인트가 10년간 노출을 초래한 방법

이 사건에서 가장 중요한 세부 사항은 데이터의 양이 아니라 원인입니다. Cybernews는 이번 노출이 침입이나 피싱 캠페인, 표적 공격이 아닌 공개 엔드포인트에서 비롯되었다고 보도했습니다. 쉽게 말해, 이 데이터는 위치를 아는 사람이라면 누구나 접근할 수 있었으며, 제한되어야 했지만 그렇지 않은 인프라에 놓여 있었습니다.

이 세부 사항이 중요한 이유는 사건 전체의 성격을 바꾸기 때문입니다. 비난할 정교한 적도 없었고, 몸값을 요구하는 랜섬웨어 조직도 없었으며, 대부분의 사람들이 떠올리는 방식의 침입 증거도 없었습니다. 대신, 이번 노출은 수년간 발견되지 않거나 해결되지 않은 구성 오류로 거슬러 올라갑니다. 10년이라는 기간은 민감한 내부 데이터가 올바른 주소를 우연히 발견한 누구에게나 닿을 수 있는 상태로 놓여 있기에는 긴 시간입니다.

이것이 바로 사고 보고서에서 설정 오류와 해킹을 구분 짓는 지점입니다. 비록 관련된 데이터에 대한 실질적인 결과는 똑같이 심각할 수 있음에도 말입니다.

정교한 공격만큼 중요한 설정 오류로 인한 유출

설정 오류로 인한 사건을 헤드라인을 장악하는 해킹보다 덜 심각하게 취급하고 싶은 유혹이 있습니다. 지목할 범죄 조직도, 협박 메일도, 다크웹 게시물도 없기 때문입니다. 하지만 그런 프레임은 위험을 과소평가합니다. 수년간 열려 있던 공개 엔드포인트는 단 한 번의 성공적인 침입보다 더 지속적인 실패라고 볼 수 있습니다. 일회성 사건이 아니라 계속되는 허점을 의미하기 때문입니다.

이런 패턴은 게임 업계에만 국한되지 않고 다양한 산업에서 나타납니다. 최근에는 Unsafe라는 랜섬웨어 조직이 Deutsche Bank 침해를 주장한 사건이 있었습니다. 이는 금융 기관을 대상으로 훔친 데이터를 적극적으로 악용하는 범죄 행위자가 개입된 전혀 다른 성격의 사건입니다. Valve의 상황과 비교해 보면, 공격자는 노출된 주소를 찾는 것 외에 아무것도 할 필요가 없었습니다. 두 사건 모두 민감한 데이터를 보유한 플랫폼에 대한 사용자 신뢰를 훼손하지만, 정반대 방향에서 발생했습니다. 하나는 악의적인 의도를 통해서, 다른 하나는 기본적인 보안 위생의 부재를 통해서입니다. Steam이 수백만 사용자를 위해 결제 정보, 개인 정보, 계정 자격 증명을 저장하는 회사라면, 두 실패 유형 모두 동등한 주의를 기울일 가치가 있습니다.

이것이 당신에게 의미하는 바

Steam 사용자라면, 이번 특정 유출이 계정 자격 증명이나 결제 데이터가 아닌 내부 개발 파일에 초점을 맞추고 있다는 점이 가장 즉각적인 시사점입니다. 보도에 따르면 Steam 계정 비밀번호, 금융 정보, 개인 사용자 데이터가 이번 노출에 포함되었다는 징후는 없습니다. 그럼에도 이런 사건은 크고 자원이 풍부한 회사조차 아무도 눈치채지 못한 채 장기간 민감한 시스템을 무방비 상태로 방치할 수 있다는 유용한 경각심을 일깨워 줍니다.

일반 사용자에게 실질적인 대응은 어떤 주체가 유출을 일으켰든 동일합니다. Steam 계정을 강력하고 고유한 비밀번호와 2단계 인증으로 보호하십시오. 유출 헤드라인을 이용하려는 피싱 시도에 주의하십시오. 사기꾼들은 이런 뉴스를 활용해 공식 커뮤니케이션을 사칭하는 경우가 많기 때문입니다. 또한 Valve 공식 채널에서 후속 발표가 있는지 계속 확인하십시오. 이런 노출에 대한 조사가 진행됨에 따라 회사가 추가 세부 정보를 공개하는 경우가 있기 때문입니다.

더 큰 그림

Valve 데이터 유출 설정 오류는 모든 데이터 노출에 해커가 필요하지 않다는 점을 상기시켜 줍니다. 때로는 플랫폼 사용자에게 가장 큰 위협이 침입을 시도하는 범죄 행위자가 아니라, 수년간 해결되지 않은 단순한 실수일 수 있습니다. 우리의 개인적·금융적 삶이 점점 더 Steam과 같은 플랫폼을 통해 움직이는 시대에, 이번 사건과 별도의 Deutsche Bank 유출 사건은 이러한 시스템에 대한 신뢰가 결단력 있는 공격자에 대한 방어뿐만 아니라 일관된 보안 관행에 달려 있음을 보여줍니다. 어떤 데이터가 노출되었는지뿐만 아니라 이러한 사건이 어떻게 발생했는지에 대해 정보를 얻는 것이 사용자가 플랫폼에 책임을 묻는 가장 좋은 방법 중 하나입니다.